Un usuario preguntó 👇
¡Hola!
He seguido la guía «Fortalecimiento de WordPress» y estoy seguro de que mi sitio (autohospedado) es bastante seguro después de seguir las instrucciones proporcionadas.
Una cosa que noté es que después de deshabilitar la lista de directorios si mi .htaccess, navegar por el contenido de wp / uploads me muestra una página «prohibida», pero si solo intento contenido de wp, solo veo una página en blanco. ¿Es este un comportamiento predeterminado o se debe redirigir este último a 404?
Con usted en el tema, ¿es mejor reemplazar las páginas 404 en lugar de ser prohibidas? Si es así, ¿cómo puedo lograrlo?
Gracias.
(@kylepott)
Hace 1 año, 7 meses
Hola lee
Una página en blanco que cubra su carpeta de contenido de wp está bien. Lo que desea evitar es una situación en la que el índice del directorio no esté protegido y un adversario pueda examinar todo el contenido del directorio wp-content. Estás protegido, eso es muy bueno.
Su próxima pregunta sobre 404 vs 403 está más prohibida filosóficamente. Lo más importante es proteger el material. En mi experiencia haciendo pruebas de penetración y auditorías de seguridad en WordPress, 404 probablemente sea más útil para usted, el propietario del sitio, porque cuando los enemigos ven un directorio prohibido, piensan, «esto es interesante, entremos». un adversario se encuentra con el 404 y piensan, «aquí no hay nada, es mejor seguir adelante» y luego pasan al siguiente objetivo en la cadena de ataque. Estoy seguro de que hay otras opiniones sobre el tema.
Si desea aplicar un escenario como este, puede configurar su .htaccess para reenviar su error 403 a su archivo 404.php. Tenga en cuenta que este no es un método hermético. Dependiendo de cómo lo implemente, los atacantes avanzados verán el código de retorno 403 en el encabezado y luego la llamada 301 para redirigir a la página de trampa de error 404.php. Un programador más hábil que yo podría sugerir formas de ocultar el código de retorno de su encabezado usando .htaccess. Aquí hay una guía increíble que describe muchas técnicas diferentes para impulsar su página de error 403 a 404.php.
https://stackoverflow.com/questions/10509849/always-return-a-404-when-you-decide-to-return-a-403
Me gusta el primer enfoque descrito en la guía, primero copie su archivo 404.php en WordPress y cámbiele el nombre http-error.php y luego agregue estas líneas al archivo .htaccess.
ErrorDocument 400 /http-errors.php
ErrorDocument 403 /http-errors.php
ErrorDocument 404 /http-errors.phpLos enemigos tendrán más dificultades para obtener información útil de su página de trampa de errores.
¡Felicitaciones por hacer el esfuerzo de fortalecer su instalación de WordPress! Mucha gente no lo hace. Asegúrese de practicar una buena higiene de contraseñas y no reutilice las contraseñas, especialmente para su cuenta de administrador.
Todo lo mejor, Kyle
(@jnashhawkins)
Hace 1 año, 7 meses
Dejaría esas páginas como «prohibidas». No están rotos ni les falta un enlace … están respondiendo con un código de error que indica que no están disponibles y que en realidad están prohibidos en un navegador web.
Creo que la mayoría de los motores de búsqueda que se comportan bien manejan el código de error prohibido y la página resultante de una manera diferente a como lo harían con 404. Podrías pedirle a un experto en SEO que te explique eso, pero una razón para tratar con directorios en consecuencia.
El directorio de contenido de wp probablemente contiene un archivo de índice en blanco que da una página en blanco en lugar de una página prohibida. Es posible que también desee agregar ese directorio a sus directorios prohibidos en htaccess para ‘lanzar’ el error y luego la página de error prohibido.
Las páginas de error se utilizan en las páginas de error que utiliza su servidor web para hacer que una página sea más manejable o específica del usuario que solo un error y arrojar una página en blanco al navegador. Puede personalizar todos estos mensajes.
También puede notar que algunas páginas de error son genéricas o lo suficientemente no escritas y otra viene con el encabezado, mensaje y pie de página de su sitio web, que es la forma en que puede saber si el error proviene del servidor web. o desde la propia instalación de WordPress.
Lo que pasa es que no desea responder a un índice del directorio si no hay ninguna razón para que nadie explore ese directorio.
Por cierto: las páginas de error HTTP se pueden utilizar fácilmente si lo desea. Puede hacerlos más relevantes para su audiencia, redirigirlos, agregar enlaces útiles, etc.
Las páginas de error de WordPress también se pueden cambiar como mejor le parezca. Me gusta el número ‘9’ en los ejemplos siguientes. Se parece a mi gato, pero ninguno de mis equipos parece moderno.
https://www.wpbeginner.com/showcase/best-of-best-wordpress-404-error-page-designs/
¿Yo? ¡Me gusta fisgonear!
(@júnior)
Hace 1 año, 7 meses
Hola kyle
Es bueno saber que una página en blanco para el contenido de wp está bien. Hice lo que sugirió y al solicitar / wp-content / uploads / se me redirige a mi página 404 en lugar de prohibirme.
También estoy usando una contraseña fuerte generada aleatoriamente y me tomé el tiempo para configurar mi página de inicio de sesión de wp y configurar la autenticación de 2 factores.
¡Gracias por la magnifica explicación!
¿Solucionó tu problema??
0 / 0