WP Cerber: plugin de seguridad esencial para WordPress

WP Cerber es una colección de plugins de seguridad para WordPress y asegura que el acceso permanezca seguro, examina el flujo del tráfico y analiza el estado de la instalación. No se puede encontrar en el repositorio oficial de plugins de WordPress debido a errores obsoletos los cuales hasta ahora no han sido parcheados por lo que se instala manualmente descargando el archivo ZIP desde su sitio/subidas FTP.

También hay una serie de elementos a considerar al momento de crear un sitio web o al momento de administrarlo, tales como: -Que sea de fácil uso, accesible y navegable (queremos que el usuario no se pierda entre nuestros menús y enlaces y que se vaya sin encontrar la información que debía buscar), -Que el contenido que ofrecemos sea útil para los usuarios, -Que si creamos un llamado a la acción para los usuarios estos deben interactuar con él, -Y así sucesivamente.

De estos aspectos muchos serán idénticos a pesar del uso que se le quiera dar a la web. Uno de estos aspectos podría ser el de la seguridad. No necesariamente tienes que traducir el contenido de tu sitio web a varios idiomas. Sin embargo, sería realmente conveniente que tu sitio web fuera seguro.

No se trata sólo de nosotros y de nuestro sitio web, también se trata de nuestro cliente y de nuestra reputación. ¿Qué dice de nuestra empresa si después de comprar algo en nuestro sitio web el cliente se da cuenta de que le han robado la información? ¿Qué pensará el cliente si hoy visita nuestro sitio web y descubre que podría estar infectado y luego vuelva a revisarlo después de 15 o 30 días y descubra que aún no se ha hecho nada?

Para evitar que esto suceda en nuestro sitio web tenemos a nuestra disposición medios que pueden aumentar el nivel de seguridad de la instalación, por ejemplo WP Cerber.

Qué es y cómo se instala WP Cerber

WP Cerber es una suite de seguridad para WordPress y a través de ella podemos realizar muchos ajustes para proteger nuestro sitio web y también analizarlo. Nos ayuda a entender el estado de nuestra instalación.

Se puede instalar descargándolo desde su sitio web oficial, desde aquí: https://downloads.wpcerber.com/plugin/wp-cerber.zip y subiendo el archivo a nuestro sitio web desde “Administración de WordPress > Plugins > Añadir plugin”

También podríamos descargar/subirla usando el FTP o el Administrador de Archivos de nuestro host a la carpeta correspondiente al sitio web bajo “/wp-content/plugins/”.

Si optamos por subirlo por FTP o al hosting a través del administrador de archivos, necesitaremos descomprimirlo antes para que la instalación pueda reconocerlo posteriormente.

No me permite instalar WP Cerber desde el repositorio

En la mayoría de los casos existe la opción de instalar el plugin a través del repositorio de WordPress durante la instalación de la versión gratuita del plugin; sin embargo, en el caso de WP Cerber esta opción no puede ser utilizada ya que el plugin no se encuentra en el repositorio oficial de WordPress.

Las dos razones principales de esta gestión son las vulnerabilidades encontradas en versiones anteriores de WP Cerber, las cuales quedaron sin parchear a pesar de haberse encontrado hace muchos años, incluso cuando estas vulnerabilidades estaban en versiones más antiguas y ya habían sido parcheadas en versiones más nuevas.

De los debates en su foro, los desarrolladores del plugin han mencionado que planean regresar al repositorio. Sin embargo, hasta ahora no se ha decidido ninguna fecha para ello.

Para estar actualizados por el repositorio oficial de WP Cerber tendremos que instalarlo en tu «Panel de Control > Configuración > Usar repositorio de plugin de WP Cerber».

Configuración de WP Cerber

Como la mayoría de los elementos y particularmente dado que la mayoría de los paquetes de seguridad incorporan tantas características (y Cerber WP es un elemento así) lo podemos configurar de varias maneras para que se adapte lo más posible a nuestro sitio web y a cualquier condición temporal que pueda requerir una mayor seguridad.

Dashboard

Casi todas las partes de esta sección son informativas; nos van a dar el acceso (con la información del usuario, la fecha y la IP) y los bloques que se han hecho.

Sin embargo, otras secciones sí nos van a ayudar a hacer cambios que serán fascinantes para la seguridad de nuestro sitio web.

• Ajustes: aquí podemos realizar múltiples configuraciones respecto al inicio de sesión en nuestra web, principalmente: establecer límites de intentos de acceso y tiempo de bloqueo si se alcanza, modificación de la URL de acceso por una personalizada, bloquear intentos de acceso con usuarios que no existan, y bloquear peticiones a «wp-login.php». Un ajuste importante a realizar en este apartado, es el uso del repositorio de WP Cerber en vez del predeterminado (donde no está disponible el plugin).

Esto también nos permitirá configurar el modo «Ciudadela» donde solo las direcciones IP que se hayan listado en la lista de direcciones IP permitidas puedan acceder al sistema y podemos elegir por cuánto tiempo queremos conservar los registros.

En webs con mucho tráfico especialmente, es aconsejable establecer una duración de los registros de actividad más reducida, o eliminar periódicamente esos registros, ya que puede ocasionar un gran tamaño en algunas de las tablas de WP Cerber en la base de datos.

• Listas de acceso: aquí podemos añadir IPs a lista blanca (lo correspondiente a IPs permitidas), lo que hará que no se vean afectadas por los límites establecidos en la configuración, como acceder al sitio con el modo Ciudadela activo, registrarse en el sitio web si los ajustes generales lo permiten y utilizar REST API y XMLRPC sin limitaciones. En el caso de IPs bloqueadas, no podrán loguearse en la web, enviar formularios o comentarios, registrarse, y tampoco hacer uso de REST API o XMLRPC.
• Endurecimiento: en este apartado tenemos ajustes adicionales, principalmente para evitar que se pueda detectar información de usuarios o detalles (que puedan utilizarse luego para ataques por fuerza bruta) o bloquear la ejecución de PHP en cargas (en el directorio uploads).

• Notificaciones: podemos configurar qué notificaciones queremos recibir por correo y la cuenta de destino de estas (si vamos a usar la misma que tenemos en el usuario administrador, podemos dejarlo en blanco). Es importante en este apartado configurar una cuenta de correo que revisemos con frecuencia, ya que de lo contrario podemos perdernos notificaciones importantes.

Inspector de tráfico

• Tráfico en vivo: en este apartado podemos ver las solicitudes o acceso que se realizan en nuestro sitio web y las inspecciona para poder bloquearlas si las detecta como maliciosas, sería la parte WAF de esta suite.
• Ajustes: el modo recomendado de reportes por defecto es ‘Inteligente’, podemos incluir también alguna exclusión si detectamos algún error, configurar los datos que queremos almacenar y también los días que queremos almacenar la información de acceso de los usuarios.

Normas de seguridad

Esta es una funcionalidad que viene con la versión de pago.

Esto nos permite aplicar limitaciones (que varían según los roles de los usuarios) en cuanto al país en diversos aspectos de la web como el acceso a la página, la posibilidad de agregar un comentario, llenar un formulario o el registro (ningún usuario podrá utilizar esto si deshabilitamos el aspecto de registro en nuestro sitio web).

Políticas de usuario

• Políticas de roles: es posible efectuar ajustes según el rol del usuario, por ejemplo hacia dónde queremos que redirija al iniciar o cerrar sesión, ocultar la barra de herramientas en el sitio web, la duración de la sesión, impedir el acceso al panel de administración de WordPress, o activar 2FA.

Si el acceso se produce desde alguna de las IPs incluidas en la White List, 2FA no le afectaría, puesto que es una de las configuraciones que posibilita ‘omitir’.

• Políticas globales: en este apartado podemos bloquear o autorizar el registro que coincida con ciertas cuentas de correo electrónico, permitir que solo los usuarios registrados puedan ver nuestra web, bloquear determinados nombres de usuario para el registro o el inicio de sesión, fijar el tiempo de sesión del usuario, desactivar la opción de ‘Recordarme’ al iniciar sesión (útil sobre todo en equipos compartidos) u ordenar los usuarios por fecha de registro.

Integridad del sitio

• Escaneo de seguridad: nos posibilita lanzar un análisis de nuestro sitio web, para comprobar tanto el estado del núcleo de WordPress como el de los elementos que empleamos (plugins y tema).

• Ajustes: podemos establecer la configuración del escaneo, nos permite excluir directorios o extensiones y elegir si la búsqueda de nuevos archivos o la modificación de archivos debe excluirse, limitarse para archivos ejecutables o aplicarse a todos.
• Programación: esta función solo está disponible en la versión Pro, no en la gratuita. Permite programar el análisis para que se realice en X momento y configurar la información que debe contener el informe que nos enviará por correo.
• Limpiando: función disponible únicamente en la versión Pro. Aquí podemos seleccionar qué queremos que haga WP Cerber cuando detecta en algún escaneo algún fichero infectado o desatendido (considera así los ficheros que no reconoce como parte normal de cualquier carpeta, tema o complemento).
• Lista de ignorados: aquí podremos ver los archivos que hayamos marcado para ignorar en el apartado de Escaneo, y quitarlos de esta lista si queremos que se tengan en cuenta en futuros análisis.
• Cuarentena: en este apartado podremos ver los ficheros eliminados por la opción ‘Limpiando’ y nos permitirá recuperarlos.
• Analítica: nos permitirá generar informes con la información obtenida mediante un escaneo completo. Podremos ver los archivos más grandes de nuestro sitio web, estadísticas de extensiones de archivo y un resumen de las rutas de nuestra instalación (plugins, temas, directorio de subidas y core).

Antispam

• Motor Antispam: podemos proteger los formularios de nuestra web con un motor de detección de bots (este es propio de WP Cerber) y desactivar las configuraciones para usuarios conectados o los que aparezcan en la lista de IPs permitidas.

• ReCaptcha: nos permite configurar reCaptcha y elegir los formularios que queremos proteger con él. Podremos activar esta protección o desactivarla para los formularios más habituales (formularios estándar de WordPress como el de inicio de sesión o registro, formularios de WooCommerce o formulario de comentarios). En este apartado, el formulario de registro y el de inicio de sesión son dos opciones básicas que debemos habilitar en cualquier caso, igual que los de WooCommerce si lo utilizamos.

Actualmente WP Cerber solo permite configurar la versión v2 de reCaptcha, incluida la invisible. Si queremos emplear la versión v3, tendríamos que usar un plugin adicional.

Cerber.hub

Esta función en WP Cerber nos ayuda a controlar múltiples sitios web desde la distancia.

Si el sitio web está utilizando la versión gratuita entonces está limitado solamente al modo de solo lectura sin poder cambiar los ajustes pero no hay ninguna restricción al número de sitios web que puedas administrar.

Esta gestión se limita únicamente a configuraciones de WP Cerber, no podremos cambiar en los sitios web administradores configuraciones del sitio web.

Herramientas

• Administrar configuración: en este apartado podremos exportar e importar ajustes de WP Cerber (nos puede resultar especialmente útil si queremos establecer la misma configuración en varios de nuestros sitios web), habilitar la configuración por defecto o importar listas de IPs permitidas e IPs bloqueadas.

• Diagnóstico: nos proporciona información sobre el entorno en el que se aloja la web, los plugins que tenemos habilitados y las tablas de base de datos correspondientes al plugin. Si vemos alguna tabla con un número de filas muy elevado, deberemos revisar la configuración del plugin en cuanto a retención de logs y valorar si se puede eliminar.
• Registro de diagnóstico: aquí solo veremos información si en el apartado ‘Ajustes’ de Integridad del sitio hemos habilitado este registro, nos permitirá revisar posibles errores del escaneo de integridad.
• Bitácora de cambios: podemos ver el registro de cambios de WP Cerber y las modificaciones que se introducen en cada versión.
• Licencia: aquí es donde tendremos que configurar la licencia si disponemos de la versión Pro del plugin.

WP Cerber vs Wordfence

Es bastante común cuando se trata de considerar como poner uno de estos programas de seguridad en nuestro sitio web de no estar seguro de cual es el adecuado para mí.

Hay muchas cosas que debemos recordar y, aunque es cierto que debemos tomar en cuenta todas las posibles opciones que nos da cada complemento, es muy esencial que tomemos la decisión que sea más manejable para nosotros.

En cuanto a las funciones, ambos plugins ofrecen funciones casi similares y ambos tienen una versión de pago y una versión gratuita; sin embargo, la versión de pago de WP Cerber es más barata.

WP Cerber es más sencillo de configurar incluso para los novatos porque para un sitio web normal la opción de activar los ajustes por defecto después de instalar el plugin está a solo unos pocos clics de distancia y es una opción que nos podría servir muy bien a largo plazo siempre y cuando nuestro sitio web no tenga ningún problema serio que lo haga necesario para asegurarle.

En cuanto a Wordfence, en las últimas actualizaciones han hecho necesaria la instalación de una licencia incluso si vamos a utilizar la versión gratuita, lo cual significa que primero debemos registrar nuestro sitio web en su sitio web y eso significa que esto no es un problema para un usuario avanzado pero al principio quizás no queramos complicarnos y queremos algo que se instale y funcione fácilmente.

WP Cerber, ¿versión free o pro?

Si hemos optado por WP Cerber o lo estamos usando pero no sabemos si necesitamos el de Premium, la respuesta será: depende.

Para la versión de pago las posibilidades son: Estándares de Seguridad, Programación de Escaneo Web y Limpieza. Puede que no sea necesario establecer limitaciones por países o simplemente no sea necesario de la misma manera que una limitación de rol de usuario. Si tenemos algún tipo de gestión continua de nuestro sitio web entonces quizás no sea necesario un escaneo programado pero simplemente lo iniciamos.

Si requerimos una mayor seguridad para nuestro sitio web podemos considerar la versión de pago. Esto es especialmente cierto si operamos numerosos establecimientos y deberíamos tener un plan de respaldo instantáneo en caso de que haya un problema de seguridad en nuestro sitio web.

Preguntas Frecuentes