Fortalecer la seguridad en WordPress

• https://es.wordpress.org/category/seguridad/
• https://wpvulndb.com/

• Mover el directorio wp-content: esta acción ayuda a proteger al sitio contra ataques automatizados Zero Day.
  

  /** Permite mover el directorio wp-content **/
   define( 'WP_CONTENT_DIR', dirname(__FILE__) . '/blog/wp-content' );
   define( 'WP_CONTENT_URL', 'http://example/blog/wp-content' );

•  Cambiar el nombre de usuario admin: este usuario es el que viene por defecto, por lo que es uno de los primeros objetivos de un cibercriminal a la hora de realizar un ataque de fuerza bruta. En las versiones más recientes de WordPress, es posible seleccionar el nombre de usuario durante la instalación.
• Mínima instalación de plugins: muchos de éstos son susceptibles a Cross-Site Scripting (XSS) e inyección de SQL; si se instalan pocos plugins se reducirán vectores de ataques.
• Mover wp-config.php fuera del directorio raíz web: si movemos este archivo una carpeta más arriba del directorio web raíz, lograremos que no se vea la configuración de nuestro WordPress.
• Quitar el listado de directorios en el servidor: WordPress sufre Full Path Disclosure lo que ayuda a realizar ataques como Path Transversal. 
• Administración a través de SSL: a veces, el panel de administración se usa por protocolo sin cifrar HTTP, pero si ingresamos mediante HTTPS estamos enviando los datos encriptados, lo que dificulta la intercepción de información y evita ataques de tipo MITM.
  

   define( 'FORCE_SSL_ADMIN', true ); //Forzar inicio de sesión seguro a la administración.
    define( 'FORCE_SSL_LOGIN', true ); //Forzar inicio de sesión seguro.

•  Usar la base de datos sin privilegios de administrador cuando no se requiere: por defecto WordPress solo usa una base de datos de usuarios para todos ellos. Pero con algunos ajustes de código se puede usar un usuario de una base con menos privilegios para usuarios anónimos, lo que reduce considerablemente los riesgos.
• Mantener usuarios con privilegios mínimos: existe la posibilidad de que un usuario con privilegios de administrador tenga una contraseña débil. Concediendo a los usuarios los privilegios indispensables se reducen las posibilidades de que se vean comprometidas sus cuentas.
• Sacar el “Powered by WordPress” del pie de página: los ciberdelincuentes usan este pie de página en buscadores para encontrar potenciales víctimas vulnerables. Para ocultar esa información, tienes que incluir la siguiente línea en el archivo functions.php de tu WordPress:

 Remove_action('wp_head', 'wp_generator');

• Lista blanca de IP para acceder al wp-login.php: generalmente los administradores acceden a su blog desde la misma dirección IP, por lo que se configuran estas direcciones como “de confianza” para poder acceder.
• Cambiar el prefijo de las tablas de las bases de datos  

  /** Prefijo de las tablas de la base de datos, cambiarlas siempre en lo posible por seguridad */
   $table_prefix  = 'ehn_'; //Sólo números, letras y guiones bajos por favor!

Cómo saber si tu WordPress ha sido hackeado

• Puedes comprobar la salud de tu WordPress con Google Safe Browsing: https://www.google.com/transparencyreport/safebrowsing/diagnostic/?hl=es
• O también directamente en Google Console (antes Webmaster Tools): https://www.google.com/webmasters/tools/security-issues

Indicadores comunes de un sitio web hackeado WordPress

• Advertencias lista negra de Google, Bing, McAfee
• Comportamientos extraños o anormales navegador
• Correo no deseado en el contenido del motor de búsqueda
• La notificación de suspensión sitio web por parte de tu hosting
• Las modificaciones del archivo o temas centrales de integridad
• Advertencias en los resultados de búsqueda de Google (SEO envenenamiento)
• Renombrar fichero wp-login.php para evitar ataques por fuerza bruta (logear intentos e instalar captcha)

Proteger - Securizar - Hardening - WordPress

• Mantener actualizada la versión Core (Núcleo) de WordPress
• Mantener actualizados los Plugins
• Manenter actualizados los Themes (temas de diseño)
• Usar themes y plugins con buena reputación
• Evitar usar contraseñas y/o usuarios por defecto (admin) y/o contraseñas débiles 

UPDATE wp_users SET user_login = 'elhacker' WHERE user_login = 'admin';, 

/ 

The root WordPress directory: all files should be writable only by your user account, except .htaccess if you want WordPress to automatically generate rewrite rules for you.

/wp-admin/ 

The WordPress administration area: all files should be writable only by your user account.

/wp-includes/ 

The bulk of WordPress application logic: all files should be writable only by your user account.

/wp-content/ 

User-supplied content: intended to be writable by your user account and the web server process.

Within /wp-content/ you will find:

/wp-content/themes/ 

Theme files. If you want to use the built-in theme editor, all files need to be writable by the web server process. If you do not want to use the built-in theme editor, all files can be writable only by your user account.

/wp-content/plugins/ 

Plugin files: all files should be writable only by your user account.

// automatic wordpress updates
//https://codex.wordpress.org/Configuring_Automatic_Background_Updates
define( 'WP_AUTO_UPDATE_CORE', true );

# Disables all core updates:

define( 'WP_AUTO_UPDATE_CORE', false );

# Enables all core updates, including minor and major:

define( 'WP_AUTO_UPDATE_CORE', true );

# Enables core updates for minor releases (default):

define( 'WP_AUTO_UPDATE_CORE', 'minor' );

add_filter( 'auto_update_plugin', '__return_true' );
add_filter( 'auto_update_theme', '__return_true' );

define('AUTH_KEY', 'put your unique phrase here');
define('SECURE_AUTH_KEY', 'put your unique phrase here');
define('LOGGED_IN_KEY', 'put your unique phrase here');
define('NONCE_KEY', 'put your unique phrase here');

define('FORCE_SSL_LOGIN', true);
define('FORCE_SSL_ADMIN', true);

define( ‘DISALLOW_FILE_EDIT’, true );

define(‘DISALLOW_FILE_MODS’,true)