Cómo proteger su sitio de WordPress de los ataques DDoS
Publicado: 2022-09-01Solo en 2021, los ciberdelincuentes lanzaron más de 9,75 millones de ataques DDoS. Dado el gran porcentaje de sitios web que ejecutan WordPress, proteger el suyo contra posibles amenazas DDoS debería ser una prioridad.
WordPress es la plataforma de CMS más popular del mundo, con más del 43 % de los sitios web en línea. Dado que el CMS es gratuito y fácil de usar, es posible que muchas personas que ejecutan sitios web de WordPress no tengan una seguridad integral.
Al igual que debe optimizar sus publicaciones de WordPress antes de presionar "publicar", su sitio web de WordPress necesita cierta protección antes de abrirse al público.
¿Qué es un ataque DDoS?
Un ataque de denegación de servicio distribuido (DDoS) es un método que utilizan los atacantes malintencionados para atacar los sitios de WordPress. El objetivo de estos ataques es simple. Los atacantes inundarán el sitio web de destino con tantas solicitudes que se bloqueará o se volverá tan lento que será inútil.
Al hacerlo, los atacantes evitan que los visitantes legítimos accedan al sitio web. También puede obligar a los propietarios de sitios web a aumentar los gastos de ciberseguridad durante algún tiempo.
Cómo funciona un ataque DDoS
El objetivo de un ataque DDoS es saturar un sitio web de destino. Sin embargo, los ataques que se originan en un solo servidor son fáciles de bloquear. Por eso, los ciberdelincuentes suelen utilizar botnets. Estas son redes de computadoras comprometidas infectadas con malware que el atacante puede controlar.
El uso de botnets también dificulta que los equipos forenses identifiquen la fuente del ataque una vez que comienzan las investigaciones.
Daño potencial que puede causar un DDoS
Cuando un ataque DDoS ataca su sitio web de WordPress, puede causar mucho daño. El impacto financiero en los sitios web de WordPress que no son comerciales puede ser menor pero no menos devastador. Si un DDoS llega a su sitio web, es posible que simplemente pierda el acceso a su sitio web por un período breve.
Los sitios web comerciales corren un riesgo mucho mayor y pueden sufrir una pérdida considerable. Estas son algunas de las posibles consecuencias;
- El impacto financiero inmediato de una pérdida de ventas
- Altas tarifas incurridas por análisis forense posterior al ataque
- Riesgo potencial de violaciones de datos
- Posible daño a la marca por la opinión negativa del cliente
Y más.
El problema con los ataques DDoS es que pueden ser difíciles de mitigar. Independientemente, hay varias formas de mejorar la resistencia de su sitio web de WordPress contra estos ataques;
Protección de su sitio web de WordPress contra ataques DDoS
Elija un servidor web confiable
La primera línea de defensa para cualquier sitio web de WordPress es siempre el proveedor de servicios de alojamiento web. Muchos usuarios nuevos a menudo se enfocan en los conceptos básicos del alojamiento web. Eso incluye el precio, los recursos, el tipo de plan y los obsequios que obtienen.
La seguridad es un aspecto esencial pero a menudo pasado por alto. Algunos proveedores de alojamiento web se asocian con marcas de seguridad reconocidas como Sucuri para proteger mejor sus redes. Otros, como UltaHost, tienen planes VPS DDoS dedicados.
No se preocupe si esto lo confunde. Dado que WordPress es tan popular, muchos hosts también ofrecen opciones de alojamiento de WordPress administrado. Estos planes particulares le permiten concentrarse en crear y ejecutar su sitio de WordPress mientras el proveedor de servicios se encarga de los detalles técnicos como la seguridad.
Utilice una red de entrega de contenido
Una red de entrega de contenido (CDN) es una colección de servidores distribuidos en todo el mundo que trabajan juntos para entregar los activos estáticos de su sitio web de manera rápida y confiable. El objetivo es asegurarse de que su sitio web cargue rápido.Sin embargo, las CDN también brindan beneficios de seguridad adicionales de los que quizás no esté al tanto. Gracias a las redes de servidores globales, los sitios web pueden reducir el área de superficie de ataque potencial mediante la distribución de cargas. Esencialmente, está tomando prestados los servidores CDN para aumentar artificialmente el potencial de manejo del tráfico de su sitio web.
Gracias a esta característica, los atacantes necesitarán gastar muchos más recursos si quieren que su ataque DDoS tenga éxito. Si se determina al atacante, aún puede superar un sitio web que utiliza un CDN.
Si bien la mayoría de los CDN requieren una suscripción paga, Cloudflare ofrece un plan gratuito que debería funcionar bien para individuos y pequeñas empresas. Alternativamente, algunos CDN también tienen precios muy asequibles, como BunnyCDN.
Utilice un cortafuegos de aplicaciones web
Otra función de seguridad que puede utilizar es un cortafuegos de aplicaciones web (WAF). Un WAF es una pieza de software que se encuentra entre su sitio web e Internet, protegiéndolo de usuarios maliciosos. Lo hace filtrando solicitudes, comprobando comportamientos sospechosos y deteniendo el tráfico potencialmente peligroso antes de que llegue a su servidor.
Puede usar un WAF para hacer muchas cosas. Además de proteger contra ataques DDoS, pueden bloquear inyecciones de SQL o XSS, evitar intentos de inicio de sesión de fuerza bruta en sitios de WordPress y más. Muchos CDN incluirán una función WAF, a veces gratis o con un pequeño costo adicional.
Desactivar pingbacks XML-RPC
Deshabilitar XML-RPC Pingbacks es esencial para reducir la cantidad de solicitudes que recibe su sitio. Esta característica es lo que permite a los usuarios dejar comentarios en su blog o sitio web a través de un pingback. Desafortunadamente, los atacantes DDoS también abusan de él con frecuencia.
Para hacer esto, vaya a Configuración > Discusión , luego haga clic en “ Deshabilitar pings y trackbacks ”.
Una vez que haya hecho eso, desplácese hacia abajo hasta que vea XML-RPC Pingbacks . Haz clic en “ Desactivar ” junto a él y guarda los cambios .
Si no hay una opción para deshabilitar XML-RPC Pingbacks en la página de configuración de su tema o en el panel de complementos (como con el mismo WordPress), también puede considerar usar un complemento de seguridad. Los buenos complementos a considerar incluirán WordFence o Sucuri Security.
Actualice WordPress regularmente para reducir las vulnerabilidades
Para ayudar a proteger su sitio web de los ataques DDoS, debe mantener actualizados WordPress y sus complementos, temas y complementos de seguridad. Los desarrolladores a menudo revisan estas aplicaciones para abordar deficiencias como fallas de seguridad, además de introducir nuevas funciones.
Puede actualizar WordPress de forma manual o automática siguiendo estos pasos:
- Inicie sesión en su cuenta del sitio web de WordPress
- Haga clic en Tablero en el menú de navegación izquierdo
- Seleccione Actualizaciones
- Actualice los complementos que se muestran en esa pantalla
Muchos servidores web también ofrecen a los clientes la opción de actualizar WordPress automáticamente a través del panel de control de alojamiento web. Para obtener más información al respecto, hable con su proveedor de alojamiento web.
Además, siempre tenga cuidado con los complementos que elija agregar a su sitio web de WordPress. No todos los complementos son iguales en calidad. Algunos introducen vulnerabilidades o errores desagradables, como bloquearlo de su panel de administración de WordPress.
Deshabilitar la API REST
WordPress viene con la API REST habilitada de forma predeterminada. Esta característica es un vector potencial para los ataques DDoS porque permite a los usuarios externos realizar solicitudes a su servidor. Los atacantes pueden usar esto para abrumar el sitio o hacer que se bloquee.
Sin embargo, la API REST no es necesaria para que WordPress funcione, sea seguro o eficiente. Si está deshabilitado, no perderá ninguna funcionalidad que tenga actualmente con su sitio; permanecerá como estaba antes de deshabilitar la API REST.
La mejor manera de deshabilitar la API REST de WordPress es usando un complemento como Perfmatters. Los complementos como este le permitirán modificar fácilmente algunas configuraciones con botones de alternar, sin necesidad de codificación.
Conclusión
WordPress es una gran plataforma para la creación y gestión de contenido. Pero no es perfecto y no lo protegerá de todas las amenazas de seguridad. Debe ser proactivo en la protección de su sitio, por lo que le recomendamos que utilice un firewall de aplicaciones web u otros servicios similares que puedan analizar el tráfico procedente de fuentes externas.
Incluso si ignora todas las demás opciones, un buen servidor web y un CDN confiable son los mínimos necesarios para proteger su sitio web de WordPress de los ataques DDoS.