Mantener el acceso de administrador de WordPress fuera de \/wp-admin es el cambio de seguridad de mayor impacto que la mayor\u00eda de los sitios puede hacer. La URL predeterminada es la primera l\u00ednea del manual de todo atacante. Cambiarla no mejora la seguridad por s\u00ed sola, pero saca al sitio por completo del grupo de ataques automatizados. Esta gu\u00eda explica por qu\u00e9 y c\u00f3mo.<\/p>
Las redes de bots rastrean la web accediendo a \/wp-login.php en cada dominio. Los sitios que responden entran en la cola de ataque. Los que devuelven un 404 no. La elecci\u00f3n es binaria.<\/p>
O bien indicas que eres un sitio de WordPress, o no lo haces. Cambiar la URL es ese cambio binario.<\/p>
Un plugin de seguridad de acceso se encarga de esto. Defyn Security Manager reemplaza \/wp-admin y \/wp-login.php por una URL personalizada que t\u00fa elijas. Las URL antiguas devuelven un 404, una redirecci\u00f3n o una p\u00e1gina de acceso se\u00f1uelo que hace perder tiempo a los bots.<\/p>
El plugin Defyn Security Manager tambi\u00e9n registra cada intento en la URL antigua, para que puedas ver tu defensa en acci\u00f3n.<\/p>
El plugin incluye una desactivaci\u00f3n de emergencia mediante una constante en wp-config.php. Editas wp-config.php para a\u00f1adir la constante, el plugin se desactiva y las URL originales vuelven a funcionar. Inicias sesi\u00f3n con normalidad y lo reconfiguras.<\/p>
Para sitios sin acceso al servidor, cambiar el nombre de una carpeta por SFTP logra lo mismo. Documenta el procedimiento en la wiki de tu equipo.<\/p>
Ocultar la URL detiene el ruido automatizado. El bloqueo por fuerza bruta, la 2FA y los registros de auditor\u00eda atrapan lo que logra pasar. Cada capa se refuerza con la siguiente.<\/p>
Ocultar la URL es necesario, pero no suficiente por s\u00ed solo.<\/p>
Cualquier actividad en la URL antigua es, por definici\u00f3n, no deseada. El registro de auditor\u00eda muestra las direcciones IP que siguen accediendo a ella. Muchas de esas IP merecen un bloqueo permanente en el firewall.<\/p>
Esos datos son inteligencia accionable.<\/p>
No. Es una primera capa importante. Comb\u00ednalo con 2FA y bloqueo por fuerza bruta para lograr una seguridad real.<\/p>
No. Guarda la nueva URL en marcadores. Almac\u00e9nala en tu gestor de contrase\u00f1as. \u00dasala como cualquier otra URL.<\/p>
La desactivaci\u00f3n de emergencia mediante wp-config.php restaura la predeterminada de forma temporal.<\/p>
S\u00ed. Las cadenas de aspecto aleatorio superan a \/secret-login. Trata la URL como un secreto.<\/p>