Referencia
Diccionario de seguridad
Definiciones cortas de términos de seguridad WordPress. Úsalas cuando una guía entra en jerga, o recorre por categoría cuando estás aprendiendo el panorama.
Explorar por categoría
Ataques
Formas habituales en que se atacan los sitios WordPress.
- Credential stuffing El credential stuffing reutiliza nombres de usuario y contraseñas robados de otras filtraciones contra tu inicio de sesión.
- Cross-site scripting (XSS) El cross-site scripting (XSS) inyecta JavaScript malicioso en páginas que ejecutarán los navegadores de otros usuarios.
- CSRF El CSRF engaña a un navegador con sesión abierta para que envíe una petición que el usuario no quería enviar.
- DDoS Un ataque DDoS inunda un sitio o su infraestructura con tráfico para que los visitantes legítimos no puedan pasar.
- Ejecución remota de código La ejecución remota de código es una vulnerabilidad que deja a un atacante correr código controlado por él en el servidor.
- Escaneo 404 El escaneo 404 es el sondeo automatizado de URLs inexistentes para encontrar restos, copias de seguridad y rutas vulnerables conocidas.
- Fuerza bruta Un ataque de fuerza bruta prueba muchas contraseñas o tokens hasta que uno funciona, normalmente contra el formulario de acceso.
- Inyección SQL La inyección SQL engaña a una consulta de base de datos para ejecutar SQL controlado por el atacante, a menudo por un mal manejo de la entrada.
- Malware El malware en WordPress es código no deseado que roba datos, envía spam, redirige visitantes o mantiene abierta una puerta trasera.
- Phishing El phishing engaña a la gente para que entregue credenciales o instale malware haciéndose pasar por alguien de confianza.
- Puerta trasera Una puerta trasera es acceso oculto que deja un atacante para volver sin la vulnerabilidad original.
- Toma de control de cuenta La toma de control de cuenta es cuando un atacante obtiene el control de una cuenta legítima y puede actuar como ese usuario.
- Vulnerabilidad de subida de archivos Una vulnerabilidad de subida de archivos deja a un atacante colocar un archivo peligroso en el servidor, a menudo hacia un webshell.
- Webshell Un webshell es un script pequeño subido al servidor que deja a un atacante ejecutar comandos desde el navegador.
Acceso
Inicios de sesión, roles y quién puede hacer qué.
- Autenticación de dos factores (2FA) La autenticación de dos factores (2FA) exige una segunda prueba de identidad tras la contraseña, como un código de app.
- Contraseñas de aplicación Las contraseñas de aplicación son credenciales por app que WordPress puede emitir para que las integraciones se autentiquen sin usar tu contraseña principal.
- Escalada de privilegios La escalada de privilegios es ganar más acceso del previsto, por ejemplo que un suscriptor se convierta en administrador.
- Mínimo privilegio Mínimo privilegio significa que cada usuario e integración obtiene solo el acceso requerido para su trabajo, nada más.
- Roles de usuario de WordPress Los roles de usuario agrupan capacidades que deciden qué puede hacer cada cuenta en WordPress, desde leer hasta admin completo.
- Secuestro de sesión El secuestro de sesión roba o adivina una sesión válida para que el atacante actúe como el usuario con sesión abierta.
Endurecimiento
Controles que encarecen un ataque.
- Cabeceras de seguridad Las cabeceras de seguridad son cabeceras de respuesta HTTP que indican al navegador cómo tratar tus páginas con valores por defecto más seguros.
- Endurecimiento de seguridad El endurecimiento es el conjunto de cambios de configuración y proceso que hacen un sitio más difícil de abusar.
- Integridad de archivos del núcleo La integridad de archivos del núcleo es la certeza de que los archivos del núcleo de WordPress coinciden con versiones conocidas buenas y no han sido manipulados.
- Limitación de ritmo La limitación de ritmo pone tope a cuántas veces puede ocurrir una acción desde una IP o cuenta, y así frena el abuso automatizado.
- Monitoreo de integridad de archivos El monitoreo de integridad de archivos comprueba si archivos importantes cambiaron respecto a una línea base conocida como buena.
- SSL/TLS SSL/TLS cifra el tráfico entre navegadores y tu servidor para que contraseñas y cookies sean más difíciles de espiar.
- WAF de WordPress Un WAF filtra el tráfico HTTP para bloquear ataques web habituales antes de que lleguen a WordPress.
Monitoreo
Detectar problemas antes de que se conviertan en incidentes.
- Análisis programado El análisis programado ejecuta comprobaciones de seguridad de forma automática en un horario repetido y puede avisarte de hallazgos nuevos.
- Auditoría de seguridad Una auditoría de seguridad es una revisión estructurada de riesgos, malas configuraciones y correcciones recomendadas de un sitio.
- CVE Un CVE es un identificador público de una vulnerabilidad de ciberseguridad conocida, rastreada en bases de datos compartidas.
- Falso negativo Un falso negativo es un problema de seguridad real que una herramienta o proceso no detectó.
- Falso positivo Un falso positivo es una alerta que parece un problema pero, tras revisarla, resulta benigna.
- Registro de eventos El registro de eventos guarda acciones relevantes para la seguridad para que puedas ver qué cambió y cuándo.
- Vulnerabilidad Una vulnerabilidad es una debilidad en el software que los atacantes pueden abusar para romper confidencialidad, integridad o disponibilidad.
Mentalidad
Cómo pensar el riesgo sin teatro de seguridad.
- Asumir la brecha Asumir la brecha significa diseñar como si un atacante ya pudiera tener un pie dentro, de modo que detección y recuperación importen tanto como la prevención.
- Confianza cero La confianza cero trata cada petición como no confiable hasta verificarla, y limita lo que puede alcanzar cualquier identidad.
- Defensa en profundidad La defensa en profundidad apila varios controles para que una actualización perdida o una contraseña débil tengan menos probabilidad de acabar en desastre.
- Respuesta a incidentes La respuesta a incidentes es el proceso estructurado de detectar, contener, limpiar y aprender de un incidente de seguridad.
- Teatro de seguridad El teatro de seguridad es actividad que se siente protectora pero no reduce de forma significativa el riesgo real.
Específico de WordPress
Términos que solo tienen sentido en WordPress.
- Cadena de suministro de plugins El riesgo de cadena de suministro de plugins es cuando el código o las actualizaciones de un plugin de confianza se vuelven vía de ataque.
- Nonce de WordPress Un nonce de WordPress es un token de corta vida usado para verificar que una petición fue intencional, sobre todo para reducir el riesgo de CSRF.
- Plugin nulled Un plugin nulled es una copia no autorizada, normalmente modificada, de un plugin de pago que suele incluir malware o puertas traseras.
- Protección de acceso La protección de acceso es el conjunto de controles que endurecen el inicio de sesión de WordPress frente a bots y ataques de credenciales.
- REST API La REST API de WordPress es una interfaz HTTP JSON en /wp-json/ usada por el editor, apps y muchos plugins.
- Salts de WordPress Los salts de WordPress son claves secretas en wp-config.php que ayudan a asegurar cookies, nonces y operaciones criptográficas relacionadas.
- wp-config.php wp-config.php guarda credenciales de base de datos, claves y ajustes centrales de WordPress del sitio.
- XML-RPC XML-RPC es un endpoint de API antiguo de WordPress que los atacantes suelen abusar para fuerza bruta y amplificación.
