Parece que últimamente cada vez son más WordPress los que reciben ataques por diversos métodos y de distintos tipos, ataques que pueden dañar cualquier instalación de WordPress y “de paso” pueden arruinar la credibilidad o “seguridad” de cualquier blog, indiferentemente de las visitas que tenga.
© Vladislav Kochelaevs – Fotolia.com
En la protección de sitios web y aplicaciones web basadas en PHP juegan un gran papel los WAF o Web Application Firewall, este tipo de “software” se encarga de proteger posibles agujeros de seguridad importantes que puedan tener los sitios web, y aunque es imposible conseguir una seguridad del 100%, este tipo de aplicaciones tapan los agujeros más comunes.
Hace relativamente poco tiempo conocí un plugin para WordPress que funciona como WAF y es bastante efectivo, además se adapta muy bien al entorno, permitiéndonos proteger de forma efectiva desde instalaciones que funcionan sobre Apache con FastCGI hasta instalaciones que funcionan sobre Nginx con PHP-FPM.
El plugin en cuestión se llama NinjaFirewall (WP Edition) y puede ser descargado de forma gratuita desde el repositorio de plugins de WordPress.
NinjaFirewall para WordPress nos permite configurar distintos tipos de reglas para el WAF o Firewall, protegiéndonos incluso de los tipos de ataques más comunes de forma predefinida y sin que nosotros tengamos que configurar nada especifico.
Podemos proteger las instalaciones de WordPress contra subidas y proteger el sitio contra posibles atacantes que puedan enviar o recibir datos a través de peticiones GET y POST, tanto mediante HTTP como para HTTPS.
NinjaFirewall incluso protege contra el mal uso de variables como HTTP_REFERER, HTTP_USER_AGENT y HTTP_REQUEST, e incluso protege contra ataques de inyección XSS.
Podemos crear un “snapshot” y configurar el modulo File Guard para examinar cada cierto tiempo el sitio web para comprobar si se han modificado archivos, esta es quizá una de las opciones más interesantes de NinjaFirewall.
Personalmente he descubierto en este plugin una forma de securizar más o menos algunas instalaciones WordPress que tienen mayor riesgo de ser infectadas o que en algún momento ya han sido infectadas por cualquier tipo de malware.
Álvaro Fontela Sánchez centra su actividad profesional en WordPress, trabaja en la empresa de alojamiento y desarrollo de la que es Co-Founder, Raiola Networks, donde se dedican a las tecnologías web pero especializándose en WordPress y en tareas de administración y optimización de servidores Linux.