Cómo solucionar y prevenir ataques XSS en WordPress

¿Te preocupa que los hackers ataquen tu sitio web?

El Cross-site scripting, también llamado XSS, es uno de los ataques más comunes en sitios de WordPress. Los hackers encuentran vulnerabilidades en tu sitio y las usan para robar información y hacer un mal uso de tu sitio web.

Lo que es peor es que si no lo solucionas de inmediato, estos hackeos podrían causar daños más graves, de esos de los que es muy difícil recuperarse.

Puedes prevenir estos hackeos instalando un firewall en tu sitio de WordPress.

Si tu sitio web ya está bajo ataque, te mostraremos cómo solucionarlo de inmediato en un lenguaje sencillo y apto para principiantes. Mantendremos la jerga de ciberseguridad al mínimo en este tutorial. También te mostraremos cómo prevenir futuros ataques.

Primero, entendamos rápidamente qué sucede en un ataque XSS para que estés mejor preparado para manejarlo.

¿Qué es un ataque XSS en WordPress?

XSS significa Cross Site Scripting, que es un tipo de ataque de inyección donde los hackers inyectan scripts maliciosos en un sitio web.

Estos scripts están disfrazados como código bueno en un sitio web de confianza. Luego, cuando un usuario visita este sitio web, su navegador ejecuta todo el código, incluido el script malicioso, porque cree que todas son instrucciones de confianza.

En términos más sencillos, imagina que eres un espía y acabas de recibir un correo electrónico oficial del gobierno sobre una misión de alto secreto. Contiene todas las instrucciones que necesitas seguir al pie de la letra.

Lo que no sabes es que alguien interceptó ese correo electrónico y agregó algunas instrucciones adicionales propias. El gobierno no tiene ni idea y tú no te molestas en verificar dos veces porque confías en la fuente.

Algunas de ellas no tienen sentido, pero estás entrenado para obedecer cada orden para lograr tu misión.

En este escenario, el gobierno es tu sitio web y el espía es el navegador del usuario. El navegador sigue las instrucciones de tu sitio web y no puede diferenciar entre los scripts buenos y malos.

Estos scripts suelen estar en Javascript, uno de los lenguajes de programación más populares y ampliamente utilizados. Aunque estos ataques pueden ocurrir utilizando cualquier lenguaje del lado del cliente.

Ahora existen muchas maneras de llevar a cabo un ataque XSS. Una forma es enviar un enlace a usuarios desprevenidos para que hagan clic en él. Una vez que hacen clic, el ataque puede realizar una o más de las siguientes acciones:

• Redirigir a los usuarios a un sitio malicioso
• Capturar las pulsaciones de teclas del usuario
• Ejecutar exploits basados en el navegador web
• Robar la información de cookies del usuario que ha iniciado sesión en una cuenta

Si el hacker logra robar la información de las cookies, puede comprometer completamente la cuenta del usuario. Por ejemplo, si has iniciado sesión en el panel wp-admin de tu sitio web, el hacker puede robar tus credenciales e iniciar sesión en tu sitio.

Lo que necesitas hacer para prevenir estos ataques es asegurarte de que todos los datos del usuario sean validados y saneados adecuadamente antes de que ingresen a tu sitio web. De esa manera, ninguna entrada del usuario puede ser código Javascript malicioso. Además de eso, debes asegurarte de que no haya vulnerabilidades XSS en tu sitio que puedan permitir que un hacker ataque.

Apenas hemos arañado la superficie de los ataques XSS, pero esperamos que tengas una comprensión decente de cómo funciona un ataque XSS en WordPress. Ahora, si sospechas que tu sitio ha sido hackeado, sigue nuestro sencillo tutorial paso a paso a continuación.

Cómo encontrar y solucionar un ataque XSS en WordPress

Para encontrar cualquier tipo de malware o hackeo en tu sitio, necesitarás ejecutar un escaneo profundo en todo tu sitio web, incluyendo sus archivos y base de datos.

Usaremos Sucuri para escanear y limpiar tu sitio hackeado. Sucuri te ofrece una configuración de seguridad robusta que incluye un firewall, un escáner de malware y un limpiador de malware.

Sucuri ofrece un escáner gratuito de malware para sitios web que puedes instalar dentro de tu sitio de WordPress navegando a la pestaña Plugins » Añadir nuevo.

Recomendamos usar el escáner premium del lado del servidor. Esto pondrá su sitio web de adentro hacia afuera para encontrar cualquier rastro de malware.

Además de eso, aquí tienes algunos de sus puntos destacados:

• Monitorea spam y scripts maliciosos
• Busca puertas traseras ocultas creadas por hackers
• Detecta cambios realizados en el DNS (sistema de nombres de dominio) y SSL
• Busca listas negras con motores de búsqueda y otras autoridades
• Monitorea el tiempo de actividad del sitio web
• Alertas instantáneas por correo electrónico, SMS, Slack y RSS

Para más detalles, lea nuestra Reseña de Sucuri.

Sucuri tiene un precio de $199.99 por año. Si eso excede tu presupuesto, puedes probar otros plugins de seguridad. Mira nuestra lista: 9 Mejores Plugins de Seguridad para WordPress Comparados.

Al seleccionar un plugin de seguridad, asegúrate de que te brinde todas las funciones de ciberseguridad que necesitas para encontrar y corregir infecciones de malware y proteger tu sitio web.

Paso 1: Escaneo de tu sitio web

Para comenzar, deberás suscribirte a un plan con Sucuri. Luego, inicia sesión en el panel de Sucuri donde podrás agregar tu sitio.

Aquí, deberás conectar tu sitio web ingresando tus credenciales FTP. Si no conoces tus credenciales FTP, puedes obtenerlas de tu proveedor de alojamiento web.

Una vez que tu sitio esté conectado, Sucuri ejecutará automáticamente un escaneo exhaustivo de tu sitio web. Al finalizar, te mostrará un informe detallado en la pestaña ‘Mis Sitios’.

Ahora puedes hacer clic en el botón ‘Detalles’ junto al mensaje de advertencia. Esto abrirá la página de Monitoreo donde podrás ver los detalles del hackeo o la infección.

Paso 2: Solicitud de limpieza de malware

En la página de Monitoreo, puedes ver qué tipo de malware ha infectado tu sitio. Sucuri agrega una calificación para indicar el nivel de riesgo. Así que si es un riesgo crítico o alto, sabrás que necesitas solucionarlo de inmediato. Además, también te mostrará si tu sitio ha sido incluido en listas negras por algún motor de búsqueda.

Ahora que sabes que tu sitio está infectado, necesitas limpiarlo y Sucuri te lo facilita mucho. Para comenzar el proceso, haz clic en el botón ‘Limpiar Mi Sitio’.

En la siguiente página, haz clic en el botón Nueva Solicitud de Eliminación de Malware y aparecerá un formulario donde podrás ingresar los detalles de tu sitio.

Simplemente completa el formulario y envíalo. Una vez hecho esto, los expertos en seguridad de Sucuri limpiarán tu sitio por ti. En caso de que no conozcas alguno de los detalles que necesitas para el formulario, puedes pedírselos a tu proveedor de alojamiento web.

Ahora te estarás preguntando cuánto tiempo tardará en limpiarse tu sitio.

Sucuri da preferencia a los usuarios del plan Business. Aseguran un tiempo de respuesta de 6 horas. Para otros planes, depende de la complejidad de la infección de su sitio y del volumen de solicitudes en cola.

Inmediatamente después de un ataque, recomendamos encarecidamente cerrar sesión a todos los usuarios de su sitio y cambiar sus credenciales de inicio de sesión para estar del lado seguro.

Cómo prevenir ataques XSS en su sitio de WordPress

Siempre es mejor proteger su sitio web y prevenir este tipo de ataques de malware en su sitio. Es mucho más fácil y económico que intentar reparar un sitio web hackeado. Aquí están nuestros pasos recomendados para prevenir ataques XSS en su sitio.

1. Habilite un Firewall de Aplicaciones Web (WAF)

Sucuri tiene uno de los mejores firewalls para sitios de WordPress. No solo bloquea ataques XSS, sino todo tipo de ataques de malware como DDoS, fuerza bruta, phishing e inyecciones SQL.

El firewall se ubicará frente a su sitio web y escaneará a cada usuario que ingrese. Identificará y bloqueará bots maliciosos antes de que lleguen a su sitio.

Para habilitar el firewall de Sucuri, navega a la pestaña Firewall en tu panel de control de Sucuri.

Seleccione su sitio y verá instrucciones de configuración que puede seguir. Sucuri le ofrece 2 opciones para configurar el firewall:

1. Integración automática: Simplemente ingrese sus credenciales de alojamiento usando cPanel o Plesk. Este método requiere que le dé a Sucuri acceso al servidor de su sitio web para configurar automáticamente el firewall en su sitio.

2. Integración manual: Puede configurar el firewall por su cuenta sin otorgar acceso interno a Sucuri. Para comenzar, haga clic en el enlace del dominio interno y asegúrese de que cargue.

A continuación, puedes configurar tu DNS para dirigir el tráfico de tu web al firewall de Sucuri. Para ello, necesitarás acceder a los registros DNS en tu cuenta de hosting. Aquí, puedes cambiar el registro ‘A’ de tu sitio e ingresar las direcciones IP que Sucuri te proporciona.

Si le preocupa que todo esto sea demasiado complicado, puede pedir ayuda a su proveedor de alojamiento web y ellos lo guiarán a través del proceso. Además, también puede abrir un ticket de soporte con Sucuri y su equipo de soporte lo ayudará a cambiar los registros DNS.

Para abrir un ticket, encontrarás un enlace dentro de las instrucciones del manual en la misma página.

Una vez que termines de configurar el firewall, generalmente toma unas pocas horas para que los cambios se reflejen. Puedes esperar un tiempo máximo de espera de 48 horas.

Cuando habilitas el firewall, agregará automáticamente encabezados de seguridad a tu sitio para protegerlo de ataques XSS.

Si hay un intento de ataque XSS, Sucuri lo bloqueará y te lo informará en la pestaña de Reportes.

Ahora, lo que nos encanta del firewall de Sucuri es que es muy fácil de usar para cualquiera, incluidos los principiantes. No tienes que ser un experto en ciberseguridad ni saber nada de codificación.

Puedes habilitar todo tipo de funciones de protección con solo un clic en la pestaña Configuración » Seguridad.

Por ejemplo, puedes habilitar la protección DDoS y el geobloqueo para dificultar que los hackers ataquen tu sitio.

Para habilitar una función de seguridad aquí, todo lo que tienes que hacer es marcar la casilla y guardar tu configuración. Cuando necesites deshabilitarla, simplemente tienes que desmarcar la casilla.

Además de esto, el plugin de Sucuri:

• Escaneará y monitoreará regularmente en busca de spam y código malicioso
• Te alertará de cualquier vulnerabilidad de scripting entre sitios
• Bloqueará bots maliciosos y hackers
• Verificará listas negras con motores de búsqueda y otras autoridades
• Monitoreará el tiempo de actividad del sitio web
• Detecta cambios realizados en DNS (sistema de nombres de dominio) y SSL
• Te enviará alertas de seguridad instantáneas por correo electrónico, SMS, Slack y RSS

Así que tu sitio estará protegido en todo momento.

2. Usa formularios seguros

En un sitio web vulnerable, los formularios son uno de los objetivos más comunes para los hackers. Si tu formulario no está seguro, esto significa que cualquiera puede simplemente ingresar código malicioso en los campos de tu formulario.

Nuestra recomendación para asegurar los formularios de tu sitio web es WPForms. Es el constructor de formularios de WordPress #1 que tiene seguridad incorporada para que tus formularios estén protegidos desde el principio.

Por defecto, los formularios tienen activada la protección antispam. Además, incluso puedes agregar CAPTCHA a tus formularios para bloquear bots de spam.

Puedes habilitar un captcha invisible o el tipo donde un usuario tendrá que resolver un pequeño acertijo o marcar una casilla para demostrar que es humano.

3. Establecer permisos de rol de usuario

Cuando tienes varias personas trabajando en tu sitio web, no es prudente darle acceso de administrador a todos. Es mejor asignarles roles basados en los permisos que necesitan.

WordPress te permite crear roles para:

• Superadministrador
• Administrador
• Editor
• Autor
• Colaborador
• Suscriptor

Ahora, si un hacker obtiene el control de la cuenta de un usuario, estará limitado en lo que puede hacer en tu sitio.

4. Cerrar sesión automáticamente a usuarios inactivos

Los hackers pueden obtener acceso a las cuentas de usuario secuestrando sus sesiones de navegador y robando cookies.

Puedes minimizar este riesgo cerrando la sesión de los usuarios inactivos de WordPress.

Muchos plugins de seguridad tienen una función de cierre de sesión por inactividad o puedes usar el plugin Inactive Logout.

5. Actualiza tu sitio web regularmente

Los plugins, temas y hasta tu instalación de WordPress reciben actualizaciones regularmente. Las verás dentro de tu panel de WordPress cuando estén disponibles:

Muchos propietarios de sitios web ignoran las actualizaciones durante mucho tiempo, pero esto puede exponer tu sitio web a los hackers. Las actualizaciones suelen incluir correcciones de errores, nuevas funciones y mejoras del software. También pueden tener parches de seguridad. Puedes ver si una actualización incluye un parche de seguridad viendo los detalles de la actualización.

Esto significa que se encontró una vulnerabilidad en el software que los hackers pueden usar para atacar tu sitio. Cuando los desarrolladores encuentran problemas de seguridad, los corrigen y lanzan una nueva versión del software.

Todo lo que tienes que hacer es actualizar el software de tu sitio.

Así que, si ves que es un parche de seguridad, actualízalo inmediatamente para evitar cualquier riesgo de ser hackeado.

Una de las principales razones por las que los propietarios de sitios ignoran las actualizaciones es que a veces pueden dañar tu sitio o causar problemas de incompatibilidad. Te recomendamos que pruebes la actualización en un sitio de staging y luego la ejecutes en tu sitio en vivo.

Con eso, has aprendido cómo solucionar y prevenir ataques XSS en tu sitio de WordPress.

Antes de terminar, te daremos un consejo de seguridad más. Siempre haz copias de seguridad regulares de tu sitio web.

Incluso con las medidas de seguridad más sólidas en tu sitio, hay muchas cosas que pueden salir mal. Por ejemplo, un usuario puede cometer un simple error humano que bloquee tu sitio web.

Puedes configurar copias de seguridad automatizadas usando un plugin de copias de seguridad como UpdraftPlus. Para más opciones, consulta nuestra lista de los mejores plugins de copias de seguridad para WordPress.

Preguntas Frecuentes

1. ¿Es WordPress vulnerable a ataques de scripting entre sitios (cross-site scripting)?

El software principal de WordPress es desarrollado y mantenido por algunos de los mejores expertos del mundo. Su software es bastante sólido, pero ten en cuenta que ningún software está libre de vulnerabilidades.

La razón por la que los sitios web de WordPress son atacados a menudo es que la plataforma es muy popular. Y la mayoría de los usuarios instalan muchísimos temas y plugins de terceros. Las vulnerabilidades pueden desarrollarse en cualquiera de estos elementos y los hackers pueden explotarlas para hackear tu sitio.

2. ¿Existen diferentes tipos de ataques de scripting entre sitios?

Sí. Hay 3 tipos principales de ataques XSS:

• XSS almacenado (también conocido como XSS persistente): Los atacantes almacenan su carga útil en un servidor comprometido, lo que hace que el sitio web entregue código malicioso a otros visitantes.
• XSS reflejado: La carga útil se almacena en los datos enviados desde el navegador al servidor.
• XSS de DOM: Aquí, el servidor en sí no es el vulnerable a XSS, sino el JavaScript de la página.
• Cross-site scripting autorreferencial: Los atacantes pueden explotar una vulnerabilidad que requiere un contexto muy específico y cambios manuales. La víctima aquí solo puedes ser tú.
• Cross-site scripting ciego: En estos ataques, la vulnerabilidad suele encontrarse en una página a la que solo pueden acceder usuarios autorizados. El atacante no puede ver el resultado de un ataque.

3. ¿Cómo me aseguro de que no haya otros problemas de seguridad en mi sitio?

Asegúrate de tener siempre un plugin de seguridad instalado en tu sitio web. Esto es imprescindible para todo tipo de sitios web, incluidos WooCommerce, blogs y sitios de pequeñas empresas. Recomendamos Sucuri, pero también puedes consultar Wordfence, MalCare y SiteLock. Consulta más de nuestras principales recomendaciones aquí: 9 mejores plugins de seguridad para WordPress comparados.

4. ¿WordPress protege contra XSS?

WordPress tiene varias medidas de seguridad implementadas para ayudar a proteger contra ataques de Cross-Site Scripting (XSS), pero la efectividad de estas medidas depende de cómo esté configurado el sitio web, los temas y plugins utilizados, y qué tan bien se mantenga. Debes asegurarte de tomar tus propias medidas para proteger tu sitio contra tales ataques.

5. ¿Es CSP de WordPress efectivo contra ataques XSS?

WordPress introdujo encabezados de Content Security Policy (CSP) en versiones recientes. Una CSP bien configurada puede ser efectiva para prevenir ataques XSS al especificar qué fuentes de contenido pueden ejecutarse en una página web. Imagina que tu sitio web es un castillo y quieres mantenerlo a salvo de cosas malas. CSP es como un conjunto de reglas que le dicen a los guardias (tu navegador web) qué personas (scripts) pueden entrar al castillo (tu sitio web).

Eso es todo lo que tenemos para usted hoy. Esperamos que esta publicación le haya brindado todo lo que necesita para asegurar su sitio web.

Para obtener más información sobre la seguridad de sitios web, consulte nuestros recursos sobre:

• La guía completa de seguridad para WordPress (amigable para principiantes)
• Los 5 mejores escáneres de vulnerabilidades de WordPress para encontrar amenazas
• Los 9 mejores plugins de registro de actividad para rastrear y auditar su sitio de WordPress

Estas publicaciones te darán más formas de sellar vulnerabilidades y proteger tu sitio web de todos los riesgos.