Si tenemos nuestro propio blog con WordPress es importante tomar medidas básicas de seguridad para que cualquier desaprensivo no pueda dañarlo. Estos trucos que he recopilado son para gente que tiene instalado WordPress en su propio hosting y aunque no impedirán que un experto en seguridad puede fastidiarnos, si nos protegerán de los típicos script kiddies o lammers.

1. Tener siempre la última versión:

Con cada nueva versión WordPress no solo añade novedades, también corrige importantes fallos de seguridad. Actualizar a menudo es imprescindible en cualquier CMS.

2. No informar sobre que versión de WordPress estamos usando:

Por defecto WordPress pone en el código fuente del blog la versión que tenemos instalada. Esto puede ayudar a un atacante a aprovechar fallos de seguridad conocidos, especialmente si se trata de versiones antiguas. Ese dato es sencillo de eliminar, solo deberemos cambiar en el archivo header.php de nuestra plantilla el siguiente código:

<meta name=”generator” content=”WordPress <?php bloginfo(’version’); ?>” />

Por este:

<meta name=”generator” content=”WordPress” />

3. Proteger la carpeta de plugins:

Si un posible atacante sabe que plugins tenemos instalados en WordPress también podría aprovecharse de sus fallos de seguridad. Para proteger dicha carpeta (/wp-content/plugins) basta con colocar en su interior un archivo vacío llamado index.html.

4. Evita que WordPress dé pistas para acceder al panel de control:

Cuando al acceder al panel de administración te equivocas con el usuario o la contraseña, WordPress intenta ayudarte informando de cual de los 2 datos es el incorrecto. Una función poco útil para el administrador pero si interesante para cualquier intruso que pretenda “hackear” tu blog.

Para corregir este exceso de confianza por parte de WordPress debes añadir el siguiente código dentro del archivo functions.php de tu plantilla:

add_filter('login_errors',create_function('$a', "return null;"));

5. Cambia el nombre del usuario administrador por defecto:

Cualquier persona que haya instalado alguna vez WordPress sabe que el usuario por defecto es admin y que si averigua su contraseña tendrá acceso total al panel de control. Pero por desgracia WordPress no nos ofrece una forma rápida para cambiar dicho nombre y tendremos que hacerlo desde la base de datos:

-Accedemos a PhpMyAdmin (o el gesto de base de datos que usemos).

-Dentro de la base de datos de WordPress buscamos la tabla wp_users (que puede variar si elegimos durante la instalación un prefijo diferente de wp_). Abrimos la tabla para editarla.

- Tendremos que cambiar admin en los campos user_login y user_nicename, en ambos el mismo nuevo nombre. El campo display_name es el nombre que aparece como autor si escribimos artículos con ese usuario, no es obligatorio cambiarlo.

Tras guardar los cambios si intentamos acceder como admin al panel de administración nos saldrá un error y deberemos poner el nuevo usuario con la anterior contraseña.

6. Usa contraseñas seguras:

Algo tan básico como importante, pues muchas veces los intrusos usaran ataques de fuerza bruta. Es decir, mediante scripts probaran contraseñas aleatorias o de un diccionario hasta encontrar cual está usando tu usuario.

Una contraseña segura debe ser larga (yo recomendaría al menos 12 caracteres) y debe mezclar letras mayúsculas, minúsculas, números y símbolos especiales. Si quieres generarlas automáticamente puedes usar el servicio: password.es

7. Bloquea el acceso al archivo de configuración:

Modificando el archivo .htaccess podemos proteger el fichero de configuración de WordPress: wp-config.php, impidiendo el acceso externo al servidor gracias a Apache. Para ello añadimos en .htaccess las siguientes lineas:

<files wp-config.php>
Order deny,allow
deny from all
</files>

8. Bloquea IP que introduzcan datos de acceso erróneos:

La forma más cómoda de hacerlo es con el plugin Login LockDown

Este plugin realiza 2 funciones:

-Monitoriza y guarda las IP que intentaron entrar en el panel de administración con usuarios o contraseñas no validos.

-Nos permite configurar un numero máximo de intentos fallidos, si una IP excede la cantidad marcada es bloqueada durante el tiempo que elijamos. Muy útil para complicar los ataques de fuerza bruta pues el intruso se verá obligado a usar miles de proxys para descubrir una contraseña segura.

Por último comentar que hay otros trucos más agresivos para mejorar la seguridad y también otros plugins. Pero yo he seleccionado los trucos que considero más importantes y cómodos, además ninguno de los cambios que aconsejo se destruyen con la actualización de WordPress, solo necesitamos hacerlos una vez.

Fuentes: ayudawordpress.com y anieto2k.com

¿Nunca os habéis preguntado cuales son los códigos de todos los emoticonos disponibles por defecto en WordPress? Algunos como la sonrisa son evidentes, otros como la cara verde no lo son tanto. Pues bien, aquí tenéis un listado completo de los emoticonos que vienen por defecto con WordPress y el código necesario para que aparezcan (sin las comillas):

“:)”	“:-)”	“:smile:”
“:D”	“:-D”	“:grin:”
“:lol:”
“:mrgreen:”
“:(”	“:-(”	“:sad:”
“:x”	“:-x”	“:mad:”
“:cry:”
“:-o”	“:eek:”
“8O”	“:shock:”	“8-O”
“:?”	“:-?”	“:???:”
“:p”	“:-p”	“:razz:”
“8)”	“8-)”	“:cool:”
“:roll:”
“:evil:”
“:twisted:”
“:oops:”
“;)”	“;-)”	“:wink:”
“:|”	“:-|”	“:neutral:”
“:!:”
“:idea:”
“:arrow:”

Otra opción más cómoda es usar algún plugin, por ejemplo WP Smilies, que nos permita agregarlos en las entradas del blog o los comentarios de forma gráfica. Aunque claro, esto solo nos sirve en nuestro WordPress, mientras que estos códigos sirven para cualquier instalación de WordPress, otros CMS compatibles e incluso algunos clientes de correo o chat.

Por último recordad que no es bueno usar demasiados emoticonos, tienen su gracia pero acaban cansando.

Si piensas en crear una tienda online para tu negocio o para un cliente, seguramente busques un buen “carrito de compra” (como se les suele llamar a los CMS dedicados a la venta de productos). He escrito esta lista con las opciones que considero más interesantes y una breve opinión sobre cada uno. Todos son gratuitos y, a excepción de CubeCart, todos son software libre.

Oscommerce: El CMS para crear tiendas online más usado con diferencia, tiene una comunidad enorme, miles de extensiones para casi todo lo que podamos necesitar y resulta muy sencillo encontrar documentación sobre Oscommerce. Su gran desventaja: lleva muchos años sin renovarse y está obsoleto en todos los sentidos. Oscommerce es un fósil (y la prometida nueva versión 3.0 no parece que vaya a salir nunca) pero si no somos programadores o no tenemos el tiempo suficiente, muchas veces nos veremos obligados a usarlo al ser el único que tiene una extensión que necesitamos. Aún así debes saber que personalizar a fondo su apariencia o instalar una extensión puede ser un infierno, está tan anticuado que no dispone de sistema de plantillas integrado (si de terceros), ni de un sistema sencillo de extensiones.

Magento: Algunos le llaman el Oscommerce del futuro. Es un proyecto dirigido por la empresa Varien muy joven y moderno, aunque ya se encuentra en versiones bastante estables. Toda su interfaz hace uso de Ajax para mejorar su estética y usabilidad, está diseñado para ser escalable al máximo mediante extensiones, tiene un buen sistema de plantillas, está preparado para SEO, etc… en definitiva tiene casi todo lo que podamos pedirle a un CMS moderno y a un carrito de compra. Su gran desventaja: es un mastodonte, de los CMS más pesados que he probado, además de ser bastante exigente respecto a la configuración del hosting. Por lo demás es posiblemente la mejor alternativa hoy en día, pues su comunidad a pesar de ser joven es muy activa y crece rápidamente.

Zen-Cart: Una de las respuestas a la falta de actualizaciones por parte de Oscommerce, los creadores de Zen-Cart se basaron en Oscommerce para crearlo pero actualizando las partes que ya se habían quedado más anticuadas. Es un proyecto bastante maduro, aunque cuenta con poco soporte por parte de la comunidad y últimamente se ha quedado un poco estancado. Aun así, para tiendas no muy complejas puede ser una buena alternativa.

Opencart: También basado en Oscommerce, sus desarrolladores han buscado sobretodo limpiar lo sobrante y simplificar su configuración y uso (el panel de administración es de los más sencillos de usar). Es una buena alternativa para pequeños negocios que no necesiten funciones avanzadas. Su comunidad de desarrollo es poco activa, por ejemplo creo que aun ni existe una traducción completa al español.

Digistore: Otro proyecto basado en Oscommerce, en este caso por una empresa. Principalmente han mejorado el panel de administración (más completo y sencillo de manejar), han actualizado la interfaz de usuario, agregado un sistema de plantillas, han integrado un editor visual de textos, etc… hay que admitir que han hecho un buen trabajo actualizando Oscommerce. Su gran desventaja: la empresa que lo desarrolla apenas se preocupa de crear una comunidad de usuarios, solo de ofrecer servicios de pago. Lo que provoca que este CMS apenas sea usado, sea difícil encontrar documentación o no tenga traducción oficial al español. Incluso para descargarlo tenemos que pedir antes un código de acceso que nos envían por correo electrónico. En definitiva, una opción interesante pero que sus propios desarrolladores están matando con su política cerrada.

PrestaShop: Uno de los CMS para tiendas online con más futuro, aunque aún necesita seguir avanzando en cuanto a opciones. Es muy sencillo de instalar y configurar. Además, al contrario que Magento, es una aplicación bastante rápida y liviana. Conforme su comunidad de usuarios vaya creciendo, de momento es pequeña, creo que se convertirá en una de las mejores opciones. De momento, aún sin ser la opción más completa, puede ser muy interesante para pequeños negocios.

Virtuemart: Es un Script que se basa en el CMS Joomla. En mi opinión es una de las mejores opciones, es muy completo pero no resulta demasiado complejo. Además se integra completamente en Joomla, por lo que resulta muy útil para sitios web que ya usen este CMS o quieran crear algo más que una tienda online, por ejemplo un portal de fotografía donde además se vendan cámaras. Pero esto también resulta ser una desventaja, muchas veces solo necesitamos una tienda online y tener que instalar también Joomla no supondrá más trabajo de configuración inicial y también de mantenimiento.

Drupal e-Commerce: El equivalente a VirtueMart pero para Drupal. No es una mala extensión si usas Drupal en sitio web y quieres agregarle una tienda online. Pero le falta mucho desarrollo hasta ser tan completo como VirtueMart o Magento, por ejemplo.

CubeCart: Es un CMS de pago pero que dispone de una versión más antigua de forma gratuita. No es una mala alternativa, es un software bastante maduro y que funciona correctamente. Pero tiene muchas desventajas: un enlace publicitario en la versión gratis, mala traducción al español y está mal adaptado al mercado español. Solo recomiendo probarlo si las opciones anteriores no nos convencieran.

Por supuesto hay más opciones, tanto gratuitas como de pago. Yo he hecho esta lista con los “carritos de compra” que considero más maduros o interesantes para casos concretos. También es necesario aclarar que es muy difícil encontrar un CMS para una tienda online que cumpla de serie todo lo que necesitamos, casi siempre necesitaremos agregar extensiones que modifiquen sus opciones,  además de módulos de pago y de envío. De ahí la importancia de tener una comunidad de usuarios grande.

Si queréis probar estos CMS sin tener que instalarlos a mano os puede ser útil este artículo.

Me ha sorprendido este nuevo plugin para WordPress llamado Anti-AdBlock, que sin duda creara mucha polémica. Su función es mostrar un aviso (en forma de pop-up) a los usuarios de Firefox que tengan instalado el complemento antipublicidad Adblock o su versión más avanzada Adblock Plus.

Para quien no conozca AdBlock o no sea usuario de Firefox, es uno de los complementos más conocidos y usados, hasta el punto de ser el más descargado según Mozilla. Y hay que admitir que hace su trabajo realmente bien, bloqueando todo tipo de publicidad sea gráfica, en formato flash, mediante javascript o incluso de forma selectiva capas CSS. Además autoactualiza su base de datos a menudo y es totalmente personalizable.

Y aquí empiezan los problemas y la razón de ser del plugin Anti-Adblock. Debido a su gran eficacia (bloquea eficientemente servicios publicitarios como Adsense, Adbrite, DoubleClick, etc.) y a que Firefox tiene cada vez mayor cantidad de usuarios, muchas páginas ven en peligro su única fuente de ingresos, la publicidad. Un problema que afecta sobretodo a portales de noticias y blogs.

Anti-Adblock está pensado para concienciar sobre este problema a los visitantes de un sitio e intentar convencerles para que lo agreguen a la lista blanca en Adblock (lo que le permitiría seguir mostrando su publicidad). ¿Cómo lo realiza?:

• Al entrar teniendo activo Adblock el plugin de WordPress nos muestra un mensaje  pop-up (que podemos configurar a nuestro gusto).
• Podemos dar la opción al visitante de cerrarlo o hacer que desaparezca pasado un tiempo.
• Mediante cookies podemos decidir cuantas veces se muestra el aviso a cada visitante, pudiendo seleccionar que solo salga una vez.

¿Realmente es necesario llegar a estos extremos?, supongo que es una decisión personal, igual que lo es poner o no publicidad en un sitio web. Adblock nació de una necesidad, poder navegar por páginas cargadas de ventanas emergentes y banners de forma más rápida y cómoda, pero quizás ni sus creadores contaron con que llegaría tan lejos. Es un excelente complemento para Firefox pero también es cierto que muchas páginas de calidad que visitamos a diario de forma gratuita y que no tienen demasiada publicidad, merecerían un puesto en la lista blanca para seguir existiendo y no morir por falta de ingresos.

También hay que aclarar que según las normas de Google Adsense, no se puede poner su publicidad en sitios web que tengan elementos flotantes, como pop-ups. Por lo que mucho me temo que en el caso de Adsense usar Anti-AdBlock puede provocar que Google bloquee nuestra cuenta.

Es una pregunta que todos nos hemos hecho alguna vez y es que las posibilidades a la hora de elegir un CMS son muy amplias, hay tantos gestores de contenido en la actualidad que es fácil perderse en interminables búsquedas. Y el problema ya se acentúa cuando trabajamos en un proyecto que se sale de lo habitual, por ejemplo un portal de vídeos o una web de anuncios clasificados.

Si te encuentras en este problema seguramente te resulten útiles las siguientes páginas web:

Interesante portal dedicado principalmente a los CMS libres y gratuitos. Tiene una gran variedad de software instalado en sus servidores para que podamos hacer pruebas, como usuario y también como administrador. Por seguridad cada varias horas se reconfigura todo automáticamente, así se evita que alguien “sin querer” desconfigure un CMS, impidiendo a los demás probarlo.

opensourcecms.com

Este portal es diferente, no tiene el software instalado, ni tampoco permite probar los gestores de contenido. Es más bien una base de datos, muy amplia, de las funciones que incorpora cada CMS. Si seleccionáis varios diferentes y luego pincháis en el botón “Compare”, se obtiene una tabla comparativa, lo que nos permite descartar software que no tenga las posibilidades que buscamos en ese momento.

cmsmatrix.org

Por supuesto, siempre tenemos también la “opción B”: programarlo nosotros mismos. Aunque por la cantidad de horas de trabajo que implica hacer un CMS de calidad, casi nunca nos compensara empezar de cero un proyecto de este tipo.