Los plugins más destacados para salvaguardar WordPress de malware y virus son Wordfence Security, WP Cerber Security, Anti-Malware Security and Brute-Force Firewall y All-In-One Security (AIOS). Todos ellos examinan el núcleo, los plugins y la base de datos en busca de código inyectado. La decisión depende de los recursos de tu hosting, puesto que estos análisis generan una carga considerable.
Desde hace ya varios años, WordPress es el CMS más empleado del momento con diferencia, lo que conlleva que también sea el más expuesto a sufrir ataques malintencionados y en el que se producen más infecciones de malware, ya sea porque los atacantes aprovechan ciertas vulnerabilidades que van surgiendo, por instalar elementos nulled o pirata, o porque utilizamos contraseñas inseguras en nuestro sitio web y han logrado acceso a todos nuestros contenidos.
En caso de que tu web ya haya sido vulnerada, lo ideal es que lleves a cabo una desinfección completa en toda la instalación; desde Raiola Networks contamos con un procedimiento de desinfección que asegura la limpieza total del virus, y que puedes consultar desde aquí (también podemos encargarnos nosotros de ello, tan solo contacta con nosotros y te facilitamos coste y condiciones sin ningún compromiso): https://raiolanetworks.com/blog/como-desinfectar-un-sitio-web-wordpress-hackeado/
Dicho esto, y para intentar reducir las posibilidades de que nos afecte cualquier tipo de malware, existen algunos plugins en WordPress que te ayudarán a mejorar la seguridad de tu sitio web, por lo que, en este post, hablaremos sobre 4 plugins que funcionan como antivirus y también permiten analizar los archivos del núcleo de WordPress, sus plugins e incluso la base de datos en busca de contenidos inyectados o maliciosos.
Este tipo de plugins suelen ser de gran ayuda, ya que además de permitirnos configurar ciertas medidas de seguridad (protección contra accesos de fuerza bruta, modificar URL de administrador, protección de amenazas en tiempo real, etc.), te van a permitir detectar vulnerabilidades en la instalación, para poder gestionarlas y prevenirlas lo antes posible.
Es recomendable tener en cuenta que este tipo de plugins pueden generar bastante carga en la web y en el hosting, sobre todo al ejecutar los análisis de malware (lo recomendable es automatizarlos en horas en las que no se produzcan muchas visitas, por ejemplo, de madrugada), o al tener ciertas opciones activadas (por ejemplo, la protección en tiempo real de Wordfence).
Índice del artículo
Wordfence Security
El primer plugin del que vamos a hablar es Wordfence, que es sin duda el plugin de seguridad más popular que existe en WordPress, ya que dispone de una gran cantidad de funcionalidades, y su herramienta de análisis de malware, es una de las más potentes del mercado. Además, la versión gratuita del plugin suele ser más que suficiente para la gran mayoría de webs. Puedes descargarlo directamente desde el repositorio de WordPress: https://es.wordpress.org/plugins/wordfence/
Entre sus características más relevantes, Wordfence incluye un firewall de aplicaciones web, la detección de malware en tiempo real, el posible escaneo de archivos en busca de vulnerabilidades, bloqueo de direcciones IP sospechosas o notificaciones de seguridad en tiempo real.
Además, también ofrece funciones de análisis de tráfico y protección contra fuerza bruta, y tal como indicamos anteriormente, los análisis que realiza este plugin suelen detectar gran cantidad de archivos infectados o vulnerabilidades en tu sitio web, gracias a su gran base de datos, que es una de las que más información dispone en comparación al resto de plugins.
Una de las mayores desventajas de este plugin, es el consumo elevado de recursos que realiza, por lo que si no tienes un hosting potente o suficientes recursos en tu servidor, te recomendaríamos valorar otro tipo de opciones (o activarlo únicamente para realizar análisis manuales de forma periódica). Además, actualmente es necesario configurar una licencia para poder utilizar la versión gratuita, por lo que puede ser algo tedioso para usuarios no avanzados, y la configuración puede ser algo compleja.
Wordfence también tiene planes premium, uno más enfocado a personas que gestionan por su cuenta la página web (que incluye soporte y actualizaciones de las reglas de firewall y definiciones de análisis de la base de datos de Wordfence en tiempo real), hasta un plan en el que realizan una auditoría de seguridad en tu web, te configuran el plugin dependiendo de las necesidades de tu web, y la monitorizan y desinfectan en caso de que tengas algún tipo de problema: https://www.wordfence.com/products/
En caso de que te interese conocer más en profundidad las configuraciones que te permite realizar este plugin, así como todas sus opciones, tenemos una guía exclusiva sobre el plugin Wordfence que te podría interesar.
WP Cerber Security
Otro de los plugins más completos y conocidos de seguridad en WordPress es WP Cerber Security, que también tiene versión gratuita, aunque en este caso no es posible descargarlo desde el propio repositorio de WordPress (debido a ciertos problemas de vulnerabilidades no solventadas a tiempo en el pasado), tendrías que descargarlo desde la página web oficial, te dejo el enlace por aquí: https://wpcerber.com/installation/
Con WP Cerber Security, puedes realizar una configuración básica de seguridad en un par de clics (en unos minutos está finalizada), lo que te permitirá tener un nivel de seguridad en la instalación suficiente para webs que no requieran ciertas opciones de securización específicas.
Aun así, el plugin tiene multitud de configuraciones, desde la protección contra ataques de fuerza bruta, la monitorización en tiempo real, el bloqueo de IP maliciosas o el registro detallado de eventos de importancia.
Realmente, el plugin es similar a Wordfence en opciones y características, y también permite llevar a cabo análisis de malware y vulnerabilidades en tu web de forma periódica.
Lo más interesante de la versión de pago del plugin serían los escaneos periódicos automáticos, la limpieza de malware y la configuración de ciertas normas de seguridad: https://wpcerber.com/#cerber-pricing
Si te interesa conocer más en profundidad todas las opciones, ventajas y desventajas del plugin, tenemos una guía completa del mismo que te puede interesar: https://raiolanetworks.com/blog/wp-cerber-wordpress/
Anti-Malware Security and Brute-Force Firewall
En nuestra opinión, es uno de los mejores plugins de análisis que existen en WordPress, casi al nivel del propio Wordfence, ya que permite analizar toda la instalación al completo, incluida la base de datos, en busca de inyecciones de JS.
El plugin puedes descargarlo directamente desde el repositorio de WordPress de forma gratuita: https://wordpress.org/plugins/gotmls/
Una vez instalado el plugin, y para poder aprovecharlo al 100%, es necesario que accedas a https://gotmls.net/ y te suscribas en la misma. De esta forma, tendrás acceso para descargar las definiciones más recientes de amenazas conocidas, además de parches de seguridad.
Una vez realices estos pasos, tendrás a tu disposición una de las herramientas de análisis más potentes que existen en WordPress, no obstante, el plugin no dispone de muchas más configuraciones a nivel securización, aparte de la protección por fuerza bruta o la configuración de escaneos automatizados, por lo que normalmente, solo lo utilizamos para analizar la web en determinados momentos.
All-In-One Security (AIOS) – Security and Firewall
Por último, hablaremos un poco sobre All-In-One Security, que es otro de los plugins más completos de seguridad en WordPress, el cual puedes descargar de forma gratuita también desde el repositorio de WordPress: https://es.wordpress.org/plugins/all-in-one-wp-security-and-firewall/
La edición gratuita del plugin cuenta con numerosas prestaciones, entre las que se incluyen la puesta en marcha del WAF (Firewall de Aplicaciones Web), la protección del acceso a WordPress, la defensa frente a ataques de fuerza bruta, el ajuste de determinadas reglas de seguridad o un informe sobre el grado de seguridad de tu sitio web, junto con las configuraciones y medidas aplicadas.
Conviene tener presente que la versión sin coste presenta ciertas restricciones en todos los ajustes, si bien puede resultar suficiente para la inmensa mayoría de los sitios web.
No obstante, si requieres una configuración u opciones algo más concretas, puedes plantearte adquirir una licencia para conseguir la versión pro, la cual te dará acceso, entre otras cosas, al soporte premium, al análisis automático de malware, a la protección anti-bots, al bloqueo automático de peticiones 404 generadas por bots y a alguna otra configuración bastante atractiva que puedes consultar desde aquí: https://aiosplugin.com/why-upgrade-to-premium/
