Seguridad

Configuracion de depuracion

FlowKit permite gestionar las constantes de depuracion de WordPress directamente desde el panel de administracion, sin necesidad de editar wp-config.php manualmente. Esto facilita activar o desactivar la depuracion segun el entorno de trabajo.

Constantes disponibles

Recomendaciones por entorno

Opciones de proteccion

FlowKit incluye varios modulos de endurecimiento que limitan la superficie de ataque del sitio. Cada opcion se activa de forma independiente desde el panel de seguridad.

Modulos disponibles

• Desactivar WP-JSON — Bloquea el acceso a la API REST de WordPress para usuarios no autenticados. Esto impide que visitantes anonimos consulten endpoints como /wp-json/wp/v2/users, que pueden revelar nombres de usuario y otra informacion interna.
• Desactivar XML-RPC — Elimina el protocolo de acceso remoto xmlrpc.php. Este protocolo es un vector comun de ataques de fuerza bruta y amplificacion DDoS. La mayoria de sitios modernos no lo necesitan.
• Eliminar canales RSS — Desactiva los feeds RSS, Atom y RDF del sitio. Util si no necesitas sindicacion de contenido y prefieres reducir los puntos de acceso publicos.
• Ocultar version de WordPress — Elimina la metaetiqueta generator del HTML y otras referencias a la version instalada. Esto dificulta que un atacante identifique la version exacta y busque vulnerabilidades conocidas.

Resumen de opciones

Cifrado de claves

FlowKit almacena las claves de API (como las de servicios de inteligencia artificial) de forma cifrada en la base de datos. En lugar de guardar la clave en texto plano, se utiliza el algoritmo AES-256-CBC para cifrar el valor antes de almacenarlo.

Como funciona

La clase Flowtitude_Helpers proporciona dos metodos estaticos para cifrar y descifrar valores. La clave de cifrado se deriva de las sales de seguridad de WordPress (AUTH_KEY y AUTH_SALT), que son unicas para cada instalacion.

• Cifrado — Antes de guardar una clave de API en wp_options, se pasa por encrypt(). El resultado es una cadena codificada en base64 que no puede leerse sin la clave de cifrado.
• Descifrado — Cuando se necesita usar la clave (por ejemplo, para enviar una peticion a un servicio externo), se recupera el valor cifrado y se pasa por decrypt().

Ejemplo de uso

// Cifrar antes de guardar
$clave_cifrada = Flowtitude_Helpers::encrypt( $clave_api );
update_option( 'flowtitude_api_key', $clave_cifrada );

// Descifrar cuando se necesite
$clave_cifrada = get_option( 'flowtitude_api_key' );
$clave_original = Flowtitude_Helpers::decrypt( $clave_cifrada );

// Usar la clave para una peticion
$respuesta = wp_remote_post( $endpoint, [
    'headers' => [
        'Authorization' => 'Bearer ' . $clave_original,
    ],
] );

Ventajas frente al texto plano

• Si un atacante obtiene acceso de lectura a la base de datos, no podra usar las claves de API directamente.
• Las copias de seguridad de la base de datos no contienen claves legibles.
• El cifrado es transparente: el resto del codigo trabaja con los metodos encrypt() y decrypt() sin conocer el algoritmo interno.

Verificacion de peticiones

Todas las peticiones AJAX y los formularios del panel de administracion utilizan nonces (numeros de un solo uso) para verificar que la peticion proviene de un usuario legitimo y no de un sitio externo. Esto previene ataques de tipo CSRF (falsificacion de peticiones entre sitios).

Como funciona

WordPress genera un token temporal (nonce) asociado a una accion concreta y al usuario actual. Cuando el navegador envia la peticion, incluye el nonce como parametro. El servidor verifica que el nonce sea valido antes de procesar la solicitud.

• Generacion — Se crea el nonce en PHP con wp_create_nonce() y se pasa al JavaScript mediante wp_localize_script().
• Envio — El JavaScript incluye el nonce en cada peticion AJAX como parametro nonce o _wpnonce.
• Verificacion — El manejador AJAX del servidor verifica el nonce con check_ajax_referer() antes de ejecutar cualquier logica.

Ejemplo de implementacion

add_action( 'wp_ajax_flowtitude_guardar_ajustes', 'flowtitude_guardar_ajustes' );

function flowtitude_guardar_ajustes() {
    // 1. Verificar nonce — termina con wp_die() si es invalido
    check_ajax_referer( 'flowtitude_seguridad', 'nonce' );

    // 2. Verificar permisos del usuario
    if ( ! current_user_can( 'manage_options' ) ) {
        wp_send_json_error( [ 'message' => 'Permisos insuficientes.' ] );
    }

    // 3. Sanitizar datos de entrada
    $opcion = sanitize_key( $_POST['opcion'] ?? '' );
    $valor  = sanitize_text_field( $_POST['valor'] ?? '' );

    // 4. Procesar la solicitud
    update_option( "flowtitude_{$opcion}", $valor );

    wp_send_json_success( [ 'message' => 'Ajustes guardados.' ] );
}

Buenas practicas