Aumentar la seguridad en WooCommerce

Acciones como el robo de datos, instalación de malware o caída de la web… Son muy comunes en tiendas online. Es normal que como gestores de nuestro negocio no sepamos mucho sobre estos temas, pero tenemos que tener una base de seguridad en nuestro e-commerce esté lo más protegido posible.

En este tutorial os voy a dar las bases de seguridad para cualquier web enfocada a WordPress+WooCommerce. Como veréis en el tutorial, no voy a explicar los mejores plugins ni nada por el estilo, sino explicar acciones y hábitos que tenemos que tener cuando gestionamos nuestro WooCommerce.

Contraseñas seguras

Para poder acceder a nuestra web, necesitamos una clave. Este es el primer paso que tenemos que trabajar: Crear una contraseña segura con estas características:

• Que contenga más de 15 caracteres: La contraseña más segura es la más larga, puesto que si nos intentan entrar por fuerza bruta tardarán mucho más.
• Contenga minúsculas, mayúsculas, números y símbolos. Con esto, será más difícil de descifrar.
• No utilices palabras, fechas, caracteres secuenciales en tu teclado o contraseñas famosas como «password» o «1234».
• En WooCommerce puedes cambiar el nivel de seguridad de las contraseñas.

Mi consejo es que practiquéis cada día entrando con esa clave, así no se os olvida. Si controláis muchas claves de sitios en vuestro día a día, os recomiendo usar el gestor de Google, o bien 1password o Lastpass.

Si quieres profundizar más sobre la gestión de contraseñas, te dejo este post de Avast.

Restringe los intentos de iniciar sesión

Aunque tengamos una contraseña segura, si viene un bot o programa informático a probar todas las contraseñas no nos servirá de nada. Debido a esto, debemos limitar los intentos de inicio de sesión por usuario e IP.

Instalando este plugin gratuito del repositorio de WordPress podremos limitarlo.

Autenticación en dos factores(2FA)

Otra de las formas de bloquear un ataque de fuerza bruta es habilitando el segundo factor de verificación en tu WordPress. El 2FA consiste en que necesitas algo más que la clave para poder acceder, por ejemplo: un código que te mandan al mail o sms, el código en tu app de Autenticator, etc.

Esto es algo ya muy habitual cuando hacemos una compra en el banco o accedemos a otra red social desde otro dispositivo. Nuestra tienda online no puede ser menos.

Lo podemos instalar en WordPress con este plugin gratuito del repositorio.

Mantén la tienda actualizada

En cuanto a la versión de WordPress, Theme y plugins. Tener la última versión siempre activa nos garantiza que si había una brecha de seguridad está cerrada, por lo que es importante realizar actualizaciones constantemente.

También debes vigilar aquellos plugins que llevan mucho tiempo sin actualizarse. Si son simples o para una acción muy concreta es normal que no se actualicen, pero el resto sí. Resaltando que los que conectan con otras bases de datos, programas o redes sociales son los más sensibles.

Bloquea los pingbacks y trackbacks

Las funciones de pingbacks y trackbacks, no se utilizan en las tiendas de WooCommerce. Es recomendable desactivarlas ya que podrían realizar ataques DDoS de bajo nivel y enviar spam a tu sitio web. Para deshabilitar esta función, añada las siguientes líneas al archivo .htaccess:

# INICIO Bloqueo pingbacks y trackbacks
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>
# FIN Bloqueo pingbacks y trackbacks

Copias de seguridad

Un básico que he comentado varias veces, ya que si todo lo anterior falla estaremos protegidos para recuperar nuestro negocio. Os lo explico en detalle en este post.

Mejores plugins de seguridad

Para complementar todo lo comentado actualmente os dejo un resumen de los plugins que podéis probar:

• Sucuri Security analiza su sitio en busca de malware y vulnerabilidades.
• iThemes Security funciona para reconocer amenazas, spam y actividades de piratas informáticos.
• All In One WP Security & Firewall dirigido a trabajar con contraseñas e inicios de sesión, pone límites en la cantidad de intentos de inicio de sesión.
• Google Authenticator agrega una segunda capa de seguridad a tu tienda online.
• Shield Security agrega autenticación de dos factores, escanea y bloquea el spam.
• Autenticación de dos factores proporciona autenticación de dos factores.
• Loginizer Limite los intentos de inicio de sesión para IP sospechosas.

No hace falta instalarlos todos, con uno o dos es suficiente para las funciones que realizan.

Conclusiones

WooCommerce es seguro en general, pero la tienda online no lo es. Estas medidas de seguridad, son las más recomendadas para que podamos tener un control y evitar que puedan entrar en el ecommerce fácilmente.

Os recomiendo también revisar mi artículo sobre certificados de seguridad, son muy importantes en tiendas online.