WordPress es el Sistema de Gestión de Contenido más utilizado y popular. El sistema central de WordPress es muy seguro y confiable, y muchos sitios web populares están construidos sobre él. Su sistema de plugins flexible puede extender casi todas las características posibles al núcleo.
Pero no importa cuán robusta sea tu estructura, hay intrusos por ahí tratando de atacar tus sitios iniciando ataques DDoS.
Aprende cómo detener un ataque DDoS para que no derribe tu sitio web.
¿Qué son los ataques DDoS?
Un ataque de denegación de servicio distribuido (DDoS) es un tercero que interrumpe el tráfico de tu sitio enviando múltiples solicitudes superfluas
Contents
- ¿Qué son los ataques DDoS?
- ¿Qué es DDoS?
- ¿Cuáles son las razones detrás de los ataques DDoS?
- ¿Qué es el ataque BruteForce?
- Tipos de ataques DDoS
- ¿Qué daños particulares pueden ser causados por los ataques DDoS?
- ¿Cómo detener un ataque DDoS en un sitio web WordPress?
- Consejos y pasos para prevenir los ataques DDoS en WordPress
No importa quién seas, los ataques DDoS pueden dirigirse a cualquier parte si hay una brecha de seguridad.
Lee una guía completa para proteger tu sitio web WordPress de los hackers con opciones avanzadas.
¡Aquí te guiaremos con los más mínimos detalles para mantener todas las amenazas de ataques DDoS lejos!
¿Qué es DDoS?
DDoS, abreviado para Distributed Denial of Service, es un ataque a tu sitio que envía múltiples solicitudes superfluas a tu sitio web desde diferentes fuentes para sobrecargar el sistema. Su objetivo es ralentizar los tiempos de respuesta de un sitio web hasta que ya no sea accesible para que las solicitudes legítimas sean cumplidas.
Una vez que estos ataques son exitosos, los intrusos pueden inyectar un fragmento de código en tu sitio y eventualmente hackearlo.
Las solicitudes se envían desde otros sitios (WordPress) y hosts comprometidos con malware. Estos sitios se utilizan como medio para atacar.
Mantiene ocupado al servidor de tu sitio con todas estas solicitudes y eventualmente deja de responder en un punto, haciendo imposible que recuperes el sitio.
Los ataques se dirigen a través de diferentes dispositivos, lo que hace que pasen desapercibidos, haciendo aún más fácil que el ataque tenga éxito.
Si crees que tu sitio está seguro, piensa de nuevo, ya que empresas más prominentes como Amazon, DreamHost y PayPal también han sido víctimas hace cuatro años.
Imagina la pérdida por su lado. Por eso es mejor prevenir que enfrentar las circunstancias.
¿Cuáles son las razones detrás de los ataques DDoS?
Estas son las múltiples razones por las que los atacantes inician ataques DDoS:
- El rescate: recaudar dinero mientras mantienen tu sitio como rehén es una de esas razones.
- Los atacantes encuentran placer y lo hacen por motivos de diversión.
- Personas a las que les gusta atacar a un grupo específico de personas.
- Competencia: El competidor quiere causarte daño monetario, puede contratar o atacar tu sitio él mismo.
¿Qué es el ataque BruteForce?
Los hackers intentan iniciar sesión adivinando diferentes combinaciones de nombre de usuario y contraseña. Una vez que tienen acceso, pueden añadir código malicioso a tu sitio. Recuerda, los ataques BruteForce y DDoS son de alguna manera diferentes.
Tipos de ataques DDoS
Existen varios tipos de ataques DDoS, pero los más comunes son los siguientes:
Es el tipo más común de ataque DDoS que significa inundar el sitio con solicitudes sin sentido, lo que a su vez ralentiza el sitio web o simultáneamente resulta en un apagado completo del sitio web.
Los atacantes no derriban el sitio por completo, sino que lo ralentizan con ataques constantes.
Todos estos ataques requieren tiempo y esfuerzo, pero este en particular pide más que solo ataques. Los intrusos buscan minuciosamente para encontrar los puntos débiles, y aquí es donde todo se va en vano de tu lado. Una vez que los atacantes encuentran tus puntos débiles, plantan su fragmento de código, lo que hace que tu sitio termine en peores condiciones.
Este explota completamente el servidor y bloquea el sitio, dejándolo inutilizable.
¿Qué daños particulares pueden ser causados por los ataques DDoS?
Como se explicó anteriormente, los ataques DDoS terminan ralentizando tu sitio, reduciendo el rendimiento de velocidad y el tiempo de carga general. Todos los daños causados por los ataques DDoS te pertenecen finalmente, ya sean monetarios o no. A continuación se presentan ciertos daños que pueden ser causados por los ataques DDoS:
- Puedes perder varios pedidos en un sitio eCommerce.
- Los efectos secundarios de no responder a las consultas de los clientes, costándote todo el trabajo duro que has puesto en tu sitio hasta ahora.
- La carga de contratar seguridad y hardware. Mientras que traer nueva gente y explicarles cómo asegurar que el bandwagon sea preciso te costará mucho tiempo y dinero para los reclutados, ya sean personas o dispositivos.
- Al final, la satisfacción del usuario va a fallar. La indisponibilidad inesperada terminará perdiendo tus rankings SEO (Search Engine Optimization), así como los clientes enfrentando el error de tiempo de espera del servidor o de conexión es el peor escenario. Si tu sitio es golpeado por un gran DDoS y se cae, tus usuarios podrían recibir un mensaje como este:
¿Cómo detener un ataque DDoS en un sitio web WordPress?
WordPress permite a todos construir sitios web sin ningún conocimiento técnico, pero esto puede resultar en perder los sitios ante estos ataques DDoS. Como principiante, puede ser mucho para digerir y entender qué y cómo funcionan los ataques DDoS y cómo puedes evitarlos, pero tener un poco de conocimiento para reconocer las partes débiles siempre es una buena idea.
Consejos y pasos para prevenir los ataques DDoS en WordPress
Existen formas incluso más fáciles sin importar qué rango de tecnicidad poseas. Todos estos consejos y pasos te ayudarán a evitar los mejores ataques DDoS. Antes de hacer cualquier cosa, recomendamos hacer una copia de seguridad de tu sitio web para revertir en caso de cualquier error.
XML RPC permite que aplicaciones de terceros interactúen con tu sitio. Aplicaciones como WordPress para móvil usan XML RPC para conectarse. Entonces, si no estás usando ninguna de estas aplicaciones, puedes desactivarlo fácilmente para evitar cualquier ataque DDoS. Hay dos formas de desactivar XML-RPC.
- Vía método .htaccess
Desactiva xmlrpc.php usando .htaccess:
# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
allow from 123.123.123.123
</Files>
- Vía plugin
Si quieres desactivar XML RPC vía un plugin, puedes usar uno de estos plugins para desactivarlo:
Nota: Hay varios otros plugins disponibles que pueden desactivar XML RPC.
La JSON Rest API se usa para acceder, actualizar, eliminar, etc. datos de sitios WordPress. Para desactivar JSON Rest API, puedes usar Disable REST API.
Aunque desactivar XML RPC y REST API hace que tu sitio esté protegido en un nivel limitado, es mejor instalar un WAF (Website Activation Firewall).
El Website Activation Firewall actúa como un proxy entre tu sitio web y el tráfico. Bloquea todos los datos no deseados, contenido malicioso e IDs falsas que intentan interactuar, deteniéndolos incluso antes de llegar al servidor del sitio.
¡Aquí está cómo funciona el WAF en Sucuri!
Hay dos tipos de implementación de WAF
- Basado en la nube (implementado en la infraestructura de hosting)
- Hospedado (generalmente, un plugin instalado en WordPress)
Entre los dos anteriores, recomiendo el WAF basado en la nube ya que detiene los ataques antes de llegar a tu servidor. Algunos de los WAF para WordPress
Incluso instalando todos los firewalls del mundo, o tomando todas las medidas no te ayudará a veces. Necesitas saber cómo funciona tu sitio para notar cualquier cambio leve en tu sitio web cuando se están lanzando ataques DDoS a tu sitio.
Hazte el hábito de actualizar constantemente y prontamente tu WordPress y plugins. La mayoría de las veces, las actualizaciones del núcleo de WordPress y los plugins vienen con mejoras de seguridad que hacen tu sitio más seguro de lo que solía ser. Antes de actualizar, asegúrate de si la nueva actualización está funcionando bien para otros usuarios. A veces, las nuevas actualizaciones rompen algunos sitios que están usando ya sea la versión antigua de PHP o la versión antigua de JQuery, etc. Cosas para actualizar:
- Núcleo de WordPress
- Temas de WordPress
- Plugins de WordPress
- Versión de PHP
- Servidor Apache
- Servidor Nginx
Contacta a tu host y pregunta los pasos recomendados para evitar ataques DDoS. Usualmente, cada host tiene algunas pautas sobre cómo prevenir este tipo de ataques.
WordPress es una bendición cuando se trata de plugins, permitiéndote hacer toda la creatividad con los plugins, pero al mismo tiempo, pueden ser una amenaza para tu sitio. En cambio, con todos esos plugins ejecutando tu sitio, tener un plugin de seguridad puede ayudar con las cosas de seguridad. Algunos plugins mantienen los inicios de sesión desconocidos constantes fuera y mantienen el sitio web seguro. Recuerda, los plugins de seguridad están instalados en WordPress, y las solicitudes se verifican, se bloquean después de llegar al servidor web. Pero la parte segura es mantener el conocimiento de qué plugin es genuinamente auténtico y recomendado por la comunidad WordPress. Algunos plugins de seguridad recomendados son:
- Wordfence Security – Firewall & Malware Scan
- iThemes Security (formerly Better WP Security)
- Shield Security: Protection with Smarter Automation
Aquí hay un vistazo del Dashboard de Wordfence y cómo protege tu sitio con:
- Firewall
- Scan
CDN (Content Delivery Network) es un grupo de servidores distribuidos por todo el mundo, y puede ayudarte a mantener el rastro y agregar capas extra de seguridad haciéndolo un camino seguro para fluir. Algunos de los CDN que previenen ataques DDoS son:
Cloudflare proporciona protección gratuita contra ataques DDoS.
Aunque estos consejos vienen muy bien cada vez, necesitas ser extra cuidadoso al usar cualquier herramienta o plugin de terceros para mantener tu sitio seguro.
Lo peor que pasa después del ataque DDoS es perder tu ranking del sitio y no poder trabajar al mismo ritmo incluso después de recuperar el acceso al sitio después de los ataques.
