Qué es el hardening
El hardening es el conjunto de medidas que reducen la superficie de ataque de tu WordPress (cerrar accesos innecesarios, ocultar información, limitar permisos) para que sea más difícil de comprometer. También se conoce como «fortificación de WordPress» o «bastionado».
Es como revisar una casa entera para cerrar cualquier ventana que se quedaba sin pestillo, reforzar la puerta principal y quitar las llaves de repuesto escondidas debajo del felpudo: cada medida por separado parece pequeña, pero juntas hacen que entrar sin permiso sea mucho más difícil. El hardening de WordPress no es una sola acción, sino una combinación de ajustes (desactivar funciones que no usas, limitar permisos de archivos, ocultar información que facilita un ataque, restringir accesos) orientados a cerrar el mayor número posible de puertas que un atacante podría intentar usar.
Cómo funciona
- Se revisa la configuración actual de tu WordPress en busca de puntos innecesariamente abiertos o expuestos.
- Se desactivan funciones que no se usan pero que podrían aprovecharse en un ataque, como el XML-RPC si no hace falta.
- Se ajustan los permisos de archivos y carpetas para que cada uno tenga solo el acceso estrictamente necesario.
- Se oculta información que facilita un ataque, como la versión exacta de WordPress o de los plugins instalados.
- Se revisa de forma periódica, porque cada actualización o plugin nuevo puede volver a abrir algún punto que ya se había cerrado.
Dos ajustes concretos suelen formar parte de cualquier hardening básico. El primero es desactivar el editor de archivos de WordPress, una función integrada en el panel que permite modificar directamente el código del tema o los plugins desde el navegador: muy útil para un desarrollador, pero extremadamente peligrosa si un atacante consigue acceso, porque le permitiría modificar tu web sin necesidad de ningún otro acceso al servidor. El segundo es bloquear el listado de directorios, que por defecto podría dejar ver el contenido completo de una carpeta de tu servidor con solo visitar su dirección, revelando información que facilita encontrar puntos débiles.
Ejemplo
Un estudio de diseño gráfico en Pontevedra tenía su WordPress prácticamente con la configuración de fábrica: XML-RPC activo sin usarlo, la versión de WordPress visible en el código fuente y permisos de archivos más abiertos de lo necesario. Aplicamos un proceso completo de hardening, cerrando cada uno de esos puntos uno por uno sin afectar a ninguna función que realmente usaran, y la web quedó con una superficie de ataque mucho más reducida frente a intentos automatizados.
Señales de que te afecta
- Nunca has revisado específicamente la seguridad de configuración de tu WordPress, más allá de las actualizaciones.
- Tienes funciones activas (como XML-RPC) que en realidad no usas.
- Un análisis de seguridad señala información expuesta que facilitaría un ataque, como la versión exacta de tu WordPress.
- Has sufrido algún incidente de seguridad anterior y quieres reducir el riesgo de que se repita.
Cómo lo resolvemos
Revisamos tu WordPress de principio a fin aplicando las medidas de hardening adecuadas a tu caso (desactivar lo que no usas, ajustar permisos, ocultar información sensible), sin afectar a ninguna función que necesites de verdad. Si quieres que reforcemos la seguridad de tu web, en nuestro servicio de seguridad WordPress nos encargamos de ello. El hardening suele incluir cerrar el XML-RPC si no se usa y revisar los permisos de archivos, además de activar la autenticación en dos pasos y, si procede, un WAF.
Preguntas frecuentes
¿El hardening garantiza que mi web no sufrirá ningún ataque?
No existe ninguna medida que garantice el cien por cien, pero el hardening reduce muchísimo las posibilidades de éxito de los ataques más comunes y automatizados, que son la inmensa mayoría de los intentos que recibe cualquier web.
¿El hardening puede afectar al funcionamiento normal de mi web?
Si se hace bien, no debería: la idea es cerrar lo que no se usa y reforzar lo que se usa, sin eliminar ninguna función que realmente necesites, por eso conviene revisar caso por caso antes de aplicar cualquier cambio.
¿Tengo que repetir el hardening cada cierto tiempo?
Conviene revisarlo de forma periódica, porque las actualizaciones, los plugins nuevos o los cambios de configuración pueden volver a abrir algún punto que ya se había cerrado anteriormente.