A veces pensamos que planear una buena defensa, más alla de instalar un plugin, es complicado.

Pero nada más lejos de la realidad.

Proteger un blog con htaccess es sencillo, con unos pequeños trucos que te quiero presentar, y veras que luego solo consiste en ¡copiar y pegar!

Vale, proteger un blog con htaccess será sencillo, pero ¿que es?

¿En serio? ¿No me lees? Vale que últimamente haya escrito menos, pero justo el último articulo habla sobre como acelerar un blog usando el fichero .htaccess, y en el te explico que es y hace ese fichero.

Pues te resumo.

.htaccess es un fichero de configuración especial, normalmente en el root de tu servidor web, y es usado por apache o nginx (el software de tu servidor web), para poder gestionar tus directorios, accesos, redirecciones, etc…

¿ya te suena más para que sirve?

El caso es que no vale solo para acelerar nuestro sitio web, o para las redirecciones.

Podemos usarlo para protegernos de ataques.

¿Te interesa saber como?

Te presento mis trucos para defenderme con htaccess

Partimos de la base de que un fichero .htaccess típico suele contener este código:

# BEGIN WordPress  RewriteEngine On  RewriteBase / RewriteRule ^index.php$ - [L]  RewriteCond %{REQUEST_FILENAME} !-f  RewriteCond %{REQUEST_FILENAME} !-d  RewriteRule . /index.php< [L]  # END WordPress  

Aparte de lo que añadieras para mejorar la velocidad de carga. Pero ya sabes que cualquier cosa que añadas, va al final, y sobre todo tras el comentario #END WordPress.
¡Ah! y realiza tus copia de seguridad antes.

Truco #1. Protege el fichero wp-config.php

Ya sabes que el fichero wp-config se encuentra en el directorio raíz de tu wordpress, y contiene datos muy importantes, como la conexión a la base de datos.

Aunque no es un fichero accesible o visible desde fuera, no esta de más un poco de protección extra.

Añade este código a tu fichero .htaccess, para prevenir accesos no deseados.

order allow,deny  deny from all    

Truco #2. Previene la exploración de directorios.

Como WordPress es tan popular, todo el mundo conoce la estructura de directorios que tiene.

Por tanto, siempre puedo probar por ejemplo a entrar en www.tudominio.com/wp-content/plugins

Y si tengo suerte y no esta protegido, me listará todos los plugins que tienes, siendo fácil averiguar si alguno es vulnerable.

Asi que para prevenir, usa este código en tu fichero.

# directory browsing  Options All -Indexes  

Truco #3. Acceder solo al panel de admin desde tu IP

No soy muy amigo de este truco, ya que solo podrás acceder desde esa IP, y a veces se necesita acceder desde un tablet o dispositivo móvil por ejemplo, pero si siempre trabajas en tu blog desde casa o la oficina, esta es una foma eficaz de protegerlo.

Además hoy en día, si tienes por ejemplo ADSL y telefonía IP, tu IP será fija, aunque no la hayas contratado asi.

Para hacer esto usaremos este truco:

 order deny,allow   allow from 255.255.255.255   deny from all

Por supuesto sustituye 255.255.255.255 por tu propia ip. La puedes averiguar en cualesmiip.com

Truco #4. Protege el fichero .htaccess

No es de locos que despues de gastar tu tiempo protegiendo a fondo tu blog configurando el fichero .htaccess al final lo dejemos sin proteger.

Con este truco pararas cualquier intento de localziar un fichero que empiece por «hta».

 order allow,deny   deny from all   satisfy all  

Truco #5. Usa la lista 5G

Pues la lista 5G es una sencilla lista para el fichero .htaccess que bloquea una serie de usos malintencionados ya detectados.

Aunque evidentemente debería actualizarse, de por si ya nos va quitando algo, y además va muy bien con WordPress.

Aqui te dejo la lista:

# 5G BLACKLIST/FIREWALL (2013)  # @ http://perishablepress.com/5g-blacklist-2013/    # 5G:[QUERY STRINGS]    	RewriteEngine On  	RewriteBase /  	RewriteCond %{QUERY_STRING} ("|%22).*(<|>|%3) [NC,OR]  	RewriteCond %{QUERY_STRING} (javascript:).*(;) [NC,OR]  	RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3) [NC,OR]  	RewriteCond %{QUERY_STRING} (\|../|`|='$|=%27$) [NC,OR]  	RewriteCond %{QUERY_STRING} (;|'|"|%22).*(union|select|insert|drop|update|md5|benchmark|or|and|if) [NC,OR]  	RewriteCond %{QUERY_STRING} (base64_encode|localhost|mosconfig) [NC,OR]  	RewriteCond %{QUERY_STRING} (boot.ini|echo.*kae|etc/passwd) [NC,OR]  	RewriteCond %{QUERY_STRING} (GLOBALS|REQUEST)(=|[|%) [NC]  	RewriteRule .* - [F]      # 5G:[USER AGENTS]    	# SetEnvIfNoCase User-Agent ^$ keep_out  	SetEnvIfNoCase User-Agent (binlar|casper|cmsworldmap|comodo|diavol|dotbot|feedfinder|flicky|ia_archiver|jakarta|kmccrew|nutch|planetwork|purebot|pycurl|skygrid|sucker|turnit|vikspider|zmeu) keep_out  	  		Order Allow,Deny  		Allow from all  		Deny from env=keep_out  	      # 5G:[REQUEST STRINGS]    	RedirectMatch 403 (https?|ftp|php)://  	RedirectMatch 403 /(https?|ima|ucp)/  	RedirectMatch 403 /(Permanent|Better)$  	RedirectMatch 403 (=\'|=\%27|/\'/?|).css()$  	RedirectMatch 403 (,|)+|/,/|{0}|(/(|...|+++|||\"\")  	RedirectMatch 403 .(cgi|asp|aspx|cfg|dll|exe|jsp|mdb|sql|ini|rar)$  	RedirectMatch 403 /(contac|fpw|install|pingserver|register).php$  	RedirectMatch 403 (base64|crossdomain|localhost|wwwroot|e107_)  	RedirectMatch 403 (eval(|_vti_|(null)|echo.*kae|config.xml)  	RedirectMatch 403 .well-known/host-meta  	RedirectMatch 403 /function.array-rand  	RedirectMatch 403 );$(this).html(  	RedirectMatch 403 proc/self/environ  	RedirectMatch 403 msnbot.htm)._  	RedirectMatch 403 /ref.outcontrol  	RedirectMatch 403 com_cropimage  	RedirectMatch 403 indonesia.htm  	RedirectMatch 403 {$itemURL}  	RedirectMatch 403 function()  	RedirectMatch 403 labels.rdf  	RedirectMatch 403 /playing.php  	RedirectMatch 403 muieblackcat      # 5G:[REQUEST METHOD]    	RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)  	RewriteRule .* - [F]      # 5G:[BAD IPS]    	Order Allow,Deny  	Allow from all  	# uncomment/edit/repeat next line to block IPs  	# Deny from 123.456.789      # 5G:[WordPress]     RedirectMatch 403 /$&   RedirectMatch 403 (?i)/&(t|title)=   RedirectMatch 403 (?i)/.(bash|git|hg|log|svn|swp|tar)   RedirectMatch 403 (?i)/(1|contact|i|index1|iprober|phpinfo|phpspy|product|signup|t|test|timthumb|tz|visit|webshell|wp-signup).php   RedirectMatch 403 (?i)/(author-panel|class|database|manage|phpMyAdmin|register|submit-articles|system|usage|webmaster)/?$   RedirectMatch 403 (?i)/(=|_mm|cgi|cvs|dbscripts|jsp|rnd|shadow|userfiles)    

¡Esto es todo por hoy!

Espero que estos trucos te sirvan para hacer de tu web un lugar más seguro.

Usar todos los recursos a tu alcance es necesario para alejar a hackers y malware.

¿Estas probando estas técnicas? ¿Qué tal te fue?