Como prevenir ataques DDoS y DoS en WordPress y Cloudflare

Aprende como poder prevenir ataques DDoS con en esta guía sencilla para WordPress y la ayuda de Cloudflare. Incluso, algunos consejos para los ataques DDoS dirigidos a wp-login.php y xmlrpc.php.

Recuerdo hace unos días que accedí a mi escritorio WordPress de este blog, y en primera plana aparecía la extensión Jetpack, de la cual me alerto que previno +1000 ataques de fuerza bruta en alrededor de una semana.

Esto para mí me llamo la atención, ya que la última visita que hice en mi escritorio de WordPress, recuerdo que solamente tuvo 80 (y esto, de todas maneras me llamaba bastante la atención)

Hace varios días, configure Cloudflare en mi blog, simplemente por el hecho de probarlo, era gratis y sonaba bastante tentador, bastantes empresas de alto nombre lo usaban, así que tuve la disposición de usarlo. Nunca creí que lo utilizaría para ataques DDoS.

Accedí al panel de Cloudflare y en la sección de Firewall me entero de que varios bots con direcciones IP aleatorias estaban intentando hacer un ataque hacia mi blog de WordPress. Con direcciones de ruta URL hacia wp-login.php, xmlrpc.php, etc.

En la captura mostrada son ataques ya pequeños, pero en la primera vez que toque el Firewall de Cloudflare para comprobar los ataques; estaba tupido de direcciones IP al azar, con diferencias de segundos.

Eso al parecer no era todo, dentro de las estadísticas de Jetpack (extensión de WordPress), descubrí que todos los días varias direcciones IP estaban intentando acceder a mi escritorio de WordPress bajo el nombre de usuario admin, por lo general suele ser mediantes diccionarios de palabras al azar hasta atinarle.

Todos los días, mi blog estaba siendo varios ataques de hacking mediante fuerza bruta para obtener las credenciales de mi escritorio WordPress

De nuevo les comento, tenía el pensamiento equivocado de que no me pasaría que tener atención en como poder prevenir ataques DDoS en mi blog de WordPress.

---

¿Con qué fin tiene un ataque DDoS o DoS?

Esta pregunta me lo hice yo mismo… ¿Con qué fin tiene los ataques DDoS o DoS hacia mi blog?

En pocas palabras, encontré algunas razones

• Por competidores [por lo general contratan alguien para realizar los ataques]
• Alguien o un grupo de personas no estuvieron de acuerdo con tu contenido
• Temas de política
• Extorsión [raro]
• Arruinar el prestigio o la reputación de la persona
• Tu equipo puede contener algún virus y este actúa como Zombi
• Aprovecharse del desarrollador novato
• Por el mero placer…

Te seré sincero, estas razones se me hicieron algo tontas, ya que porque desperdiciarían su tiempo en configurar sus ordenadores en atacarme. Pero suelen ser verdad.

¿Cuál es la diferencia de DDoS y DoS?

En pocas palabras, un ataque DoS se realiza con un solo navegador, más que un ataque DDoS son varias máquinas lanzando peticiones al servidor. De igual manera, todo con el fin de dejar inoperativo el sitio web.

¿Qué consecuencias podría tener estos ataques DDoS en mi blog con WordPress?

En el caso de que el atacante cumplió su objetivo y tu hosting o servidor está haciendo caso a estas peticiones DDoS o DoS, llegara a colapsar al punto de empezar rechazar las nuevas solicitudes. Dejando inoperativo el sitio web.

Esto, puede afectar a los nuevos visitantes que encontraron tu sitio; perdiendo posicionamiento en el SEO. Y por consecuente, perdidas de dinero.

Si un robot de algún buscador, descubre la página caída; esto afectaría negativamente tu SEO.

¿Me pueden hackear?

No, los ataques DDoS no es hacking. Simplemente, son peticiones de parte de bots lanzadas varias veces en un lapso demasiado corto de tiempo.

Pero, en caso de que tu sitio web este caído; es probable que algún hacker intente acceder a tu sitio web mediante una puerta escondida. Esto es debido como los esfuerzos están en reconstruir el sitio web, el equipo de seguridad está descuidado. Si tu sitio web está caído, primero establece medidas de seguridad antes de lanzarlo de nuevo al público.

¿Los ataques DDoS ayudan al SEO?

Si, de forma negativa.

Tenía el pensamiento de que como son peticiones al servidor, esto hacía creer a Google que mi sitio web estaba teniendo más tráfico de lo común y posicionar en el SEO. Error.

Si accedes al panel de las analíticas de tu sitio web, verás que nunca estas peticiones DDoS se registran. Esto es porque nunca fueron usuarios reales. Solos bots automatizados.

Contando de que pierdes usuarios orgánicos, si el robot de Google te atrapa caído; afectara tu reputación en el SEO.

---

¿Qué hacer para poder prevenir ataques DDoS en mi sitio web con WordPress?

En resumen, mueve tu sitio web hacia algún servicio que te dé protección contra ataques DDoS como Cloudflare para responder antes estas peticiones DDoS. Esto ayudaría hasta en un 90% a poder prevenir estos ataques DDoS en tu sitio web WordPress.

Acá hay un tutorial sobre como hacerlo con Cloudflare. También usar la extensión Jetpack de WordPress puede ayudar bastante.

Configura el nivel de seguridad de Cloudflare

Después de haber configurado Cloudflare, accede a la sección de Firewall

Dentro del menú Firewall, podrás ver un log con los eventos generales que actuó Cloudflare en tu sitio web. También puedes administrar reglas especiales creadas por el usuario (ya de por sí, Cloudflare maneja buenos algoritmos para detectar bots), entre otros.

Accede a la pestaña de configuraciones, y establece un nivel de seguridad. Existe 5 tipos de niveles de seguridad

• Esencialmente bajo (solo los usuarios demasiados peligrosos serán desafiados)
• Baja (desafía a los usuarios peligrosos)
• Medio (desafía a los usuarios con una calificación moderada y los peligrosos)
• Alta (desafía desde los usuarios que demostraron un comportamiento extraño en los últimos 14 días hasta los más graves)
• Estoy bajo ataque (cualquier usuario que visite tu sitio web será desafiado)

En el caso de que no detectas comportamientos de ataques DDoS, puedes establecer el nivel de seguridad medio (que es la más recomendable para la mayoría de los casos)

Si has tenido previamente ataques DDoS en tu sitio web con WordPress, tienes demasiada competencia (por ejemplo, e-commerce, ventas de algún servicio, entre otros), tu contenido se puede considerar como controvertido o tiene que ver con la política. Selecciona el nivel de seguridad Alto.

Establece reglas firewall

Ahora vamos un poco más técnico. En el caso de que experimentaste ataques DDoS, identifica el patrón de cada ataque y establece una regla de firewall. Sea en Cloudflare o en tu hosting.

Por ejemplo, en mi caso; detectaba que la mayoría de los ataques no era hacia mi página principal, sino desde rutas de enlaces. Rutas de enlace que algún hacker se puede aprovechar.

Una de estas rutas de enlace fueron

• wp-login.php
• xmlrpc.php

De ahí, descubrí que el principal ataque DDoS que tenía era para obtener a fuerza bruta las credenciales de mi blog WordPress.

Establecí una regla en Cloudflare bloqueando definitivamente el acceso a estas rutas de enlace, ya que no tiene sentido que algún usuario quiera acceder desde ahí.

En el caso de WordPress puedes usar las rutas de enlaces previamente mostrados para crear esta regla firewall

• readme.html / Es un fichero que se coloca de forma general al instalar WordPress y por lo general se ignora por completo. Esto es una amenaza debido a que muestra información intima del escritorio. Bórralo de tu hosting o bloquea el acceso.
• wp-login.php, login.php, admin.php, entre otros / Es el acceso que por default pueden acceder introduciendo sus credenciales de WordPress a su escritorio. Esto es un punto blanco a los hackers, debido a que pueden realizar ataques de fuerza bruta. Cambia el acceso de tu escritorio de WordPress instalando este plugin.
• xmlrpc.php / Por lo general las nuevas versiones de WordPress ya no lo usan, pero suelen estar activados y esto pueden ser puntos fáciles para DDoS. Desactívalo con algún plugin y bloquea el acceso con una regla Firewall.

En el caso de encontrar más patrones, puedes ir creando reglas de Firewall para cada caso.

No seas demasiado estricto con tus reglas, esto puede afectar en caso de que algún robot de un buscador o un robot inocente visite tu página. Arruinando el SEO.

He escuchado consejos de bloquear ciertos continentes o países de las cuales no es común que ingrese publico a tu sitio web. Si bien, suele ser efectivo contra estos ataques; afecta en el SEO. Debido a que buscadores como Yandex (Rusia) pueden ser bloqueados.

Configura Jetpack

Después de establecer reglas de Firewall sea en tu hosting o en alguna herramienta dedicado a eso. Iremos a configurar Jetpack por WordPress.

Jetpack es un plugin que agrega funcionalidades extras a tu escritorio y sitio web de WordPress. Incluyendo sección de comentarios más personalizable, suscripción de correo en caso de una nueva entrada por parte del blog, e incluyendo algunas herramientas de seguridad y protección.

Mira como instalar Jetpack y configurarlo para empezar a proteger tu blog

1. Accede a la sección de Plugins dentro de tu escritorio de WordPress y selecciona Añadir nuevo
2. Busca Jetpack, instálalo y actívalo

3. Configura el primer uso. Te pedirá cuenta de WordPress.com, en caso de que no cuentes con una, su registro es sencillo.

4. Ve a los ajustes de Jetpack y selecciona la pestaña seguridad

5. Dirígete a la sección de Protect y activa la opción de Protección contra fuerza bruta

Con esto, intentarás mitigar los ataques DDoS y se bloqueará en caso de que alguien se encuentre en tu login de WordPress usando fuerza de ataque bruta.

Si estás teniendo ataques de fuerza bruta en tu login de WordPress, intenta considerar estas opciones:

• Cambiar el acceso de login en tu escritorio de WordPress <<Puedes hacerlo con este Plugin>>
• Limitar los números de inicio de sesión.
• No uses credenciales básicas (admin – admin)

---

Estoy en un ataque DDoS o DoS, ¿qué hago?

Si tienes activado Cloudflare, activa de inmediato el modo Estoy bajo ataque, esto tendría que reducir hasta el 90% de los ataques. Ojo con dejarlo activo para siempre, cada usuario que entra se le desafiara, ocasionando perdidas de tiempo.

En el caso de que no tengas Cloudflare, usa un plugin de WordPress para mitigar los ataques DDoS.

Si conoces demasiado bien tu Hosting, crea reglas de Firewall identificando patrones de ataques. Estos pueden ser de algún continente, país, una ruta URL, etc.

De plano, en el caso de que no puedas recurrir a ningunas de estas opciones; contáctate de inmediato con tu promovedor de Hosting. Si la atención de clientes es deficiente; sal de ahí en cuanto puedas.

---

No existe un método 100% infalible para prevenir ataques DDoS. Incluso grandes empresas como Google sufren ataques DDoS demasiados pesados (Tbps)

Pero con estas sugerencias y configuraciones podrás prevenir bastantes los ataques DDoS con WordPress y Cloudflare.

En el caso que tengas una sugerencia más, coméntalo acá abajo.