Italiano
Română
Русский¿Debería WordPress añadir opciones para mejorar la seguridad o dejarlo en manos de los desarrolladores de plugins?
Basado en la pasión generada por las respuestas a esta pregunta. Parece que la respuesta es un rotundo "¡Nada!" o "déjalo en manos de los desarrolladores de plugins, WP ya es lo suficientemente seguro"...
¿Así que supongo que estoy completamente equivocado con la pregunta? Parece que he removido un avispero y ese no era el objetivo. Sin embargo, aquí está el resultado en el mundo real...
Acabo de recibir un correo de uno de mis clientes que tuvo 12 de sus sitios hackeados porque un atacante descifró su contraseña. Sus comentarios me abrieron los ojos a posibilidades de algunas opciones muy sencillas que podrían añadirse al núcleo de WordPress para ayudar a que los sitios WP sean menos propensos a este tipo de ataques.
Lo más simple que un usuario puede hacer es cambiar el nombre de usuario predeterminado. Supongo que más del 90% de los sitios WP en vivo tienen un perfil de usuario "admin" que puede o no estar en uso, pero que obviamente tiene todos los derechos y permisos. ¡El trabajo de un atacante ya está medio hecho!
Pero el núcleo de WP podría mejorarse con algunas opciones de seguridad muy simples también. ¿Qué tan difícil sería añadir...
- Bloqueo por intentos de inicio de sesión fallidos (configuración definida por el usuario)
- Regular el tiempo entre intentos de inicio de sesión fallidos (configuración definida por el usuario en segundos)
- Restricción por rango de IP (establecer una lista de IPs desde las que se aceptan inicios de sesión)
Estas son solo algunas ideas que se me ocurren. Estoy seguro de que ustedes también tienen mejores opciones.
Y el punto de mi pregunta no es lo que los "usuarios" deberían hacer para mejorar la seguridad, eso es otra cuestión completamente diferente. Pregunto qué pasos podría tomar WP para proporcionar algunas OPCIONES, nada obligatorio, pero cosas que los desarrolladores de plugins actualmente tienen que suplir donde deberían ser parte de cada instalación predeterminada de WP (en mi opinión).
¿Están planeadas alguna de estas mejoras para las próximas versiones de WP?
@t3los: la mayoría de los sitios WordPress tienen un único usuario administrador. El inicio de sesión del administrador es a lo que propongo agregar opciones de fortalecimiento. Solo lo propongo como una opción, al igual que cambiar los enlaces permanentes. Gracias por ofrecer sugerencias.
Scott B
@Scott B - ¿Qué sugerirías que se hiciera para proteger aún más las cuentas de administrador?
t31os
@t3los: creo que las 3 cosas que he enumerado en la pregunta serían suficientes para comenzar. Y serían cosas que simplemente podría "aconsejar" a los clientes que activen. Nada obligatorio. Y cuando digo que la mayoría de los sitios tienen un solo usuario administrador, generalmente ese es el ÚNICO usuario que tiene acceso al panel de WordPress en mi experiencia.
Scott B
@t3los: Solo para aclarar sobre los usuarios administradores. Tengo ~1k clientes que usan WP (y más de 10k instalaciones de WP entre esos clientes). Más del 95% de ellos tienen exactamente 1 usuario en la tabla Usuarios, y en casi el 100% de esos casos, es el usuario admin.
Scott B
Sí, pero como dije antes, existe el potencial de que algunas medidas tengan impactos negativos en la experiencia de un usuario legítimo (y poca inconveniencia para un hacker experto). Cambiar el nombre de la cuenta principal siempre vale la pena, como se menciona en la documentación de Hardening WordPress: http://codex.wordpress.org/Hardening_WordPress, que es una buena fuente de información para proteger un servidor (bueno, al menos es un buen punto de partida).
t31os
En la mayoría de los casos, estos son sitios pequeños con un solo usuario administrador. Las opciones que estoy proponiendo no son obligatorias y serían definidas por el usuario como un nivel adicional de seguridad. En el caso de mi cliente, cualquiera de las 3 opciones que sugerí probablemente habría evitado el simple robo de la contraseña de administrador. No puedo decir que el hacker simplemente se habría "ido", sin embargo, fue demasiado fácil.
Scott B
@Scott B ¿en qué se diferencia habilitar una opción no obligatoria de instalar un plugin que hace lo mismo? Entiendo tu punto de que podría incluirse en el núcleo. Pero también entiendo que esto no es algo que WordPress deba hacer y tampoco es algo que no se pueda hacer ya.
Rarst
tiene que ver con el nivel de sofisticación del usuario. Cierto, deberían saber estas cosas, pero la mayoría dan por sentado que WP ya está protegiendo sus sitios contra el pirateo simple de contraseñas. Así que si supieran lo fácil que es, con una instalación predeterminada de WP, descifrar la contraseña de administrador, tal vez harían lo que sugieres y buscarían el plugin y lo instalarían. La mayoría no lo sabe hasta que es demasiado tarde.
Scott B
gracias por la sugerencia de "Login Lockdown". Consideraré recomendarla a mis usuarios. Aunque creo que debería estar integrado en el núcleo como una "Opción" en la configuración.
Scott B
+1 por hacer una sugerencia útil (olvidé hacerlo en mi comentario original).
Scott B