Cómo proteger WordPress de fuerza bruta en DirectAdmin | Seguridad

Proteger tu sitio WordPress contra ataques de fuerza bruta es una de las tareas más importantes para mantener tu web segura. En este artículo, te guiaremos paso a paso para configurar la seguridad en un servidor con panel DirectAdmin, incluyendo métodos para limitar intentos login WordPress y reforzar la seguridad WordPress DirectAdmin.

Los ataques de fuerza bruta son intentos automatizados de adivinar tu contraseña probando miles de combinaciones por segundo. Sin protección, tu sitio puede verse comprometido en minutos. Aquí aprenderás a detenerlos de forma efectiva.

¿Qué son los ataques de fuerza bruta en WordPress?

Un ataque de fuerza bruta consiste en un script o bot que prueba repetidamente combinaciones de usuario y contraseña hasta encontrar la correcta. WordPress es un objetivo común porque millones de sitios lo usan y muchos tienen configuraciones débiles.

Estos ataques pueden:

Ralentizar tu servidor (consumo de CPU y ancho de banda).
Bloquear tu cuenta de hosting si el servidor detecta actividad sospechosa.
Lograr acceso no autorizado si la contraseña es débil o no hay límites de intentos.

[INFO] Incluso con una contraseña segura, sin protección los bots pueden hacer cientos de intentos por minuto. Por eso es vital proteger WordPress fuerza bruta DirectAdmin desde el panel de control.

Configuración básica en DirectAdmin para seguridad WordPress

DirectAdmin ofrece herramientas integradas que puedes activar fácilmente. Sigue estos pasos:

Activar el firewall integrado (CSF)

CSF (ConfigServer Security & Firewall) es un firewall de nivel servidor que bloquea IPs maliciosas.

Inicia sesión en DirectAdmin.
Ve a Panel de administración > Servicios > ConfigServer Security & Firewall.
Haz clic en Firewall Configuration.
Busca la opción LF_PERMBLOCK y actívala (poner "1").
Configura LF_TRIGGER (número de fallos antes de bloquear) y LF_BLOCK_TIME (tiempo de bloqueo en segundos). Recomendado: 5 fallos en 1 minuto, bloqueo de 3600 segundos (1 hora).
Guarda los cambios y reinicia el firewall.

[TIP] También puedes bloquear manualmente IPs sospechosas desde Firewall IP Block.

Usar el plugin de seguridad de DirectAdmin

DirectAdmin incluye un plugin llamado DirectAdmin Security que refuerza la autenticación.

En DirectAdmin, ve a Cuenta de usuario > Seguridad > DirectAdmin Security.
Activa Bloquear IPs después de X intentos fallidos (por ejemplo, 3).
Configura el tiempo de bloqueo (ej: 30 minutos).
Marca Bloquear ataques de fuerza bruta en wp-login.php (esto añade reglas específicas para WordPress).
Haz clic en Guardar.

Esto añade una capa extra a nivel de servidor, ideal para ataques fuerza bruta WordPress.

Métodos avanzados para limitar intentos login WordPress

Además de la configuración del servidor, puedes usar plugins o código para limitar intentos login WordPress directamente.

Opción 1: Plugin "Limit Login Attempts Reloaded"

Este plugin es gratuito y muy efectivo.

Desde el panel de WordPress, ve a Plugins > Añadir nuevo.
Busca "Limit Login Attempts Reloaded".
Instálalo y actívalo.
Ve a Ajustes > Limit Login Attempts.
Configura:
- Intentos permitidos: 3-5.
- Tiempo de bloqueo: 30 minutos.
- Marca Usar cookies locales para mejor rendimiento.
Guarda.

[WARNING] No combines este plugin con reglas de DirectAdmin que ya bloqueen IPs, o podrías duplicar bloqueos. Elige uno u otro.

Opción 2: Código en functions.php (sin plugin)

Si prefieres no usar plugins, añade este código al archivo functions.php de tu tema hijo (recomendado) o tema principal:

function limit_login_attempts() {
    $ip = $_SERVER['REMOTE_ADDR'];
    $transient_name = 'login_attempts_' . $ip;
    $attempts = get_transient($transient_name);
    $max_attempts = 5;
    $lockout_time = 1800; // 30 minutos

    if ($attempts >= $max_attempts) {
        wp_die('Demasiados intentos. Intenta de nuevo en 30 minutos.');
    } else {
        set_transient($transient_name, $attempts + 1, $lockout_time);
    }
}
add_action('wp_login_failed', 'limit_login_attempts');

[INFO] Este código bloquea el login después de 5 fallos durante 30 minutos. Puedes ajustar los números.

Otras medidas clave para seguridad WordPress DirectAdmin

No te limites solo a limitar intentos. Refuerza tu sitio con estas prácticas:

Cambiar la URL de login por defecto

Los bots atacan siempre /wp-login.php y /wp-admin. Cambiar la ruta reduce drásticamente los ataques.

Con plugin: Usa "WPS Hide Login". Actívalo y define una URL personalizada (ej: /misespacio).

Sin plugin: Añade este código en .htaccess (en la raíz de WordPress):

RewriteRule ^misespacio$ /wp-login.php [L,QSA]
RewriteRule ^misespacio/$ /wp-login.php [L,QSA]

Luego, protege el acceso directo a wp-login.php con:

<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from 127.0.0.1
# Permite solo tu IP (reemplaza con tu IP real)
Allow from 192.168.1.100
</Files>

[WARNING] Si cambias la URL, actualiza los enlaces de acceso en tu menú y guarda la nueva URL en un lugar seguro.

Activar autenticación de dos factores (2FA)

Añade una capa extra con un código temporal.

Plugin: "Google Authenticator – Two Factor Authentication (2FA)" o "Wordfence Security".
Configuración: Escanea el código QR con la app Google Authenticator. Cada vez que inicies sesión, necesitarás el código de 6 dígitos.

Usar contraseñas seguras y únicas

Nunca uses contraseñas comunes como "admin123". Genera una con al menos 12 caracteres, mayúsculas, minúsculas, números y símbolos.

DirectAdmin tiene un generador en Cuenta > Cambiar contraseña.
WordPress también sugiere contraseñas seguras al crear usuarios.

Mantener todo actualizado

WordPress core.
Plugins y temas.
Versión de PHP (en DirectAdmin: Cuenta > Administración de PHP).

Las actualizaciones corrigen vulnerabilidades que los bots explotan.

Preguntas frecuentes (FAQ)

¿Qué es un ataque de fuerza bruta en WordPress?

Es un intento automatizado de adivinar tu contraseña probando muchas combinaciones. Sin protección, puede tener éxito si usas contraseñas débiles.

¿Cómo sé si mi sitio está siendo atacado?

Revisa:

DirectAdmin: Panel de administración > Estadísticas > Últimos accesos fallidos.
WordPress: Plugins de seguridad como Wordfence muestran intentos bloqueados.
Logs del servidor: Panel de administración > Registros > Acceso.

¿Qué hago si ya me han hackeado?

Cambia todas las contraseñas (DirectAdmin, WordPress, FTP, base de datos).
Restaura una copia de seguridad limpia (DirectAdmin: Cuenta > Copias de seguridad).
Escanea con un plugin de seguridad (Wordfence, Sucuri).
Revisa archivos modificados recientemente.

¿El plugin "Limit Login Attempts Reloaded" afecta el rendimiento?

No significativamente. Usa cookies locales y evita bases de datos pesadas. Es ligero y recomendado.

¿Puedo combinar DirectAdmin Security con un plugin?

Sí, pero cuidado con duplicar bloqueos. Por ejemplo, si DirectAdmin bloquea después de 3 intentos y el plugin después de 5, el bloqueo del servidor será el primero. Es mejor elegir uno.

¿Qué hago si bloqueo mi propia IP?

Accede a DirectAdmin desde otra IP (ej: usando VPN) o pide a tu proveedor que desbloquee. También puedes editar el archivo /etc/csf/csf.allow desde SSH para añadir tu IP.

Conclusión

Proteger WordPress de ataques de fuerza bruta en DirectAdmin es sencillo si sigues estos pasos. Combina el firewall del servidor, limita los intentos de login y añade capas extra como 2FA o cambio de URL. Recuerda que la seguridad es un proceso continuo: mantén todo actualizado y revisa periódicamente los logs.

[TIP] Si usas Syspanel (antes HestiaCP), recuerda que el puerto de acceso es el 2106. Las configuraciones de seguridad son similares, pero verifica que el firewall esté activo.

Con estas medidas, tu sitio estará mucho más seguro y podrás dormir tranquilo. ¡Empieza hoy mismo!