Seguridad de páginas web en WordPress: Mitos y experiencias

lalo2019 · 8 Oct 2019

hola a todos

Voy a hacerle la pagina a una pariente, pero como no tiene mucho dinero simplemente se la hare con Worpress.
Antes , yo le hable a esta persona de los pros y contras de los CMS; y bueno, ella esta conforme con todo, excepto con lo de la fama que le dije que tiene Worpress de ser hackeable. Asi que me gustaria saber que tan cierto es eso de que las webs en Worpress son comunmente hackeadas.. Sinceramente.
Yo no se del tema porque nunca me he hecho una web para mi mismo con worpress (yo me las construyo desde cero, sin plantillas). Por eso no tengo idea, no lo he experimentado.. pero he leido a algunos que si les ha pasado.

¿cuantas webs Worpress (o Drupal o Joomla) han tenido ustedes, y de esas , cuantas han sido hackeadas?
¿y que es lo que les hacen cuando las hackean: ponen mensajes, las eliminan...que cambio presentan?

Gracias de antemano

POSDATA: ¿No se pueden hacer encuestas en este foro?.. Me pareceria muy util abrir una sobre este asunto.

Christianabreuh · 8 Oct 2019

Depende de lo descuidado que seas, no le dejes el Admin por default, Cambiale el usuario y ponle una buena contraseña, haz lo como cualquier otra cuenta que tengas, No es tan común que sean victimas de hackeos creo que es la primera vez que escucho algo así, porque si no grandes empresas la dejarian de usar (The new york timer, Parte de TechCrunch, algunos blog de las redes sociales creo que Pinterest y Uno que otro de Facebook).... Empresas enormes confían en el CMS.

abecedaria · 8 Oct 2019

He tenido unas 10 o 15 webs en wordpress, y de ellas 1 o 2 hackeadas

Páginas nuevas en ruso con enlaces a webs raras, redirecciones de las mías, anuncios no deseados... alguna vez la llegue a ver caída también.

romxam · 8 Oct 2019

Yo creo que depende mucho del administrador, si cumples con los requisitos mínimos de seguridad que recomiendan muchos aparte de wordpress. Entonces tu web sera segura.

Pero haces todo lo contrario sera mas fácil que personas inescrupulosas de "roben" tu proyecto.

En resumen wordpress es muy seguro, de lo contrario no seria el CMS mas usado hoy en día.

Hasta ahora he administrado mas de 10 webs y ninguna fue vulnerada, considerando que algunas de ellas tenían o tienen trafico considerable.

juliocastillo · 8 Oct 2019

a mi me hackearon una de Salud, estoy 99% seguro que fue por algun hoyo de seguridad abierto por mgid (ya he leido que lo hacen). basicamente infecto todas mis otras paginas en el server. Costo una eternidad y trabajal reparar. Al final lo que encontre fue texto y vinculos de propaganda democrata que atacaba a Trump :s

lalo2019 · 8 Oct 2019

romxam dijo:
Yo creo que depende mucho del administrador, si cumples con los requisitos mínimos de seguridad que recomiendan muchos aparte de wordpress. Entonces tu web sera segura.

Pero haces todo lo contrario sera mas fácil que personas inescrupulosas de "roben" tu proyecto.

En resumen wordpress es muy seguro, de lo contrario no seria el CMS mas usado hoy en día.

Hasta ahora he administrado mas de 10 webs y ninguna fue vulnerada, considerando que algunas de ellas tenían o tienen trafico considerable.

Entonces no es muy seguro como dices, si debes hacer todas esas cosas, incluido instalar plugins de seguridad, para evitar que te hackeen. Quiere decir que es un poco inseguro en su estado por defecto y debes reforzarlo (instalarle cosas extras) para que sea mas seguro.

lalo2019 · 8 Oct 2019

Christianabreuh dijo:
Depende de lo descuidado que seas, no le dejes el Admin por default, Cambiale el usuario y ponle una buena contraseña, haz lo como cualquier otra cuenta que tengas, No es tan común que sean victimas de hackeos creo que es la primera vez que escucho algo así, porque si no grandes empresas la dejarian de usar (The new york timer, Parte de TechCrunch, algunos blog de las redes sociales creo que Pinterest y Uno que otro de Facebook).... Empresas enormes confían en el CMS.

Pero esas empresas no le confian su seguridad en realidad. Por ejemplo en mi pais hay un banco que es el unico que tiene su pagina en worpress, pero solamente es su frontend, porque el backend esta hecho en paginas sin cms, supongo que creadas por sus ingenieros .

romxam · 9 Oct 2019

lalo2019 dijo:
Entonces no es muy seguro como dices, si debes hacer todas esas cosas, incluido instalar plugins de seguridad, para evitar que te hackeen. Quiere decir que es un poco inseguro en su estado por defecto y debes reforzarlo (instalarle cosas extras) para que sea mas seguro.

Básicamente para proteger tu wordpress basta con cambiar los usuarios y contraseña por defecto, instalar plugins "seguros" no de seguridad y demás.

Wordpress en si sin ningún añadido, nada mas que cambiar el usuario y contraseña por defecto ya es seguro.

Es exagerado decir que wordpress es "inseguro", es todo lo contrario.

lalo2019 · 9 Oct 2019

romxam dijo:
Básicamente para proteger tu wordpress basta con cambiar los usuarios y contraseña por defecto, instalar plugins seguros y demás.

Wordpress en si sin ningún añadido, nada mas que cambiar el usuario y contraseña por defecto ya es seguro.

Es exagerado decir que wordpress es "inseguro", es todo lo contrario.

Tu mismo dices que se deben instalar plugins.

Lo malo es que no puedes ser objetivo por que se nota que amas worpress. Entonces puede que tu fanatismo no te deje opinar objetivamente. Yo solo se que, por lo logica, si soy hacker y tengo deseos de romper worpress, seria mas facil porque tengo el codigo abierto / disponible de todos los worpress, para estudiarlo y posteriormente quebrarlo.

Richsystem · 9 Oct 2019

Todo sistema es hackeable que quede claro TODOS...

Partiendo de alli Wordpress tiene un nivel de seguridad bastante alto, no es necesario nigun plugin adicional, wordpress por defecto ya es seguro, la mayoria de las vulnerabilidades en wordpress se detectan en software de terceros, plugins, themes, etc, mas no en su núcleo.

Con cumplir ciertas reglas básicas podrás estar tranquilo.

garyt · 9 Oct 2019

Me bajaron unos sitios por usar themes nulled y plugins también, desde allí solo pongo solo verificados

romxam · 9 Oct 2019

lalo2019 dijo:
Tu mismo dices que se deben instalar plugins.

Lo malo es que no puedes ser objetivo por que se nota que amas worpress. Entonces puede que tu fanatismo no te deje opinar objetivamente. Yo solo se que, por lo logica, si soy hacker y tengo deseos de romper worpress, seria mas facil porque tengo el codigo abierto / disponible de todos los worpress, para estudiarlo y posteriormente quebrarlo.

No soy fanático ni nada, simplemente me baso en estadísticas y cuan ampliado es el uso de este CMS. Si fuera fácil de vulnerar no seria el CMS predilecto por la mayoría de webmasters o como quieran llamarlo.

En fin, es seguro, claro si tu pones de tu parte.

Ademas los cms que uno desarrolla podría estar en mas peligro que uno que esta desarrollado por miles de personas.

lalo2019 · 9 Oct 2019

romxam dijo:
No soy fanático ni nada, simplemente me baso en estadísticas y cuan ampliado es el uso de este CMS. Si fuera fácil de vulnerar no seria el CMS predilecto por la mayoría de webmasters o como quieran llamarlo.

En fin, es seguro, claro si tu pones de tu parte.

Ademas los cms que uno desarrolla podría estar en mas peligro que uno que esta desarrollado por miles de personas.

. Bueno, solo en este hilo, ya van tres personas que dicen que los han hackeado. Y tu eres la unica persona que dice que nunca. Y hay otros aqui que no han dicho nada, pero quiza tambien los hayan hackeado y no lo han mencionado, o quiza no. Como te dije, yo he leido varios comentarios en otros sitios que dicen lo mismo, que a todos alguna vez los han hackeado. Por eso pregunto.

. Se habla que el problema principal son los temas y plugins externos que se instalan. Pero seamos sinceros ¿quien va a dejar de instalarlos?...si desean un slider y no saben hacerlo con codigo ¿como solucionan el problema?.. Otro de los principales problemas es no actualizar tu worpress, o tu tema o tu pluging....¿y que tal si yo necesito solo una web informativa, no algo que se actualice constantemente como un diario de noticias? Es natural que me olvide un tiempo de la web, por lo menos unos meses hasta que, que se yo, quiera actualizar una imagen, porque mi tipo de web es informativa...Pero por abandonar mi worpress asi estaria expuesto a hackeo, no? Entonces no se que tan conveniente sea para este tipo de pagina.

. Worpress "es" el preferido de los diseñadores modernos, no porque sea super seguro, sino porque les facilita la vida a los que no saben ni una pizca de codigo, y tambien a los que si saben pero son un poco vagos para hacer webs desde cero.

. Y por ultimo, no es necesario desarrollar tu propio CMS si sabes de codigo. SImplemente administras tu web desde tu editor de codigo y luego la subes.

Richsystem · 9 Oct 2019

El problema no es que dejen de instalar o no los plugins y themes, el detalle es que verifiquen lo que van a instalar, mas del 99% de los hackeos de wordpress son por plugin y themes desactualizado o nulled, diras que fastidio que tenga que estar actualizando, dime un solo sistema informatico que no deba actualizarse.

En algo tienes razón, la mayoría de las personas usan Wordpress por lo fácil que es para crear un sitio, no lo usan por seguridad porque simplemente no saben NADA de seguridad...

El ser humano siempre sera el talón de alquiles de cualquier sistema informático.

lalo2019 dijo:
. Bueno, solo en este hilo, ya van tres personas que dicen que los han hackeado. Y tu eres la unica persona que dice que nunca. Y hay otros aqui que no han dicho nada, pero quiza tambien los hayan hackeado y no lo han mencionado, o quiza no. Como te dije, yo he leido varios comentarios en otros sitios que dicen lo mismo, que a todos alguna vez los han hackeado. Por eso pregunto.

. Se habla que el problema principal son los temas y plugins externos que se instalan. Pero seamos sinceros ¿quien va a dejar de instalarlos?...si desean un slider y no saben hacerlo con codigo ¿como solucionan el problema?.. Otro de los principales problemas es no actualizar tu worpress, o tu tema o tu pluging....¿y que tal si yo necesito solo una web informativa, no algo que se actualice constantemente como un diario de noticias? Es natural que me olvide un tiempo de la web, por lo menos unos meses hasta que, que se yo, quiera actualizar una imagen, porque mi tipo de web es informativa...Pero por abandonar mi worpress asi estaria expuesto a hackeo, no? Entonces no se que tan conveniente sea para este tipo de pagina.

. Worpress "es" el preferido de los diseñadores modernos, no porque sea super seguro, sino porque les facilita la vida a los que no saben ni una pizca de codigo, y tambien a los que si saben pero son un poco vagos para hacer webs desde cero.

. Y por ultimo, no es necesario desarrollar tu propio CMS si sabes de codigo. SImplemente administras tu web desde tu editor de codigo y luego la subes.

lalo2019 · 9 Oct 2019

Richsystem dijo:
El problema no es que dejen de instalar o no los plugins y themes, el detalle es que verifiquen lo que van a instalar, mas del 99% de los hackeos de wordpress son por plugin y themes desactualizado o nulled, diras que fastidio que tenga que estar actualizando, dime un solo sistema informatico que no deba actualizarse.

En algo tienes razón, la mayoría de las personas usan Wordpress por lo fácil que es para crear un sitio, no lo usan por seguridad porque simplemente no saben NADA de seguridad...

El ser humano siempre sera el talón de alquiles de cualquier sistema informático.

Bueno, si creas tu web sin CMS no necesitas estar actualizandola tan seguido. Claro, si habamos de una web informativa. Si en cambio haces tu propio CMS, o usas uno ya existente, entonces si debes, porque siempre tendrías que mejorar la seguridad y agregarle nuevas funciones a tu programa.

El riesgo de hackeo viene cuando construyes una puerta de entrada a tu servidor para tus usuarios (worpress esta repleto de puertas)..por más que tomes las medidas necesarias siempre vas a tener que estar al tanto de cómo vencer el nuevo ataque. Si no creas dicha puerta yo creo que no hay riesgo (a menos que hackeen a tu proveedor de hosting xd). Por ejemplo si haces una web sin CMS y no incluyes formulario ni ninguna "puerta" de acceso a tu server, hay menos probabilidad que te hackeen..

Richsystem · 9 Oct 2019

Entonces la solución es diseñar una web simple sin ni siquiera un formulario, te compro la idea

Vamos ese tipo de web deben ser las mas exitosas.

HTML:

<html>
  <head>
    <meta charset="uft-8"/>
    <title>Hola Mundo</title>
  </head>
</html>

¿Así esta bien?.... sinceramente esto se salio de contexto..

lalo2019 dijo:
Bueno, si creas tu web sin CMS no necesitas estar actualizandola tan seguido. Claro, si habamos de una web informativa. Si en cambio haces tu propio CMS, o usas uno ya existente, entonces si debes, porque siempre tendrías que mejorar la seguridad y agregarle nuevas funciones a tu programa.

El riesgo de hackeo viene cuando construyes una puerta de entrada a tu servidor para tus usuarios (worpress esta repleto de puertas)..por más que tomes las medidas necesarias siempre vas a tener que estar al tanto de cómo vencer el nuevo ataque. Si no creas dicha puerta yo creo que no hay riesgo (a menos que hackeen a tu proveedor de hosting xd). Por ejemplo si haces una web sin CMS y no incluyes formulario ni ninguna "puerta" de acceso a tu server, hay menos probabilidad que te hackeen..

Awero · 9 Oct 2019

si, me hackearon por usar un theme nulled

romxam · 9 Oct 2019

Casi todas las webs vulneradas en wordpress son por causa del administrador o dueño en su defecto.

lalo2019 · 9 Oct 2019

Richsystem dijo:
Entonces la solución es diseñar una web simple sin ni siquiera un formulario, te compro la idea

Vamos ese tipo de web deben ser las mas exitosas.

HTML:

<html> <head> <meta charset="uft-8"/> <title>Hola Mundo</title> </head> </html>

¿Así esta bien?.... sinceramente esto se salio de contexto..

Te equivocas si piensas que una web sin formulario es simple. Elige cualquier web con un diseño increible que te parezca, y quitale el formulario, y no cambia lo comprobaras.. esto no le quita lo increible a su diseño. De hecho, muchos preferimos , por temas de seguridad, no incluir formularios. Mi web es profesional, hermosa, pero no tiene ningun formulario..simplemente, algo asi en la seccion de contacto:
Móvil: 999 888 777
Dirección: Av. Los Elotes 466
Correo: foro@beta.com

No pasa nada,
O sea, no te vas a morir si no tienes formulario..no se va a ver mas fea tu web. Asi, entonces, no tienes ninguna puerta de acceso y tu mismo administras tu web y la diseñas y programas...claro, si sabes codigo, de lo contrario estas condenado a depender de los CMS

Por cierto que yo tengo nivel medio en PHP, asi que puedo sin ningun problema programar un formulario medianamente seguro..solo que no se me hace necesario.

Ya, si alguna vez tuviera que, por ejemplo, trabajar con bases de datos, entonces si tendria que abrir las puertas... no me quedaria de otra.. pero trabajaria igualmente con una seguridad media, sentencias preparadas... pero para web informativa no es necesario

Y lo olvidaba... a mi nunca me han hackeado una web

lalo2019 · 9 Oct 2019

Awero dijo:
si, me hackearon por usar un theme nulled

que es "them" nulled?