Objectiu

Revisar i aplicar mesures de seguretat bàsiques al WordPress del portfoli, deixant constància de l’estat de cada mesura.

Pas 1: Comprovar que tot està actualitzat

A Tauler > Actualitzacions es comprova que WordPress (7.1.2), els plugins i els temes estan a l’última versió. Mantenir-ho actualitzat tanca vulnerabilitats conegudes.

Pas 2: Comprovar que no es permet el registre d’usuaris nous

A Ajustos > General, l’opció ‘Qualsevol pot registrar-se’ està desmarcada, així ningú pot crear comptes al lloc. El rol per defecte és Subscriptor (el més limitat).

Pas 3: Comprovar que no s’usa l’usuari admin

A Usuaris > Tots els usuaris es veu que l’únic administrador és jcastellanos (la resta són comptes de prova amb rols limitats: autor, editor, col·laborador i subscriptor). No existeix l’usuari típic ‘admin’, que és el primer que proven els atacs de força bruta.

Pas 4: Tancar comentaris i pingbacks per defecte

A Ajustos > Debat es desmarquen ‘Permet als visitants comentar a les noves entrades’ i ‘Permet notificacions d’enllaços d’altres blocs (pingbacks i trackbacks)’. Així es redueix el spam i una via d’atac. Els comentaris ja estaven en moderació prèvia.

Pas 5: Eliminar els plugins que no es fan servir

A Plugins > Plugins instal·lats es revisa quins plugins hi ha. S’han desinstal·lat els que estaven inactius i no es feien servir (Akismet, Hello Dolly i PortalPilot), perquè un plugin que no s’utilitza continua sent codi que es pot atacar i que cal mantenir actualitzat. Només queden instal·lats els necessaris.

Pas 6: Actualitzacions automatiques dels plugins

A Plugins > Plugins instal·lats, a la columna Actualitzacions automàtiques, s’ha activat l’opció per als tres plugins instal·lats. Així, quan apareix una versió nova (sovint amb correccions de seguretat) s’instal·la sola i el lloc no depèn que jo la instal·li a mà.
 

Pas 7: copies de seguretat

He instalat “updraftplus” que serveix per realitzar totes les copies de seguretat

Amb l’objectiu de reforçar la seguretat del portfoli web, s’ha efectuat una auditoria i aplicació de mesures bàsiques de protecció, documentant l’estat de cada paràmetre:

• Manteniment del sistema: Des del tauler d’actualitzacions s’ha garantit la darrera versió del nucli de WordPress (7.1.2), així com de tots els plugins i temes actius, eliminant les escletxes de seguretat conegudes.
• Gestió d’accessos i usuaris: S’ha desactivat el registre lliure de nous usuaris (Ajustos > General), deixant el rol de «Subscriptor» com a perfil predeterminat. A més, s’ha eliminat l’usuari genèric «admin» (Usuaris), mantenint l’administració sota l’àlies jcastellanos i assignant rols restrictius (autor, editor, col·laborador) a la resta de comptes de prova per mitigar atacs de força bruta.
• Prevenció d’SPAM i vectors d’atac exterior: A Ajustos > Debat, s’han deshabilitat els comentaris en noves entrades i les notificacions de tipus pingback i trackback, reduint el tràfic no desitjat.
• Optimització i reducció de codi: S’han eliminat els plugins inactius (Akismet, Hello Dolly i PortalPilot), conservant únicament els estrictament necessaris per reduir la superfície d’exposició a possibles vulnerabilitats.
• Automatització i manteniment continu: S’han programat les actualitzacions automàtiques per a totes les extensions actives.
• Còpies de seguretat: S’ha integrat l’eina UpdraftPlus per gestionar i automatitzar els demanats de respatller (backups) de la base de dades i fitxers del lloc web.