Toda web, creada con WordPress o no, necesita ser segura por muchos motivos, como cumplir la legislación de privacidad, garantizar las transacciones en tu sitio y la seguridad e integridad de los datos de tus usuarios.
Por este motivo debemos siempre aplicar los básicos de seguridad a cualquier web, así como un mantenimiento web efectivo, también si está hecha con WordPress.
Lo mejor de todo es que hay montones de empresas de alojamiento web realmente comprometidas con WordPress y su seguridad que cada vez incluyen más características específicas para nuestras webs, y además tenemos decenas de muy buenos plugins de seguridad para WordPress con los que asegurar aún más la instalación de nuestra web o tienda online.
Llevo muchos años usando plugins de seguridad en mis webs y las de mis clientes, y he ido cambiando de uno a otro según la necesidad de cada sitio, pero nunca había compartido – hasta ahora – una comparativa sobre los mejores plugins de seguridad para WordPress.
Aunque en algunas webs he usado en muchas ocasiones versiones de pago (premium) de plugins de seguridad, con el tiempo me he dado cuenta de que casi nunca merece la pena pagar por estas funcionalidades «pro», pues siempre hay algún modo de conseguirlas mediante otro método o plugin.
Es por eso, y porque realmente pienso que no es necesario, que en esta comparativa me centraré exclusivamente en las versiones gratuitas de los plugins de seguridad para WordPress que he probado y analizado.
Los plugins de seguridad gratuitos para WordPress analizados
A continuación tienes una breve descripción de los plugins de seguridad gratuitos para WordPress que he incluido en la comparativa.
Wordfence Security
Con más de 4 millones de instalaciones probablemente sea el plugin de seguridad más popular de todos los de la comparativa, también impulsado por su fantásticos informes sobre seguridad WordPress que realizan en su web.
Sus características más populares son el cortafuegos gratuito integrado y el analizador de malware.
iThemes Security
Con más de 1 millón de instalaciones es otro de los plugins de seguridad para WordPress más populares, del que recientemente publiqué un tutorial actualizado.
En la última versión ha introducido un asistente y un sistema de protección inteligente mediante tipología de grupos de usuarios, especialmente útil para implementadores y desarrolladores a la hora de asegurar webs de clientes.
All in One WP Security & Firewall
El nombre lo dice todo, es un todo en uno, un intento de aunar en un único plugin de seguridad las funcionalidades que encuentras dispersas en otros.
Con más de 900 mil instalaciones es un plugin muy popular, con una interfaz muy clara y pantallas con amplias explicaciones de cada funcionalidad, algo muy de agradecer para usuarios novatos.
Sucuri Security
Avalado por la conocidísima empresa de seguridad, recientemente adquirida por GoDaddy!, este plugin cuenta con más de 800 mil instalaciones.
Su mejor baza es el monitor de malware sincronizado con su herramienta online gratuita SiteCheck.
WP Cerber Security
Este plugin de seguridad tiene una cantidad de herramientas realmente abrumadora, entre las que hay que destacar el detalladísimo registro de actividad en el sitio, ideal para administradores que dediquen mucho tiempo a vigilar todo movimiento en la web.
Con más de 200 mil instalaciones merecía estar en la comparativa.
SiteGround Security
Este es el chico nuevo en el mundo de la seguridad para WordPress. El plugin lleva disponible menos de 2 meses y ya tiene más de 100 mil instalaciones, y lo mejor de todo es que su uso no está limitado a webs alojadas en SiteGround sino que es totalmente funcional, y gratuito, en cualquier web.
Lo que más llama la atención de este plugin de seguridad gratuito para WordPress es su sencillísima interfaz y lo acertado de la selección de herramientas e incluso de las activas por defecto nada más instalarlo.
¿Cómo se ha realizado la comparativa?
Para hacer la comparativa he instalado los plugins en un sitio de pruebas sin ningún otro refuerzo de seguridad. Una vez instalado y activado cada plugin he comprobado sus funcionalidades y herramientas, revisado los archivos del sistema añadidos y/o modificados, así como el impacto del plugin en la base de datos y su rendimiento y consumo de recursos.
En lo que se refiere a este último concepto, el consumo de recursos, he analizado la web antes y después de activar cada plugin con sus herramientas fundamentales, revisando la cantidad de memoria, consultas y recursos que consume en la portada de la web.
Estas mediciones están realizadas con Query Monitor y P3 Plugin Profiler. Aquí tienes las capturas de sus mediciones de la web sin ningún plugin de seguridad activo.
En la tabla de la comparativa verás enumeradas muchas características, indicando qué plugin la incorpora y en qué medida, así como otros valores, como su impacto en la instalación e incluso tras su desinstalación.
Para finalizar, encontrarás mi valoración personal de cuál considero que es el mejor plugin de seguridad gratuito para WordPress según el tipo de usuario y necesidades.
Tabla comparativa de plugins de seguridad gratuitos para WordPress
Aquí tienes la tabla de resultados de la comparativa realizada.
Notas sobre la comparativa
- Las filas en negrita son herramientas de seguridad más importantes que el resto. Por ejemplo, es mucho más importante proteger el acceso mediante doble verificación (2FA) que cambiando la URL de acceso.
- El cortafuegos no es tan relevante en la comparativa pues la mayoría de hosting actuales ya lo incorporan, y en algunos plugins no es tal sino una serie de reglas de protección de archivos.
Para aficionados a los datos de optimización
Si quieres echar un vistazo a las gráficas detalladas de rendimiento de la instalación de pruebas con cada plugin de seguridad activo aquí las tienes todas…
¿Qué plugin de seguridad gratuito para WordPress debería usar?
Una vez analizados los principales plugins de seguridad gratuitos para WordPress y registrados sus puntos fuertes y débiles, estas son mis recomendaciones…
Plugins de seguridad que no deberías utilizar
Por supuesto, esto es mi opinión, pero no recomiendo en absoluto utilizar Sucuri Security o Wordfence, pues ambos carecen de herramientas que me parecen imprescindibles para la seguridad de WordPress:
- Protección de archivos (Wordfence)
- Protección ante ataques XSS (ambos)
- Desactivar XML-RPC (Sucuri)
- Bloqueo de RSS (ambos)
Por otra parte, me ha sorprendido tristemente que solo SiteGround Security incorpore una herramienta para añadir cabeceras de seguridad, aunque solo sea para HSTS.
Considero esto fundamental en un plugin de seguridad, y me parece sorprendente que plugins como Redirection incorporen esta herramienta y los plugins de seguridad más populares no lo hagan.
Plugin de seguridad más sencillo de configurar
Con enorme diferencia, el plugin más sencillo de configurar para cualquier tipo de usuario y conocimientos previos es SiteGround Security.
Las herramientas activas por defecto son seguras y las opcionales están perfectamente explicadas.
Además, la distribución de las secciones me parece la más acertada y sencilla de comprender:
- Seguridad del sitio
- Seguridad en el acceso
- Registro de actividad
- Acciones post-hackeo
Plugin de seguridad con más herramientas de seguridad
Si tenemos en cuenta solamente la cantidad, en este apartado el que gana por goleada es iThemes Security. Y no me refiero a la cantidad de herramientas que incorpora el plugin, sino que además sean herramientas realmente de seguridad.
Digo esto porque WP Cerber tiene una cantidad de ajustes abrumadora, que puede hacer parecer que es más completo, pero funcionalidades que con WP Cerber pueden requerirte decenas de clics, con los otros plugins las consigues con un solo clic.
Ahora ¿es el plugin que nos aporta más seguridad a nuestro WordPress? Pues no del todo, porque cantidad no es igual a calidad o importancia de las herramientas. Y, por ejemplo, iThemes Security no incorpora herramientas fundamentales como:
- Bloqueo de RSS
- Refuerzos post-hackeo
Además, estoy absolutamente decepcionado con el reciente cambio de interfaz y asistente de configuración, que en vez de ayudar hace todo lo contrario, complicando muchísimo configurarlo correctamente, a pesar de mis esfuerzos en explicarlo. Una pena.
Plugin de seguridad que ofrece mejor seguridad
Aquí no importa tanto cuántas herramientas de seguridad ofrece el plugin, sino cuán relevantes para la seguridad del sitio sean.
Y es que hay plugins en la comparativa con centenares de herramientas que, en realidad, no son realmente importantes para la seguridad de una web. ¿Aportan algo? sí, pero no son lo importante.
Me refiero a que una cabecera de seguridad es enormemente más importante para la seguridad de una web que la inhabilitación del clic derecho al navegar, por ejemplo.
Atendiendo a la dinámica de la comparativa, si tenemos en cuenta cuántos refuerzos de seguridad importantes (en negrita) incorpora cada plugin, el ranking quedaría así:
- SiteGround Security – 12
- iThemes Security – 11
- All in One WP Security – 9
- WP Cerber – 5
- Sucuri – 6
- Wordfence – 5
Nota: WP Cerber puntúa más que Sucuri aún teniendo menos herramientas importantes debido al apunte que hice anteriormente sobre las funcionalidades imprescindibles.
¿Sorprendido de que Wordfence, el plugin más popular y con más instalaciones sea el último de la lista? Yo también, pero por otra parte me confirma el problema que he estado viendo estos últimos meses con webs hackeadas que me ha tocado limpiar, que tenían activo Wordfence, incluso con la versión premium.
Al final es más importante la relevancia de las herramientas que su cantidad.
¿Es el ganador de la comparativa el plugin perfecto de seguridad?
No, para nada, como verás en la tabla a SiteGround Security le faltan aún algunas herramientas que considero fundamentales en un plugin de seguridad:
- Monitor de archivos – Para detectar posibles hackeos y poder tomar medidas al respecto.
- API REST segura – Es fundamental poder configurar el modo de acceso mediante la API REST de WordPress, pues cada vez hay más amenazas que usan este sistema.
- Cabeceras de seguridad – A pesar de ser el único que añade cabeceras de seguridad, echo en falta la posibilidad de añadir más cabeceras de seguridad, como CSP, Content o Permissions.
Espero que sea debido a la novedad de este plugin, y que pronto incorporen estas funcionalidades y algunas otras también relevantes, como el cambio de prefijo de la BD, por ejemplo.
Por otra parte, aunque no es de los que más recursos consume está en el tramo medio, probablemente por el registro de actividad, algo a mejorar, igual que el borrado de las 2 tablas que deja en la base de datos cuando se desinstala.
Eso sí, sorprendentemente incluso para mi, actualmente es el que te recomiendo, y de hecho lo estoy añadiendo ya por defecto en todas mis instalaciones y las de mis clientes.
Es realmente sencillo de configurar, con unos ajustes por defecto seguros y adecuados, e incorpora la mayoría de los refuerzos de seguridad más importantes.
La entrada ¿Cuál es el mejor plugin de seguridad gratuito para WordPress? (2021) la publicó primero Fernando Tellado en Ayuda WordPress. No copies contenido, no dice nada bueno de ti a tus lectores.
0 Commentaires