WordPress es uno de los creadores de sitios web más populares del mundo debido a las potentes funciones y la base de código segura que ofrece. Sin embargo, esto no protege a WordPress ni a ningún otro software de los ataques DDoS maliciosos que se encuentran comúnmente en Internet.

Los ataques DDoS ralentizan los sitios web y, en última instancia, los hacen inaccesibles para los usuarios. Estos ataques pueden dirigirse a sitios web pequeños y grandes.

Ahora, es posible que se pregunte cómo un sitio web de una pequeña empresa que usa WordPress puede prevenir tales ataques DDoS con recursos limitados.

En esta guía, le mostraremos cómo bloquear y prevenir eficazmente los ataques DDoS en WordPress. Nuestro objetivo es ayudarlo a aprender cómo administrar la seguridad de su sitio web contra ataques DDoS como un profesional.

Detenga y prevenga ataques DDOS en sitios de WordPress

¿Qué es un ataque DDoS?

El ataque DDoS, abreviatura de Distributed Denial of Service Attack, es un tipo de ataque cibernético que utiliza computadoras y dispositivos infectados para enviar o solicitar datos de los servidores de alojamiento de WordPress. El propósito de estas solicitudes es ralentizar y, finalmente, bloquear el servidor de destino.

Los ataques DDoS son una evolución de los ataques DoS (denegación de servicio). A diferencia de los ataques DoS, utilizan múltiples máquinas o servidores infectados distribuidos en diferentes regiones.

Estas máquinas infectadas forman una red, a veces llamada botnet. Cada máquina afectada actúa como un bot y lanza un ataque al sistema o servidor de destino.

Esto les permite ser ignorados por un período de tiempo y causar el máximo daño antes de ser bloqueados.

Diagrama de ataque DDoS

Incluso las empresas de Internet más grandes son vulnerables a los ataques DDoS.

En 2018, la popular plataforma de alojamiento de código GitHub fue testigo de un ataque DDoS masivo, enviando 1,3 terabytes de tráfico por segundo a sus servidores.

Puede que recuerde el infame ataque de 2016 a DYN (proveedor de servicios DNS). El ataque obtuvo cobertura de noticias a nivel mundial, ya que afectó a muchos sitios populares, incluidos Amazon, Netflix, PayPal, Visa, AirBnB, The New York Times, Reddit y miles de otros.

¿Por qué ocurren los ataques DDoS?

Hay varias motivaciones detrás de los ataques DDoS. Aquí hay algunos comunes:

  • Personas expertas en tecnología que simplemente están aburridas y aventureras.
  • personas y grupos que tratan de hacer puntos de vista políticos
  • Grupos de sitios web y servicios específicos de cada país
  • Ataques dirigidos contra empresas o proveedores de servicios específicos para causarles pérdidas monetarias
  • Extorsión y cobro de rescates

¿Cuál es la diferencia entre un ataque de fuerza bruta y un ataque DDoS?

Ataque de fuerza bruta

Los ataques de fuerza bruta generalmente intentan ingresar a un sistema adivinando contraseñas o probando combinaciones aleatorias para obtener acceso no autorizado al sistema.

Los ataques DDoS se utilizan simplemente para bloquear el sistema de destino, haciéndolo inaccesible o ralentizándolo.

Para obtener más información, consulte nuestra guía sobre cómo bloquear ataques de fuerza bruta en WordPress con instrucciones paso a paso.

¿Qué daño puede hacer un ataque DDoS?

Los ataques DDoS pueden hacer que los sitios web sean inaccesibles o reducir el rendimiento. Esto puede resultar en una experiencia de usuario deficiente, pérdida de negocios y el costo de mitigar un ataque puede ascender a miles de dólares.

A continuación se muestra un desglose de estas tarifas:

  • Negocio perdido debido a la inaccesibilidad del sitio web
  • Costos de atención al cliente para responder consultas relacionadas con interrupciones del servicio
  • Mitigar el costo de un ataque contratando servicios de seguridad o soporte
  • El mayor costo es la mala experiencia del usuario y la mala reputación de la marca.

Cómo bloquear y prevenir ataques DDoS en WordPress

Los ataques DDoS pueden disfrazarse inteligentemente y ser difíciles de manejar. Sin embargo, con algunas mejores prácticas básicas de seguridad, puede prevenir y evitar fácilmente que los ataques DDoS afecten su sitio de WordPress.

Estos son los pasos que debe seguir para prevenir y bloquear los ataques DDoS en su sitio de WordPress.

Eliminar verticales de fuerza bruta/DDoS

Una de las mejores cosas de WordPress es que es muy flexible. WordPress permite que los complementos y herramientas de terceros se integren en su sitio web y agreguen nuevas funciones.

Con este fin, WordPress proporciona a los programadores varias API. Estas API son los medios por los cuales los complementos y servicios de WordPress de terceros pueden interactuar con WordPress.

Sin embargo, algunas de estas API también pueden explotarse durante un ataque DDoS al enviar una gran cantidad de solicitudes. Puede deshabilitarlos de forma segura para reducir estas solicitudes.

Deshabilitar XML RPC en WordPress

XML-RPC permite que las aplicaciones de terceros interactúen con su sitio de WordPress. Por ejemplo, necesita XML-RPC para usar la aplicación de WordPress en dispositivos móviles.

Si es como la mayoría de los usuarios que no usan aplicaciones móviles, puede deshabilitar XML-RPC simplemente agregando el siguiente código al archivo .htaccess de su sitio web.

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Para una alternativa, consulte nuestra guía sobre cómo deshabilitar fácilmente XML-RPC en WordPress.

Deshabilitar API REST en WordPress

La API REST JSON de WordPress permite que los complementos y las herramientas accedan a los datos de WordPress, actualicen el contenido y/o incluso lo eliminen. Aquí se explica cómo deshabilitar la API REST en WordPress.

Lo primero que debe hacer es instalar y activar el complemento Disable WP Rest API. Para obtener más detalles, consulte nuestra guía paso a paso sobre cómo instalar complementos de WordPress.

El complemento funciona de forma inmediata, solo deshabilita la API REST para todos los usuarios que no han iniciado sesión.

Activar WAF (cortafuegos de aplicaciones web)

Cortafuegos de aplicaciones web (WAF)

La desactivación de vectores de ataque como REST API y XML-RPC proporciona solo una protección limitada contra ataques DDoS. Su sitio web sigue siendo vulnerable a las solicitudes HTTP normales.

Si bien puede mitigar los pequeños ataques de DOS al tratar de capturar IP de máquinas incorrectas y bloquearlas manualmente, este enfoque no es muy efectivo cuando se trata de grandes ataques DDoS.

La forma más fácil de bloquear solicitudes sospechosas es activar el firewall de la aplicación del sitio web.

Un firewall de aplicación de sitio web actúa como un proxy entre su sitio web y todo el tráfico entrante. Utiliza algoritmos inteligentes para detectar todas las solicitudes sospechosas y bloquearlas antes de que lleguen al servidor de su sitio web.

Cortafuegos de aplicaciones web

Recomendamos Sucuri ya que es el mejor complemento de seguridad de WordPress y firewall de sitios web. Funciona a nivel de DNS, lo que significa que pueden detectar ataques DDoS antes de que realicen solicitudes a su sitio web.

Sucuri comienza en $ 20 por mes (pago anual).

Usamos Sucuri en AprenderWP. Vea nuestros casos de estudio para saber cómo ayudaron a prevenir cientos de miles de ataques a nuestro sitio web.

Alternativamente, también puede usar Cloudflare. Sin embargo, el servicio gratuito de Cloudflare ofrece solo protección DDoS limitada. Deberá suscribirse al menos a su plan comercial de protección DDoS de capa 7, que cuesta alrededor de $ 200 por mes.

Para una comparación detallada lado a lado, vea nuestro artículo sobre Sucuri vs Cloudflare.

notas: Los firewalls de aplicaciones de sitios web (WAF) que operan a nivel de aplicación son menos efectivos durante los ataques DDoS. Bloquean el tráfico una vez que ha llegado a su servidor web, por lo que aún afecta el rendimiento general de su sitio web.

Averigüe si es un ataque de fuerza bruta o DDoS

Tanto los ataques de fuerza bruta como los DDoS usan muchos recursos del servidor, lo que significa que sus síntomas son muy similares. Su sitio web se ralentizará y posiblemente se bloquee.

Puede averiguar fácilmente si se trata de un ataque de fuerza bruta o DDoS simplemente mirando el informe de inicio de sesión del complemento Sucuri.

Simplemente instale y active el complemento gratuito de Sucuri y vaya a Sucuri Security » Último inicio de sesión Página.

error de inicio de sesion

Si ve muchas solicitudes de inicio de sesión aleatorias, significa que su wp-admin está bajo un ataque de fuerza bruta. Para mitigarlo, puede consultar nuestra guía sobre cómo bloquear ataques de fuerza bruta en WordPress.

Qué hacer durante un ataque DDoS

Los ataques DDoS pueden ocurrir incluso si tiene un firewall de aplicaciones web y otras protecciones implementadas. Empresas como CloudFlare y Sucuri se enfrentan a estos ataques con regularidad y, la mayoría de las veces, nunca se enterará porque pueden mitigarlos muy fácilmente.

Pero en algunos casos, cuando estos ataques son grandes, aún pueden afectarte. En este caso, es mejor estar preparado para mitigar los problemas que puedan surgir durante y después de un ataque DDoS.

Aquí hay algunas cosas que puede hacer para minimizar el impacto de un ataque DDoS.

1. Recuerda a los miembros de tu equipo

Si tiene un equipo, debe notificar a sus colegas sobre este problema. Esto los ayudará a prepararse para las consultas de atención al cliente, buscar posibles problemas y brindar asistencia durante o después de un ataque.

2. Informar a los clientes de las molestias

Los ataques DDoS pueden afectar la experiencia del usuario en su sitio web. Si ejecuta una tienda WooCommerce, es posible que sus clientes no puedan realizar pedidos o iniciar sesión en sus cuentas.

Puede anunciar un problema técnico con su sitio web a través de sus cuentas de redes sociales y todo volverá a la normalidad en poco tiempo.

Si el ataque es grande, también puede usar sus servicios de marketing por correo electrónico para comunicarse con los clientes y pedirles que sigan sus actualizaciones en las redes sociales.

Si tiene clientes VIP, es posible que desee utilizar el servicio telefónico de su empresa para realizar llamadas personales y hacerles saber cómo está restableciendo el servicio.

La comunicación juega un papel importante en el mantenimiento de la reputación de una marca durante estos tiempos difíciles.

3. Póngase en contacto con soporte de alojamiento y seguridad

Póngase en contacto con su proveedor de alojamiento de WordPress. El ataque que pudo haber presenciado podría ser parte de un ataque mayor a sus sistemas. En este caso, podrán brindarle las últimas actualizaciones sobre la situación.

Póngase en contacto con su servicio de firewall e infórmeles que su sitio web está bajo un ataque DDoS. Es posible que puedan mitigar la situación más rápido y pueden brindarle más información.

En los proveedores de firewall como Sucuri, también puede establecer la configuración en modo paranoico, lo que ayuda a bloquear muchas solicitudes y hace que su sitio web sea accesible para los usuarios habituales.

Mantenga su sitio de WordPress seguro

WordPress es muy seguro fuera de la caja. Sin embargo, como el creador de sitios web más popular del mundo, a menudo es el objetivo de los piratas informáticos.

Afortunadamente, existen muchas mejores prácticas de seguridad que puede aplicar en su sitio web para hacerlo aún más seguro.

Hemos escrito una guía completa de seguridad de WordPress paso a paso para principiantes. Lo guiará a través de las mejores configuraciones de seguridad de WordPress para proteger su sitio web y sus datos de amenazas comunes.

Esperamos que este artículo le haya ayudado a aprender a bloquear y prevenir ataques DDoS en WordPress. También puede consultar nuestra guía sobre los errores más comunes de WordPress y cómo solucionarlos.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube para videos tutoriales de WordPress.También puedes encontrarnos en Gorjeo y Facebook.

Los datos expuestos en este sitio web son de índole informativo, no necesariamente están actualizados. Esta información es una recopilación de información de internet.