Presentamos WordPress Protect: protección mejorada contra inicios de sesión por fuerza bruta

Durante las vacaciones, nuestros administradores de sistemas estuvieron muy ocupados tras bastidores lanzando una nueva aplicación conocida como WordPress Protect, que brinda una protección más sólida para los sitios web de WordPress. WordPress Protect se suma a nuestra suite de seguridad en constante crecimiento que forma parte de nuestra nueva plataforma de alojamiento.

La cuestión

WordPress representa más del 30 % del total de sitios web en Internet, por lo que se ha convertido en un objetivo importante para la actividad maliciosa. De hecho, , nuestra industria se enfrentó a uno de los ataques dirigidos más grandes y mejor organizados a las instalaciones de WordPress mediante un intento conocido como fuerza bruta.

Lamentablemente, WordPress no tiene protección incorporada contra este tipo de ataques, por lo que trabajamos para desarrollar reglas ModSecurity personalizadas y desarrollamos un sistema rudimentario basado en CAPTCHA para ayudar a frenar estos ataques maliciosos.

Este proceso permitió a nuestros administradores de sistemas tomar medidas para limitar el impacto en nuestros clientes y su tráfico legítimo, al mismo tiempo que protegían sus sitios web. Lamentablemente, como efecto secundario, se generó confusión al introducir un segundo mensaje de inicio de sesión que, como es comprensible, no gustó a nuestros clientes. Esto nos obligó a trabajar activamente en una solución más limpia en segundo plano.

La solución: WordPress Protect

Es con ese esfuerzo que nuestros administradores de sistemas en conjunto con algunos de nuestros proveedores externos lograron crear lo que consideramos una solución superior que no solo protege mejor a nuestros clientes sino que también ha ayudado a reducir la carga general del servidor, lo que resulta en una experiencia de alojamiento más rápida y estable para todos los clientes.

Durante , probamos activamente la nueva solución en un pequeño segmento de nuestra red y descubrimos que nuestra suite WordPress Protect filtraba más de 180 000 intentos diarios (un poco más de 54 millones de intentos por mes) al tiempo que reducía los tiempos de carga de la página hasta en un 13 % debido al filtrado que se realizaba antes de la conexión al sitio web de los clientes.

Nuestros hallazgos se confirmaron aún más después de recibir elogios de nuestros clientes:

“Es reconfortante ver que nuestro sitio web está protegido de forma proactiva contra ataques de fuerza bruta, especialmente porque no interfiere en nuestra vida diaria”.

“En el pasado, cada vez que había un ataque, tenía que usar el molesto captcha para iniciar sesión en mi sitio de WordPress. Ahora, los bloqueos se producen sin que yo me dé cuenta”.

“He recurrido a complementos que bloquean este tipo de ataques, pero desde que todos ustedes activaron WordPress Protect, he visto una disminución en los intentos a través de las estadísticas del complemento y una disminución en la velocidad de carga de las páginas. Una situación beneficiosa para todos”.

Entonces, ¿cómo funciona?

WordPress Protect se habilita automáticamente para cada cuenta de alojamiento en nuestra plataforma y no requiere ninguna acción por parte del cliente para habilitar o deshabilitar la protección.

Nuestro sistema hará un seguimiento de los intentos fallidos de inicio de sesión durante un período de tiempo específico utilizando un sistema basado en cuotas para las siguientes páginas: xmlrpc.php y wp-login.php. En el caso de que una conexión falle al iniciar sesión 10 veces (en toda nuestra red), comenzaremos a limitar esa conexión, por lo que la carga de la página demorará 30 segundos. Las conexiones que no fallen no se limitarán.

Entonces, para decirlo en términos simples, si hay un intento de fuerza bruta en cualquier lugar de nuestra red, nuestro sistema lo cerrará automáticamente mientras que usted, el usuario legítimo, continuará usando su sitio web sin problemas.

Lo que está por venir

A medida que trabajamos para evolucionar WordPress Protect, incorporaremos funciones adicionales que permitirán a los clientes tener un mayor control sobre cómo se filtran las conexiones para sus cuentas de hosting.

Esperamos recibir más comentarios positivos de nuestros clientes a medida que continuamos mejorando y ampliando nuestras opciones de paquetes de seguridad. No dude en dejar sus comentarios a continuación.