Tengo algunos sitios WP propios y algunos clientes en ejecución. De repente recibí correos electrónicos que para mi usuario se solicitaba el restablecimiento de contraseña, aunque nadie lo hizo. Entonces comencé a echar un vistazo a la seguridad.
¿Cómo es posible que los piratas informáticos obtengan una lista de usuarios?
Después de instalar algunos complementos, me di cuenta de que las comprobaciones de vulnerabilidad se realizan todo el tiempo, los robots intentan iniciar sesión todo el tiempo, en un caso incluso lograron configurar una contraseña de aplicación y publicaron sus cosas con un nombre de usuario.
WP parece ser tan vulnerable en muchos sentidos, ¿a qué se debe?
¿Por qué tengo que evitar cosas a través de simples entradas htaccess (bloquear la verificación de ID de usuario, desactivar XML-RPC, evitar carpetas de búsqueda, evitar ataques XSS, rastreo de contenido y klickjacking) o usando complementos externos para bloquear la fuerza bruta o los bots y bloquear el spam?
¿Por qué tengo que cambiar el archivo de funciones.php yo mismo para desactivar el archivo del autor, cambiar el comportamiento de REST-API, cambiar los mensajes de error de inicio de sesión (“La identificación de usuario o la contraseña son incorrectas”) y deshacerme de los enlaces de descubrimiento de oEmbed en el texto fuente?
Creo que todo esto debería incorporarse ya en un buen sistema de gestión de contenidos…