SiteGround Security

Descripción

Con las funciones cuidadosamente seleccionadas y fáciles de configurar, el plugin proporciona todo lo que necesitas para asegurar tu web y evitar numerosas amenazas como ataques de fuerza bruta, accesos comprometidos, fugas de datos y mucho más.

Ajustes de acceso

Aquí puedes usar las herramientas que. hemos desarrollado para proteger la página de acceso de visitantes y bots no autorizados, y de otras conductas malintencionadas.

Custom Login URL

Change the default login url to prevent attacks and have an easily memorisable login URL. You can also change the default sign-up url if you have that option enabled for your website.

Important!
You can revert to the default login type by using the following snippet.

add_action( 'init', 'remove_custom_login_url' );
function remove_custom_login_url() {
    update_option( 'sg_security_login_type', 'default' );
}

Acceso al inicio de sesión

El acceso al inicio de sesión te permite limitar el acceso a la página de iniciar sesión a IPs específicas o a un rango de IPs para evitar intentos de acceso malintencionados en ataques de fuerza bruta.

¡Importante!
Si te bloqueas a ti mismo del panel de administración puedes añadir la siguiente opción al archivo functions.php de tu tema, recargar el sitio y luego quitarla una vez que consigas acceder. Ten en cuenta que esto también eliminará todas las IPs que tienen permiso de acceso a la página de acceso y será necesaria una nueva configuración:

add_action( 'init', 'remove_login_access_data' );
function remove_login_access_data() {
    update_option( 'sg_login_access', array() );
}

Identificación de dos factores

La identificación en dos factores para usuarios administradores forzará a todos los administradores a ofrecer un token al acceder, generado por la aplicación Google Authenticator.

Desactivar el nombre de usuario “admin”

Desactivar el usuario “admin” asegurará que a los usuarios actuales con ese nombre de usuario se les pedirá que lo cambien. También evitará el uso de ese nombre de usuario, ya que los hackers se apoyan en la existencia de ese nombre de usuario al realizar ataques de fuerza bruta.

Limitar los intentos de acceso

Al limitar los intentos de acceso puedes especificar el número de veces que los. usuarios pueden tratar de acceder con credenciales incorrectas. Si llegan a un límite específico la IP desde la que estén intentando acceder se bloqueará durante una hora. Si siguen haciendo intentos incorrectos se les restringirá durante 24 horas, y luego durante 7 días.

¡Importante!
Si te bloqueas a ti mismo del panel de administración puedes añadir la siguiente opción al archivo functions.php de tu tema, recargar el sitio y luego quitarla una vez que consigas acceder. Ten en cuenta que esto también eliminará el bloqueo de intentos fallidos de todas las IPs:

add_action( 'init', 'remove_unsuccessfull_attempts_block' );
function remove_unsuccessfull_attempts_block() {
    update_option( 'sg_security_unsuccessful_login', array() );
}

Seguridad del sitio

Con este conjunto de herramientas puedes reforzar tu aplicación WordPress y mantenerla a salvo de malware, exploits y otras acciones malintencionadas.

Bloquear y proteger las carpetas del sistema

El bloqueo y protección de carpetas del sistema te permite bloquear la ejecución de scripts malintencionados o no autorizados en las carpetas de sistema de tus aplicaciones.

Ocultar la versión de WordPress

Al usar la ocultación de la versión de WordPress puedes evitar ser marcado para ataques en masa debido a vulnerabilidades específicas de la versión.

Desactivar el editor de temas y plugins

Desactiva el editor de temas y plugins de la administración de WordPress para evitar errores de código potenciales o accesos no autorizados desde el editor de WordPress.

Desactivar XML-RPC

Puedes desactivar el protocolo XML-RPC, que ha sido usado recientemente en montones de exploits. Ten en cuenta que cuando se desactiva evita que WordPress se comunique con sistemas de terceros. Recomendamos usarlo, a menos que lo necesites específicamente.

Desactivar feeds RSS y ATOM

Desactiva los feeds RSS y ATOM para evitar el robo de contenido y ataques específicos contra tu sitio. Se recomienda usar esto en todo momento, a menos que tengas lectores que usen tu sitio mediante lectores RSS.

Protección XSS avanzada

Al activar la protección de XSS avanzada puedes añadir una capa adicional de protección contra ataques XSS.

Borrar el readme.txt predeterminado

Cuando borras el archivo readme.txt predeterminado, que contiene información sobre tu web, reduces las opciones de que termine en una lista de sitios potencialmente vulnerables, usada por hackers.

Registro de actividad

Aquí puedes supervisar en detalle la actividad de los visitantes registrados, desconocidos y bloqueados. Si su sitio está siendo hackeado, un usuario o un plugin fue comprometido, siempre puedes usar las herramientas rápidas para bloquear sus acciones futuras.

Important!
You can set a custom log lifetime ( in days ), using the following filter we have provided for that purpose.

add_filter( 'sgs_set_activity_log_lifetime', 'set_custom_log_lifetime' );
function set_custom_log_lifetime() {
    return 'your-custom-log-lifetime-in-days';
}

Acciones después de un hackeo

Reinstalar todos los plugins gratuitos

Si tu web ha sido hackeada siempre puedes reducir el daño usando la reinstalación de todos los plugins. Esto reinstalará todos tus plugins gratuitos, reduciendo la opción de otro exploit o el reuso de código malintencionado.

Desconectar a todos los usuarios

Puedes desconectar a todos los usuarios para evitar que realicen más acciones.

Forzar restablecimiento de contraseña

Fuerza el restablecimiento de contraseñas para forzar a todos los usuarios a cambiar su contraseña en el próximo acceso. Esto también desconectará a todos los usuarios al instante.

WP-CLI Support

In version 1.0.2 we’ve added full WP-CLI support for all plugin options and functionalities.

  • wp sg limit-login-attempts 0|3|5 – limits the login attempts to 3, 5, or 0 in order to disable it
  • wp sg login-access add IP – allows only specific IP(s) to access the backend of the website
  • wp sg login-access list all – lists the whitelisted IP addresses
  • wp sg login-access remove IP – removes IP from the whitelisted ones
  • wp sg login-access remove all – removes all of the whitelisted IP addresses
  • wp sg secure protect-system-folders enable|disable – enables or disables protects system folders option
  • wp sg secure hide-wordpress-version enable|disable – enables or disables hide WordPress version option
  • wp sg secure plugins-themes-editor enable|disable – enables or disables plugin and theme editor
  • wp sg secure xml-rpc enable|disable – enables or disables XML-RPC
  • wp sg secure rss-atom-feed enable|disable – enables or disables RSS and ATOM feeds
  • wp sg secure xss-protection enable|disable – enables or disables XSS protection
  • wp sg secure 2fa enable|disable – enables or disables two-factor authentication
  • wp sg secure disable-admin-user enable|disable – enables or disables usage of “admin” as username

Requisitos

  • WordPress 4.7
  • PHP 7.0
  • Archivo .htacces activo

Instalación

Instalación automática

  1. Ve a “Plugins > Añadir nuevo”
  2. Search for “SiteGround Security”
  3. Click on the Install button under the SiteGround Security plugin
  4. Una vez esté instalado el plugin haz clic en el enlace de “Activar plugin”

Instalación manual

  1. Accede a tu panel de administración de WordPress y ve a “Plugins -> Añadir nuevo”
  2. Selecciona el menú “Subir”
  3. Haz clic en el botón “Elegir archivo” y selecciona en tu explorador el archivo “sg-security.zip” que has descargado
  4. Haz clic en el botón “Instalar ahora”
  5. Go to Plugins -> Installed Plugins and click the ‘Activate’ link under the WordPress SiteGround Security listing

Reseñas

31 de julio de 2021
If you host your website with SiteGround, this is a breath of fresh air, because it's so easy to use. The default settings are well chosen, except that it shouldn’t disable XML-RPC by default. Some plugins require XML-RPC, notably Jetpack, which a great many installations use. This plugin is not a replacement for a firewall and antimalware. However, if your host is SiteGround, they run this in the background for you, so I found that using this plugin to replace my firewall and anti-malware made my life much simpler.
27 de julio de 2021
Hosting with SiteGround just got better with this plug-in.
15 de julio de 2021
This SG Security plugin worked great until I got locked out and had to ask SG Support to let me back in. They did and when I asked what had happened, they said, "I double-checked and our security plugin was asking to access the website with admin account so I disabled it from the File Manager and that worked perfectly." That's funny as I made no changes after I had enabled 2-step Google Authentication. But I didn't get that far because the webpage said - 'The access to that page has been restricted by the administrator of this website.' Now, I'm back to Wordfence only as I have lost trust in the SG Security plugin to work without locking me out again.
12 de julio de 2021
This is the best approach to what constitutes a solid WordPress security plugin. It has all the important features without hindering the performance of a website. The improvements are significant since switching from Wordfence. And from past experience with products from SG, it will probably get timely and useful updates over time as well. Highly recommended
Leer todas las 18 reseñas

Colaboradores y desarrolladores

Este software es de código abierto. Las siguientes personas han contribuido a este plugin.

Colaboradores

"SiteGround Security" ha sido traducido a 6 idiomas locales. Gracias a los traductores por sus contribuciones.

Traduce "SiteGround Security" a tu idioma.

¿Interesado en el desarrollo?

Revisa el código, echa un vistazo al repositorio SVN o suscríbete al registro de desarrollo por RSS.

Registro de cambios

Version 1.1.0

Release Date: July 27th, 2021
* NEW! Added 2FA backup codes to the profile edit page
* NEW! Custom login and registration URLs
* NEW! Added automatic HSTS headers generation
* Improved Disable common usernames functionality
* Improved Mass Logout Service
* Improved Activity Logging and added custom labeling
* Improved Password Reset functionality

Version 1.0.3

  • Fixed rating box bug on safari
  • Improved RSS & ATOM Feed Disabler service

Version 1.0.2

  • Added filter to configure log lifetime
  • Added WP CLI support
  • Improved strings

Version 1.0.1

  • Added defaults on install
  • Improved translation support
  • Added cleanup on uninstall

Version 1.0.0

  • Primera versión estable.

Version 0.1

  • Versión inicial.