Área: Web y certificados

WordPress

Con vuestra web WordPress conectada (solo lectura): versión del núcleo, plugins y temas desactualizados o abandonados, plugins inactivos y administradores.

Qué puede encontrar

Abre cada uno para ver qué significa y cómo arreglarlo.

WordPress desactualizado

Qué significa

Vuestro WordPress está por detrás de la última versión. Las antiguas conservan agujeros que las nuevas ya han corregido.

Qué te podría pasar

Los atacantes barrean Internet buscando WordPress desactualizados. Un núcleo sin parchear es una de las formas más habituales de tomar una web.

Cómo lo aprovecharía un atacante

Un escáner automático encuentra vuestra versión, la relaciona con un exploit público y sube una puerta trasera por un agujero conocido del núcleo.

Cómo arreglarlo

En el escritorio de WordPress, id a Escritorio → Actualizaciones y actualizad WordPress.
Haced antes una copia de seguridad de ficheros y base de datos, si vuestro alojamiento no la hace solo.
Tras actualizar, abrid la web y el escritorio para comprobar que todo sigue funcionando.
Activad las actualizaciones automáticas de versiones menores si podéis.

Cómo comprobar que está arreglado

Ward vuelve a leer vuestra web en cada análisis. El hallazgo desaparece cuando el núcleo coincide con una versión con soporte.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

Plugins de WordPress desactualizados

Qué significa

Estos plugins tienen una versión más nueva en WordPress.org. Las actualizaciones suelen incluir correcciones de seguridad.

Qué te podría pasar

Los plugins desactualizados son una puerta habitual a las webs WordPress. Los de seguridad y los que llevan meses atrás son objetivos especialmente atractivos.

Cómo lo aprovecharía un atacante

Un agujero conocido en un formulario de contacto o un plugin de seguridad desactualizado permite subir un fichero y tomar la web.

Cómo arreglarlo

En el escritorio de WordPress, id a Plugins y actualizad los de la lista, empezando por los de seguridad.
Leed el registro de cambios de las actualizaciones mayores antes de aplicarlas en una web ajetreada.
Eliminad los plugins que ya no necesitáis en lugar de dejarlos desactualizados.

Cómo comprobar que está arreglado

Ward compara vuestras versiones con WordPress.org en cada análisis. El hallazgo desaparece cuando todos los plugins de la lista están al día.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

Plugins de WordPress abandonados

Qué significa

Estos plugins están cerrados en WordPress.org o llevan más de dos años sin actualizarse. Ya no reciben correcciones de seguridad.

Qué te podría pasar

Un plugin abandonado sigue en el servidor con los agujeros que tuviera. Los atacantes siguen usando exploits viejos contra webs que nunca los quitaron.

Cómo lo aprovecharía un atacante

Un plugin de hace años con un exploit público sigue instalado. El atacante usa ese agujero aunque en el día a día el plugin parezca «apagado».

Cómo arreglarlo

Decidid si aún necesitáis cada plugin de la lista.
En el escritorio de WordPress, desactivad y borrad los que podáis sustituir o dejar.
Si tenéis que conservar alguno un tiempo, buscad una alternativa mantenida y planificad el cambio.

Cómo comprobar que está arreglado

Ward consulta WordPress.org en cada análisis. El hallazgo desaparece cuando los plugins abandonados se eliminan o sustituyen.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

Plugins de WordPress inactivos

Qué significa

Estos plugins están instalados pero desactivados. No están en marcha, pero sus ficheros siguen en el servidor.

Qué te podría pasar

Los plugins inactivos se pueden alcanzar si tienen un agujero conocido. Dejarlos instalados es una puerta innecesaria.

Cómo lo aprovecharía un atacante

Un atacante pide un fichero PHP de un plugin viejo e inactivo y ejecuta código por un agujero que nadie parcheó porque nadie pensó en actualizar un plugin apagado.

Cómo arreglarlo

En el escritorio de WordPress, id a Plugins → Inactivos.
Borrad todos los plugins que no penséis volver a usar.
Si alguno os puede hacer falta más adelante, anotadlo y quitadlo hasta entonces.

Cómo comprobar que está arreglado

Ward lista los plugins instalados en cada análisis. El hallazgo desaparece cuando se borran los inactivos.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

Temas de WordPress desactualizados

Qué significa

Estos temas tienen una versión más nueva. El tema activo sirve todas las páginas públicas, así que sus actualizaciones importan más.

Qué te podría pasar

Los agujeros de un tema pueden dejar inyectar contenido o tomar la web, sobre todo en el tema que está en marcha.

Cómo lo aprovecharía un atacante

Un agujero conocido en el tema activo permite inyectar JavaScript en todas las páginas o subir una puerta trasera por un fichero del tema.

Cómo arreglarlo

En el escritorio de WordPress, id a Apariencia → Temas y actualizad los de la lista.
Actualizad primero el tema activo, tras una copia de seguridad.
Eliminad los temas que no uséis, incluidos los predeterminados viejos a los que nunca cambiáis.

Cómo comprobar que está arreglado

Ward compara las versiones con WordPress.org en cada análisis. El hallazgo desaparece cuando los temas de la lista están al día.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

Demasiados administradores de WordPress

Qué significa

Vuestra web WordPress tiene más cuentas de administrador de las necesarias. Cada una puede instalar plugins, cambiar temas y crear usuarios.

Qué te podría pasar

Cada administrador es una llave maestra más de la web. Cuantos más hay, más posibilidades de que roben una contraseña.

Cómo lo aprovecharía un atacante

Uno de varios administradores, que apenas usa el escritorio, cae en un correo de phishing. El intruso instala un plugin maligno y toma la web.

Cómo arreglarlo

Decidid quién necesita de verdad ser administrador: suelen bastar dos o tres personas.
En el escritorio de WordPress, id a Usuarios y cambiad el rol del resto a Editor o Autor.
Usad contraseñas fuertes y distintas y, si podéis, un plugin de seguridad que añada MFA a los administradores.

Cómo comprobar que está arreglado

Ward lista los administradores en cada análisis. El hallazgo desaparece cuando hay tres o menos.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.