Bloquear el acceso a wp-admin en Nginx es de esas medidas que cuestan poco y dan mucho. La zona de administraci\u00f3n de WordPress es, con diferencia, lo primero que ataca cualquier bot: miles de peticiones diarias contra el formulario de login, probando combinaciones de usuario y contrase\u00f1a a lo bruto. Si pones una segunda puerta de autenticaci\u00f3n a nivel de servidor, la petici\u00f3n ni siquiera llega a PHP. La inmensa mayor\u00eda de esos ataques se quedan fuera de forma autom\u00e1tica, y el coste en rendimiento es casi nulo.<\/p>\n
WordPress alimenta una parte enorme de la web, y eso lo convierte en blanco permanente. El directorio \/wp-admin<\/em> y el archivo wp-login.php<\/em> los escanean sin descanso en cualquier sitio con tr\u00e1fico medio. Los bots van a lo que van: usuarios y contrase\u00f1as d\u00e9biles. Los plugins de seguridad ayudan, s\u00ed, pero act\u00faan cuando la petici\u00f3n ya est\u00e1 dentro de WordPress, gastando recursos de PHP y de la base de datos.<\/p>\n La autenticaci\u00f3n b\u00e1sica de Nginx va por otro camino: el propio servidor rechaza la petici\u00f3n antes de ejecutar una sola l\u00ednea de c\u00f3digo de WordPress. \u00bfQu\u00e9 ganas con esto?<\/p>\n Consejo:<\/strong> en RedServicio nuestros planes de hosting con Nginx incluyen soporte 24\/7, as\u00ed que si tienes dudas al configurar la autenticaci\u00f3n b\u00e1sica, nuestro equipo t\u00e9cnico puede acompa\u00f1arte en el proceso.<\/p>\n<\/div>\n Eso s\u00ed, un detalle que conviene no pasar por alto: la autenticaci\u00f3n b\u00e1sica transmite las credenciales codificadas en Base64, no cifradas. Sin HTTPS con certificado SSL v\u00e1lido, no intentes nada. Antes, arregla eso.<\/p>\n Antes de ponernos manos a la obra, revisa que cumples esto:<\/p>\n Si tu hosting no te deja tocar la configuraci\u00f3n de Nginx, quiz\u00e1 valga la pena migrar a un proveedor que s\u00ed lo permita; en RedServicio ofrecemos planes VPS con acceso completo para este tipo de configuraciones.<\/p>\n Primero, el archivo con usuario y contrase\u00f1a cifrados. La herramienta de siempre es htpasswd<\/em>, incluida en el paquete apache2-utils<\/em> (Debian\/Ubuntu) o httpd-tools<\/em> (CentOS\/AlmaLinux). \u00bfNo la tienes? Se instala en un momento:<\/p>\n En Debian\/Ubuntu: sudo apt install apache2-utils<\/em><\/p>\n En CentOS\/RHEL: sudo yum install httpd-tools<\/em><\/p>\n Para crear el archivo por primera vez, usa la opci\u00f3n -c<\/em>. Ojo con esto: la opci\u00f3n crea el archivo, as\u00ed que cuando a\u00f1adas m\u00e1s usuarios adelante, om\u00edtela o sobrescribir\u00e1s todo:<\/p>\n sudo htpasswd -c \/etc\/nginx\/.htpasswd tunombre<\/em><\/p>\n El sistema te pedir\u00e1 la contrase\u00f1a dos veces y la almacenar\u00e1 cifrada con el algoritmo bcrypt (seg\u00fan versi\u00f3n, puede usar APR1-MD5 por defecto). Para a\u00f1adir un segundo usuario sin borrar el primero:<\/p>\n sudo htpasswd \/etc\/nginx\/.htpasswd otrousuario<\/em><\/p>\n Importante:<\/strong> guarda el archivo fuera del directorio ra\u00edz de tu web (por ejemplo, en \/etc\/nginx\/<\/em>) y dale permisos restrictivos: chmod 640 \/etc\/nginx\/.htpasswd<\/em> y como propietario www-data<\/em> o el usuario que ejecuta Nginx. As\u00ed evitar\u00e1s que sea accesible desde el navegador.<\/p>\n<\/div>\n \u00bfTodo bien? Compru\u00e9balo con cat \/etc\/nginx\/.htpasswd<\/em>. Deber\u00edas ver una l\u00ednea con el usuario seguido de una cadena cifrada. Si aparece, sigues adelante.<\/p>\n Toca abrir la configuraci\u00f3n del servidor. Suele estar en \/etc\/nginx\/sites-available\/tudominio.conf<\/em> o dentro del bloque server<\/strong> que corresponda a tu sitio. Ah\u00ed definiremos un bloque location<\/strong> espec\u00edfico para wp-admin, que es donde est\u00e1 la clave de todo esto:<\/p>\n Ese modificador ^~<\/strong> del primer bloque no est\u00e1 ah\u00ed por capricho. Garantiza que Nginx d\u00e9 prioridad a esta regla por encima de otras expresiones regulares que puedas tener en la configuraci\u00f3n. Si te lo saltas, es de los fallos m\u00e1s frecuentes. Otra cosa: si tu socket de PHP-FPM es distinto (digamos php7.4-fpm.sock), ajusta la ruta. Lo m\u00e1s sencillo es copiar el include<\/em> y el fastcgi_pass<\/em> que ya usas en tu bloque PHP existente. Coherencia ante todo.<\/p>\n \u00bfGuardaste? Pues valida la sintaxis y recarga:<\/p>\n Si el test sale bien, al entrar en tudominio.com\/wp-admin<\/em> el navegador deber\u00eda pedirte usuario y contrase\u00f1a antes de mostrar el formulario de WordPress. Y si en cambio te aparece un 404 o un 500, casi seguro que el bloque PHP no qued\u00f3 bien duplicado dentro del nuevo location. Revisa eso primero.<\/p>\n Aqu\u00ed viene un detalle que a m\u00e1s de uno le ha vuelto loco. Muchos temas y plugins cargan funciones del frontend a trav\u00e9s de admin-ajax.php<\/strong>, que vive dentro de \/wp-admin. Si proteges la carpeta entera, esas peticiones mueren con un 401. Resultado: carritos de compra rotos, formularios que no env\u00edan, b\u00fasquedas en vivo que se quedan colgadas. La soluci\u00f3n es sencilla, una excepci\u00f3n:<\/p>\n Importante: col\u00f3calo antes<\/em> del location general de \/wp-admin. Al tratarse de una coincidencia exacta (=), Nginx la procesa con prioridad y el archivo queda accesible p\u00fablicamente, que es justo como WordPress espera que funcione.<\/p>\n Pocas medidas dan tanto por tan poco. La autenticaci\u00f3n b\u00e1sica en Nginx detiene el 99% de los ataques de fuerza bruta antes de que siquiera lleguen a WordPress, se monta en minutos y apenas consume recursos. Dif\u00edcil de batir en relaci\u00f3n coste-beneficio. Ahora bien, yo no lo ver\u00eda como una soluci\u00f3n \u00fanica: la seguridad de verdad se construye en capas. Contrase\u00f1as robustas, autenticaci\u00f3n en dos pasos, actualizaciones al d\u00eda, un plugin como Wordfence o Sucuri, certificado SSL y copias de seguridad automatizadas. Cada pieza cubre lo que la anterior deja pasar. Y si prefieres no tocar configuraciones de servidor por tu cuenta, en RedServicio<\/strong> te lo ponemos f\u00e1cil: nuestros planes de hosting web incluyen servidores optimizados para WordPress, cach\u00e9, SSL gratuito y soporte t\u00e9cnico 24\/7 que puede aplicar este tipo de configuraciones por ti. Tu web merece una defensa s\u00f3lida. Empieza por blindar wp-admin hoy mismo.<\/p>\n","protected":false},"excerpt":{"rendered":" Bloquear el acceso a wp-admin en Nginx es de esas medidas que cuestan poco y dan mucho. La zona de […]<\/p>\n","protected":false},"author":2,"featured_media":1409,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[11],"tags":[],"class_list":["post-1407","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad"],"yoast_head":"\n\n
Requisitos previos antes de empezar<\/h2>\n
\n
C\u00f3mo crear el archivo de contrase\u00f1as con htpasswd<\/h2>\n
Configuraci\u00f3n de Nginx: bloques location y ejemplos de c\u00f3digo<\/h2>\n
\n
\nlocation ^~ \/wp-admin {
auth_basic \"\u00c1rea restringida\";
auth_basic_user_file \/etc\/nginx\/.htpasswd;
try_files $uri $uri\/ \/index.php?$args;
}<\/code><\/li>\n
\nlocation = \/wp-login.php {
auth_basic \"\u00c1rea restringida\";
auth_basic_user_file \/etc\/nginx\/.htpasswd;
include snippets\/fastcgi-php.conf;
fastcgi_pass unix:\/run\/php\/php8.2-fpm.sock;
}<\/code><\/li>\n<\/ol>\nnginx -t && systemctl reload nginx<\/code><\/p>\nExcepciones \u00fatiles: permitir admin-ajax.php sin contrase\u00f1a<\/h2>\n
location = \/wp-admin\/admin-ajax.php {
allow all;
auth_basic off;
include snippets\/fastcgi-php.conf;
fastcgi_pass unix:\/run\/php\/php8.2-fpm.sock;
}<\/code><\/p>\n\n
Conclusi\u00f3n: seguridad en capas para tu WordPress<\/h2>\n