10 reglas de Nginx para fortalecer la seguridad de WordPress

WordPress es, hasta la fecha, el CMS más popular con más del 30% de cuota de mercado en la web. Con tal cantidad de cuota de mercado, WordPress a menudo se convierte en blanco de amenazas de seguridad. Entonces, para el propietario de un sitio de WordPress, es mejor tomar algunas medidas para reforzar la seguridad de su sitio.

1. Limitar el acceso a XMLRPC

El archivo XMLRPC en WordPress se usa para permitir que una aplicación externa interactúe con los datos de WordPress.

Por ejemplo, puede permitir agregar, crear o eliminar una publicación. Sin embargo, XMLRPC también es un vector de ataque común en el que el atacante puede realizar esas operaciones sin autorización.

Es mejor permitir la solicitud a XMLRPC desde una IP autorizada en la que confías, así:

Una vez que se agrega lo anterior, deberías ver la respuesta del código de error 403 al cargar xmlrpc.php en el navegador.

2. Limitar los tipos de solicitud

La mayoría de las veces tu sitio web solo puede realizar dos tipos de solicitudes, es decir, get recupera datos de tu sitio y post sube datos a tu sitio. Limitar el tipo de solicitud que nuestro sitio puede manejar solo a estos dos suena como una buena idea aquí. 

3. Acceso directo a archivos PHP

Si de alguna manera, un ciberdelincuente ingresa con éxito un archivo PHP en tu sitio, podrá ejecutar este archivo cargando el archivo que, efectivamente se convierte en una puerta trasera para infiltrarse en su sitio. Deberíamos deshabilitar el acceso directo a cualquier archivo PHP agregando las siguientes reglas:

4. Archivos de configuración

Similar al archivo PHP, un dotfile o archivo de configuración como .htaccess.user.ini.git puede contener información sensible. Para estar más seguro, es mejor deshabilitar el acceso directo a estos archivos.

5. Ocultar versiones de Nginx y PHP

Es mejor que cierta información no se exponga, como la versión de Nginx y la versión de PHP. Esto no evitará el ataque en sí. Sin embargo, suponiendo que una versión particular de Ningx o PHP tenga vulnerabilidad expuesta, el atacante no podrá conocerlo fácilmente desde tu sitio. Para ocultar la versión de Nginx debes hacer lo siguiente:

6. Encabezados de seguridad

Los encabezados de seguridad proporcionan una capa adicional de seguridad al dictar el comportamiento del navegador. Por ejemplo, X-Frame-Options evitará que tu sitio se cargue desde un iframe, a menos que sea desde tu propio sitio. Strict-Transport-Security obligará al navegador a cargar tu sitio desde HTTPS.

7. Bloquear el acceso a subdirectorios

Si tu sitio se ejecuta en un subdirectorio como /blog, es mejor permitir el acceso a este subdirectorio. Significa que cualquier acceso oscuro a otros directorios que un atacante siempre busca, por ejemplo, /82jdkj/?.php estará bloqueado.

8. Reducir el spam

Los comentarios de spam, aunque puede que no dañen tu sitio, inundarán tu base de datos con contenido basura o un contenido malicioso. Este posiblemente podría aprovecharse como un vector. Para reducir las entradas de spam, puedes agregar las siguientes reglas a tu configuración de Nginx junto con un plugin contra spam como Akismet.

9. Límite de solicitudes

La página de inicio de sesión de WordPress wp-login.php es un punto final común para un ataque de fuerza bruta. El atacante intentará abrirse paso en tu sitio enviando múltiples combinaciones de nombre de usuario y contraseña. Esto generalmente se hace varias veces en un segundo.

Para esto, podemos aplicar una regla que limitará la cantidad de solicitudes que la página puede manejar por segundo. Aquí establecemos el límite en 2 solicitudes por segundo; de lo contrario, la solicitud se bloqueará.

10. Deshabilitar listado de directorio

Por último, pero no menos importante, debes deshabilitar la lista de directorios para que el atacante no sepa qué hay en el directorio. Hay muy pocas razones por las que sé dónde es útil el listado de directorios en un sitio de WordPress.