Si alguna persona o malware sustrae tu contraseña, no podrá acceder sin este código adicional lo que fortalece enormemente la seguridad de tu WordPress (o cualquier otra cuenta/servicio).

Latch es un mecanismo de seguridad similar, creado por la empresa Eleven Patch. Si te gusta la informática te sonará el nombre de esta empresa y el de su fundador (cierto hacker melenudo que va con un gorro a rayas).

Con Latch no necesitas introducir el código de 30 segundos, sino que a modo de interruptor (On/Off) o pestillo, como indico en el título del artículo, permites o deniegas el acceso al admin de tu WordPress para cualquier usuario que tengas pareado con la aplicación.

Además de la comodidad de no tener que insertar el código de 30 segundos, lo bueno de Latch que es ningún servicio identifica al otro, es decir, si alguien entra en tu WordPress no sabrá en qué cuenta de Latch tienes configurado el factor de autenticación, y si alguien entra en tu cuenta de Latch, no sabrá a qué servicios corresponden las aplicaciones que tienes pareadas, todo se hace con tokens y keys secretas.

Crea una cuenta en Latch

Para usar Latch en tu WordPress, necesitas crear una cuenta en https://latch.elevenpaths.com. La cuenta es gratuita para 2 aplicaciones. Si necesitas usar Latch en más servicios o en otros WordPress tendrás que contratar algún plan.

Añade una nueva aplicación:

Lo más importante de tu aplicación es el ID de aplicación y el código secreto.

Descarga la aplicación de Latch en tu smartphone

Inicia sesión y verás el interruptor de Latch que aplica a todas tus aplicaciones de forma global, aunque también puedes aplicar el pestillo a aplicaciones individuales (cada aplicación tiene su propio pestillo).

Instala el plugin de Latch en tu WordPress

Ahora vamos a instalar el plugin de Latch en WordPress para vincularlo con la aplicación que hemos dado de alta en nuestra cuenta.

Vamos al menú de WordPress Ajustes -> Ajustes Latch y especificamos el ID de aplicación, el Secreto y la API URL que es: https://latch.elevenpaths.com

Vamos a nuestro usuario de WordPress y veremos un nuevo apartado de Latch que nos pide un token:

Para crear el token tenemos que volver a la aplicación del móvil y añadir un nuevo Latch. Este generará un código por tiempo limitado que tendrás que añadir como Token de Latch en WordPress.

Guarda los cambios del perfil y tu WordPress quedará vinculado a la aplicación de Latch y ya podrás abrir o cerrar el pestillo cuando inicies o cierres sesión, protegiéndolo así de intentos de sesión no permitidos.

Y para finalizar, os dejo un vídeo donde el propio Chema Alonso explica qué es Latch y sus posibilidades:

En estos casos (no habituales pero tampoco imposibles) nos puede salvar tener un respaldo de nuestros datos en algún servicio cloud como Drive, Dropbox, Hostiso, etc. Tendremos la tranquilidad de que nuestros datos estarán a salvo, pues estos servicios suelen realizar backups diarios y tener varias réplicas en distintos servidores.

¿Pero la privacidad de tus archivos también está salvo? ¿Quién te asegura que no van a «husmear» en tus datos, e incluso tomar aquello que les interese para algún fin?

Partiendo de que no aconsejo utilizar ningún servicio de cloud, precisamente por el tema delicado de la privacidad, si no nos queda más remedio, al menos deberíamos seguir una serie de recomendaciones para ponérselo díficil a los «curiosos».

1. Empaquetar todos tus archivos en uno

La primera recomendación sería tomar todas las carpetas y archivos que compondrán el backup y empaquetarlos en un único archivo.

Vamos a imaginar que tenemos 3 documentos de texto sueltos. Los seleccionamos y abrimos nuestra herramienta de empaquetado, en mi caso Ark.

Existen varios formatos de empaquetado a elegir: zip, tar, tar-gz, gzip… Pero uno de ellos permite además, poner una contraseña de desempaquetado y cifrar el listado de archivos que contiene. Es el formato 7-zip. Seleccionamos este tipo y se habilitarán las opciones de Protección por contraseña.

Aceptamos y obtendremos un único archivo Documentos.7z.

Si intentamos abrirlo, no solo nos pedirá la contraseña de desempaquetado, si no que ocultará el listado de archivos que contiene.

2. Encriptar el archivo empaquetado

Ahora vamos a encriptar el archivo empaquetado para asegurarnos al 99,99% (nunca existe el 100% en seguridad) de que están seguros.

Para ello vamos utilizar el programa GNUPG, que viene incluido en prácticamente todas las distribuciones GNU/Linux. Si no está instalado lo localizamos a través de nuestro gestor de paquetes.

Para encriptar nuestro archivo, abrimos una terminal en el directorio donde se encuentra y nos identificamos como root:

Ahora tecleamos la orden:

gpg -c Documentos.7z

Nos pedirá una contraseña para poder desencriptarlo después.

Ponemos la contraseña y esto nos generará un archivo con extensión gpg (Documentos.7z.gpg).

Este archivo resultante es el que podríamos guardar en nuestro servicio de cloud como copia de seguridad.

Al intentar abrirlo veremos que el contenido está completamente cifrado:

Si necesitamos recuperar su contenido, solo tenemos que abrir una terminal y teclear el comando:

gpg Documentos.7z.gpg

Y poner la contraseña de desencriptación.

Y es todo. Disfrutar de las ventajas de la nube pero mantened la privacidad de vuestros archivos. Nos vemos en el siguiente post!

Es muy importante mantener WordPress, los temas y plugins debidamente actualizados, no solo por las mejoras en optimización y nuevas funcionalidades que nos puedan aportar, si no porque también corrigen errores y agujeros de seguridad que un atacante podría aprovechar para tomar el control de la web.

Pero también conviene tomar ciertas precauciones a la hora de actualizar. Los programadores también son humanos, y pueden haber cometido algún error en la nueva versión del plugin que podría provocar que el plugin o incluso la web entera dejase de funcionar.

Afortunadamente y para evitar estas situaciones de pánico, WordPress funciona como un gran puzle, que cuando una pieza no encaja correctamente se quita, se sustituye y todo debería volver a la normalidad.

Una buena práctica que suelo hacer, es crear una carpeta en mi PC por cada proyecto web que tenga, y descargarme mediante FTP (yo uso Filezilla por ejemplo), todos los plugins del directorio plugins de la web.  La carpeta de plugins se encuentra dentro del directorio principal de Wodpress en wp-content/plugins:

Una vez descargadas, a cada carpeta le añado el número de versión del plugin para tenerlo controlado:

Si WordPress nos avisa de que hay nuevas versiones de plugins:

Lo más cómodo sería marcarlos todos y actualizar del tirón, pero como he advertido antes, si alguno de estos plugin tuviera un error, no sabríamos cual lo está provocando. Lo recomendable es apuntar los números de las nuevas versiones y actualizar de uno en uno. Comprobando en cada actualización que tanto el plugin como la web funcionan con normalidad.

Por ejemplo, si descargamos una nueva versión de Ninja Forms (plugin para envío de formularios) podemos enviar un formulario de prueba.

Si algún plugin funcionase mal tras instalar una versión nueva, podemos desactivarlo mediante el panel de plugins:

Una vez desactivado nos da la opción de Borrarlo directamente, o también podemos borrarlo desde el FTP. Después restauramos mediante FTP la versión anterior del plugin que teníamos descargada y volvemos a activarlo en el panel de plugins.

Si un plugin provocase un fallo total en la web que no nos permitiera acceder al panel de control para desactivarlo, podemos borrarlo directamente desde el FTP y restaurar la anterior versión. Esto debería volver todo a la normalidad.

Cuando una nueva versión de un plugin contiene errores graves es habitual que el programador vuelva a subir una versión rápidamente, por lo que conviene estar a tanto para ver cuando ha salido la nueva versión corregida.

Actualizando WordPress

Cuando recibimos aviso de una nueva actualización de WordPress, también debemos proceder con cautela, aunque como dije al principio conviene tenerlo actualizado a la versión más reciente sobre todo por temas de seguridad, es posible que al actualizar a una versión de WordPress algún plugin nos deje de funcionar.

Los plugins correctamente mantenidos por su autor, suelen recibir actualización casi al instante de recibirse una nueva versión de WordPress. Seguramente ya habrán adaptado sus plugins probando en las versiones Beta del nuevo WordPress que vaya a salir.

Pero si estamos usando un plugin que ha dejado de actualizarse pero es muy importante para nuestra web, del cual no hemos conseguido encontrar sustituto, es posible que al actualizar a la nueva versión de Wodpress, este deje de funcionar. Por lo que ya debemos valorar si prescindimos de dicho plugin en pos de la seguridad o mantenemos la versión anterior hasta que encontremos una nueva solución.

Las versiones de WordPress suelen tener una numeración de 3 dígitos. Actualmente nos entramos en la versión 4.5.3. Cada número más a la izquierda indica una mayor actualización de la versión. Es decir si pasamos de una versión 4.5.3 a una 4.5.4, lo más seguro es que se traten de pequeños arreglos de optimización y seguridad que no deberían afectar a los plugins. Pero si pasamos de una versión 4.5.3 a una 4.6.0, sí es probable que haya cambios internos que afecten a la funcionalidad de algunos plugins. Ni que decir tiene si ya pasamos de una 4.6.0 a una 5.0.0.

Para este caso antes de actualizar a una versión mayor de WordPress deberíamos hacer copia de todos los archivos (la carpeta entera de WordPress) en nuestro PC, por si la actualización provoca fallos irreparables, poder realizar un respaldo de su estado anterior.

Copia de seguridad de la base de datos

Pero una cosa que tampoco debemos olvidar es que una actualización mayor de WordPress también hará cambios en la base de datos del servidor, por lo que si restauramos nuestra versión anterior, la nueva base de datos podría no ser compatible y que tampoco funcionase correctamente, por lo que antes de actualizar a una versión mayor de WordPress deberíamos hacer una copia completa de la base de datos.

Cualquier servidor de hosting debería permitirnos un acceso al phpmyadmin, para gestionar nuestra base de datos.

Dentro de la pantalla principal de phpmyadmin, marcamos la base de datos que queremos guardar y hacemos clic en Exportar:

Dejamos el formato de la copia de seguridad en SQL:

Pulsamos en continuar y esto nos guardará un archivo con el nombre de la base de datos y la extensión .sql.

Ese archivo es la copia de nuestra base de datos.

Si alguna vez necesitásemos restaurarla, solo debemos entrar en phpmyadmin, borrar la base de datos que no funciona, crear una base de datos vacía nueva con el mismo nombre:

Y pulsar en Importar:

Seleccionamos el archivo .sql de respaldo. Así volveríamos a la versión anterior de nuestra base de datos:

Lo dicho, es altamente recomendable mantener nuestra plataforma WordPress y plugins debidamente actualizados y es muy sencillo hacerlo, pero si no queremos llevarnos algún que otro susto, conviene seguir estas recomendaciones.

Recuerda que si tienes alguna duda o quieres comentar tus experiencias, deja tu comentario