El archivo wp-login.php de WordPress es quizás uno de los objetivos más utilizados por los robots y hackers para violar su seguridad.
Por ello, debemos implementar una serie de medidas para reducir la probabilidad de que sea atacado nuestra instalación de WordPress por esa vía.
En esta ocasión les presento la manera de proteger el inicio de sesión de WordPress con CloudFlare.
El requisito básico es que al menos tengas una cuenta en Clouflare y que en ella tengas configurado tu sitio web con WordPress.
Síntoma
Seguramente ha notado que en el registro log de su sitio web hay muchas llamadas al archivo wp-login.php. Ello se debe a que estás sufriendo ataques por parte de robots y hackers intentando violar la seguridad de WordPress y tomar control de él.
La mayoría de esos ataques, por experiencia propia, provienen de Rusia, China, Pakistán, India y otros países, todos ellos distintos a los que habitualmente se utilizan para ingresar legítimamente a WordPress.
Utilizar Cloudflare para bloquear el acceso a wp-login.php
Con la cuenta gratuita de Cloudflare tienes posibilidad de crear cinco reglas de firewall, para el caso de la seguridad de wp-login.php vamos a crear una regla.
Con esta regla solo podrán acceder a wp-login.php aquellas llamadas que provengan de un solo país que en mi ejemRegla permitir por país.
Esta regla es para permitir que solo se acceda a la ruta que contiene wp-login.php por un país en específico, para ello, en el formulario de reglas escogemos lo siguiente:
Asigne un nombre descriptivo a la regla -> digitar un nombre de fácil comprensión. Campo -> identificador URI | Operador -> Contiene | Valor -> wp-login.php Y Campo -> País | Operador -> No es igual a -> Argentina Seleccione acción -> Bloquear. Guardar.
La vista de la expresión que se construye se puede visualizar, por lo que deberá de verse así:
(http.request.uri contains "wp-login.php" and ip.geoip.country eq "AR")
El Código final que en el ejemplo es AR se debe a que escogí a Argentina, es decir, solo podrán acceder a wp-login.php las llamadas que provengan de aquel país.
Se debe considerar que cuando se escoge como acción «bloquear», significa que a las solicitudes coincidentes se le niega el acceso al sitio, por ello, todas aquellas llamadas a wp-login.php que no provengan de Argentina, porque en este ejemplo así se ha configurado, en el navegador aparecerá la siguiente información como se ve en la imagen.
En tal sentido, ni siquiera accederán al sitio web, por lo que no consumirán recursos de nuestro hosting, ya que en entorno de Cloudflare nos protegerá de este tipo de ataques.
Por ello que el mensaje en el navegador dice: «Este sitio web está utilizando un servicio de seguridad para protegerse de los ataques en línea».
Como repito, no es la única medida de seguridad, pero con esta la tasa de ataques a wp-login.php se reducirá drásticamente por lo que en sentido inverso, nuestro WordPress estará más seguro.