Ocultar versión WordPress en DirectAdmin: Mejora tu seguridad

¿Por qué deberías ocultar la versión de WordPress en DirectAdmin?

Cuando instalas WordPress en tu servidor con DirectAdmin, el sistema por defecto expone información pública sobre la versión exacta que estás utilizando. Esto puede parecer un detalle menor, pero en realidad es una puerta de entrada para atacantes que buscan vulnerabilidades conocidas.

Piensa en ello como si pusieras un cartel en la puerta de tu casa que dijera "Esta cerradura es el modelo X del año 2019". Si alguien con malas intenciones sabe que ese modelo tiene una falla conocida, sabrá exactamente cómo intentar entrar. Lo mismo ocurre con WordPress: si un hacker sabe que usas la versión 5.8.2, puede buscar exploits específicos para esa versión.

En este artículo te enseñaremos paso a paso cómo ocultar la versión de WordPress en tu servidor DirectAdmin, usando métodos sencillos que no requieren conocimientos avanzados de programación. También te explicaremos por qué esta práctica forma parte esencial de una buena estrategia de seguridad WordPress DirectAdmin.

¿Dónde aparece visible la versión de WordPress?

Antes de aprender a ocultarla, es importante que sepas dónde se muestra esa información. WordPress expone su versión en varios lugares:

En el código fuente de tu web: si haces clic derecho en tu página y seleccionas "Ver código fuente", podrás encontrar etiquetas como <meta name="generator" content="WordPress 6.4.2">.
En el pie de página del panel de administración: en el área de wp-admin, abajo a la derecha, aparece "Gracias por crear con WordPress" seguido de la versión.
En los enlaces RSS: los feeds de tus entradas y comentarios también incluyen la versión.
En los archivos de lectura: algunos archivos como readme.html contienen la versión y son accesibles públicamente.

La buena noticia es que puedes eliminar generador WP de todos estos puntos con unos pocos ajustes. Vamos a ver cómo hacerlo.

Método 1: Ocultar la versión de WordPress con código en functions.php

Este es el método más común y efectivo para ocultar wp version. Consiste en añadir unas líneas de código al archivo functions.php de tu tema activo.

Paso 1: Accede a tu panel de administración

Entra en tu WordPress con tu usuario administrador. En el menú lateral izquierdo, ve a Apariencia → Editor de archivos de tema.

[WARNING] Si no ves la opción "Editor de archivos de tema", puede que tu hosting tenga deshabilitada esta función por seguridad. En ese caso, puedes acceder por FTP o desde el administrador de archivos de DirectAdmin.

Paso 2: Localiza el archivo functions.php

En el editor, verás una lista de archivos del tema a la derecha. Busca functions.php y haz clic sobre él para abrirlo en el editor.

Paso 3: Añade el código de seguridad

Al final del archivo, antes de la etiqueta ?> de cierre (si existe), pega el siguiente código:

// Eliminar generador WP del head
remove_action('wp_head', 'wp_generator');

// Eliminar versión de WordPress en RSS
add_filter('the_generator', '__return_false');

// Eliminar versión de WordPress en scripts y estilos
function eliminar_version_wp_scripts($src) {
    if (strpos($src, 'ver=')) {
        $src = remove_query_arg('ver', $src);
    }
    return $src;
}
add_filter('style_loader_src', 'eliminar_version_wp_scripts', 9999);
add_filter('script_loader_src', 'eliminar_version_wp_scripts', 9999);

Paso 4: Guarda los cambios

Haz clic en Actualizar archivo y listo. Ya has conseguido ocultar versión WordPress en la mayoría de puntos visibles.

[TIP] Te recomendamos crear un tema hijo antes de modificar el functions.php. Así, cuando actualices el tema principal, no perderás estos cambios de seguridad.

Método 2: Usar un plugin de seguridad

Si prefieres no tocar código, existen plugins que hacen este trabajo automáticamente. Algunos de los más populares son:

WP Hide & Security Enhancer: te permite ocultar no solo la versión sino también otros elementos como el login URL.
iThemes Security: incluye la opción de ocultar la versión entre muchas otras medidas de seguridad.
All In One WP Security: tiene una sección específica para "Ocultar versión de WordPress".

¿Cómo configurar un plugin para ocultar la versión?

Tomemos como ejemplo All In One WP Security:

Instala y activa el plugin desde Plugins → Añadir nuevo.
Ve a WP Security → Brute Force.
Busca la sección "Ocultar versión de WordPress".
Marca la casilla "Ocultar la versión de WordPress".
Guarda los cambios.

[INFO] Los plugins no solo ocultan la versión, sino que añaden capas extra de protección. Sin embargo, cada plugin consume recursos del servidor, así que instala solo los que realmente necesites.

Método 3: Ocultar la versión desde el archivo .htaccess

Otra forma de ocultar wp version es usando el archivo .htaccess de tu servidor. Este método es especialmente útil si quieres bloquear el acceso a archivos que revelan información.

Paso 1: Accede al archivo .htaccess

Desde DirectAdmin, entra en el Administrador de archivos de tu dominio. Verás el archivo .htaccess en la raíz. Si no lo ves, activa la opción "Mostrar archivos ocultos".

Paso 2: Añade las reglas

Al principio del archivo, añade estas líneas:

# Bloquear acceso a archivos que revelan versión
<Files readme.html>
    Order allow,deny
    Deny from all
</Files>

<Files license.txt>
    Order allow,deny
    Deny from all
</Files>

# Eliminar cabecera X-Powered-By
<IfModule mod_headers.c>
    Header unset X-Powered-By
    Header unset X-Pingback
</IfModule>

Paso 3: Guarda y prueba

Guarda el archivo y visita tu web. Intenta acceder a tudominio.com/readme.html y verás que ahora devuelve un error 403.

[WARNING] Ten cuidado al editar .htaccess. Un error puede dejar tu web inaccesible. Guarda siempre una copia de seguridad antes de modificar nada.

Método 4: Desactivar los avisos de actualización en el frontend

WordPress también muestra avisos de actualización en el escritorio que revelan la versión. Aunque esto no es visible para los visitantes, es una buena práctica desactivarlo para evitar que usuarios con acceso al panel vean información innecesaria.

Añade este código al functions.php:

// Ocultar avisos de actualización para todos los usuarios excepto administradores
function ocultar_avisos_actualizacion() {
    if (!current_user_can('administrator')) {
        remove_action('admin_notices', 'update_nag', 3);
    }
}
add_action('admin_init', 'ocultar_avisos_actualizacion');

Método 5: Eliminar la versión de WordPress en DirectAdmin a nivel de servidor

Si tienes varios sitios WordPress en tu servidor DirectAdmin, puede ser más eficiente hacer cambios a nivel global. DirectAdmin te permite modificar el php.ini o usar php_value en .htaccess para ocultar ciertas cabeceras.

Configuración en php.ini

Desde DirectAdmin, ve a Configuración de PHP y busca la directiva expose_php. Cámbiala a Off:

expose_php = Off

Esto elimina la cabecera X-Powered-By que revela la versión de PHP, que a su vez puede dar pistas sobre la versión de WordPress.

[TIP] Si tu hosting usa Syspanel (antes conocido como HestiaCP), recuerda que el puerto de acceso es el 2106. La configuración de PHP se encuentra en la sección "Servidor" dentro del panel.

¿Qué más puedes hacer para mejorar la seguridad WordPress DirectAdmin?

Ocultar la versión es solo el primer paso. Aquí tienes otras medidas complementarias:

1. Mantén todo actualizado

Aunque ocultes la versión, los atacantes pueden descubrirla por otros medios. La mejor defensa es mantener WordPress, temas y plugins siempre actualizados.

2. Usa contraseñas fuertes

Cambia las contraseñas periódicamente y usa autenticación de dos factores (2FA) para el panel de administración.

3. Limita los intentos de login

Instala un plugin que limite los intentos de acceso fallidos, como Login LockDown o Limit Login Attempts.

4. Cambia el prefijo de las tablas de la base de datos

Durante la instalación, usa un prefijo diferente a wp_. Esto dificulta los ataques de inyección SQL.

5. Desactiva la edición de archivos desde el panel

Añade esta línea al wp-config.php:

define('DISALLOW_FILE_EDIT', true);

6. Usa certificados SSL

DirectAdmin facilita la instalación de certificados SSL gratuitos. Actívalo para que toda la comunicación sea cifrada.

Preguntas frecuentes (FAQ)

¿Es legal ocultar la versión de WordPress?

Sí, es completamente legal. WordPress es software de código abierto y tienes derecho a modificar tu instalación como consideres necesario. Ocultar la versión es una práctica estándar de seguridad recomendada por muchos expertos.

¿Afecta esto al funcionamiento de mi web?

No. Ocultar la versión no afecta al rendimiento ni al funcionamiento de tu sitio. Solo elimina información que no es necesaria para el usuario final.

¿Puedo ocultar la versión sin usar plugins?

Sí, los métodos con código en functions.php y .htaccess que te hemos mostrado no requieren plugins adicionales.

¿Qué pasa si mi tema se actualiza y pierdo los cambios?

Si editas directamente el functions.php del tema principal, perderás los cambios al actualizarlo. Por eso recomendamos crear un tema hijo o usar un plugin.

¿Cuánto tiempo tarda en aplicarse el cambio?

Los cambios son inmediatos. Solo asegúrate de limpiar la caché del navegador y la caché de tu web si usas algún plugin de caché.

¿Puedo ocultar la versión en Syspanel?

Si tu hosting usa Syspanel (puerto 2106), los métodos son exactamente los mismos que en DirectAdmin, ya que la gestión de WordPress se hace desde el propio panel de WordPress.

Conclusión

Ocultar la versión de WordPress en DirectAdmin es una medida de seguridad sencilla pero muy efectiva. No te protegerá de todos los ataques, pero elimina información valiosa que los atacantes podrían usar para dirigir sus ataques de forma más precisa.

Hemos visto cinco métodos diferentes: desde añadir código en functions.php, usar plugins, modificar .htaccess, desactivar avisos de actualización y configurar el servidor. Elige el que mejor se adapte a tu nivel de conocimientos y a tus necesidades.

Recuerda que la seguridad web es un proceso continuo. Ocultar la versión es solo una pieza del rompecabezas. Combínalo con actualizaciones regulares, contraseñas fuertes, copias de seguridad y otras medidas de protección para mantener tu sitio seguro.

Si tienes dudas o problemas durante el proceso, no dudes en contactar con tu proveedor de hosting. En la mayoría de los casos, el soporte técnico de DirectAdmin estará encantado de ayudarte a configurar estas medidas de seguridad.

[INFO] Te recomendamos revisar tu web con herramientas como WhatIsMyCMS o WPScan después de aplicar estos cambios para verificar que la versión ya no es visible públicamente.