La Seguridad en HTACCESS, sin duda una de las maneras de mejorar de forma sencilla la Seguridad en WordPress.
En este nuevo Episodio de la Serie La Seguridad en WordPress vamos a ver una serie de puntos de seguridad que podemos aplicar y cómo hacerlo.
La Seguridad en HTACCESS en WordPress
Todos los puntos que vemos en este episodio son sólo algunas de las medidas de seguridad que podemos aplicar para mejorar la seguridad en WordPress desde el archivo HTACCESS.
Conocer todos los puntos de mejora y saber cómo hacerlo de forma manual nos servirá para complementar la instalación de cualquiera de los Plugins de seguridad que veremos en futuros episodios del podcast.
Todos estos son los puntos que te cuento durante el episodio:
* SSL: Redireccionar al protocolo https.
* Bloquear acceso a directorios y archivos importantes:
* Directorio includes en wp-admin y wp-includes.
* WP-CONFIG.
* htaccess.
* Directorios de temas y plugins en wp-content.
* Bloquear la ejecución de PHP.
* No permitir ver el índice de los directorios.
* Bloquear el acceso por IP o por rango de IPs.
* Redirecciones 301
* Bloquear HOTLINK.
* Bloquear User-Agents o Bots.
* Personalización de errores.
Y aquí te dejo todos los códigos del fichero HTACCESS para que los puedas copiar:
# BEGIN WordPress
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
# END WordPress
#SSL
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteCond %{REQUEST_URI} !^/[0-9]+\..+\.cpaneldcv$
RewriteCond %{REQUEST_URI} !^/[A-F0-9]{32}\.txt(?:\ Comodo\ DCV)?$
RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/[0-9a-zA-Z_-]+$
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
# Bloqueamos acceso al directorio includes
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
# Bloqueamos acceso a WP-CONFIG
Order Allow,Deny
Deny from all
# Sólo nuestra IP en el login
Order Allow,Deny
Deny from all
Allow from 127.0.0.1
# Protegemos nuestros HTACCESS
Order allow,deny
Deny from all
Satisfy all
# Cerramos acceso a directorios de themes y plugins
RewriteCond %{REQUEST_URI} !^/wp-content/plugins/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/plugins/directory/to/exclude/
RewriteRule wp-content/plugins/(.*\.php)$ - [R=404,L]
RewriteCond %{REQUEST_URI} !^/wp-content/themes/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/themes/directory/to/exclude/
RewriteRule wp-content/themes/(.*\.php)$ - [R=404,L]
# No permitir ver los directorios
Options -Indexes
# Bloquear HOTLINK
RewriteEngine On RewriteCond %{HTTP_REFERER} !^$ RewriteCond %{HTTP_REFERER}
!^http://(www\.)?your-site.com/.*$ [NC] RewriteRule \.(gif|jpg)$
http://www.your-site.com/hotlink.gif [R,L]
# Bloquear USER-AGENTS y BOTS
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} ^.
