Cómo arreglarlo
Instrucciones breves y precisas para los problemas que encuentra un informe de PageCheck. Cada una explica qué falla y cómo corregirlo, con un prompt para el asistente de IA de un desarrollador y un email para tu soporte informático.
Seguridad
- Cualquiera puede leer tu base de datos Supabase La base de datos Supabase de tu sitio se puede leer con la clave pública que está en la página, porque Row Level Security está desactivado.
- Cualquiera puede ejecutar las tareas programadas de tu sitio a través de wp-cron.php Cualquiera puede hacer que WordPress ejecute sus tareas programadas abriendo wp-cron.php. Ejecútalas desde el servidor y cierra el archivo al exterior.
- La API REST de WordPress muestra públicamente los plugins que usa El índice de la API REST en /wp-json/ muestra todos los plugins del sitio a cualquiera que lo lea. Ocúltalo, junto con las partes que tus páginas no usan, a los visitantes que no han iniciado sesión.
- Los visitantes pasan por varias redirecciones antes de la página Las direcciones raíz de su sitio (con y sin www, http:// y https://) deberían llegar a la página con una sola redirección permanente, nunca a través de http:// sin cifrar. Configure un 301 desde cada una de las otras direcciones directamente a la dirección final.
- Archivos del núcleo de WordPress generan errores al abrirlos directamente Los archivos del núcleo de WordPress generan errores de PHP al abrirlos directamente: los bots pueden usarlos para inflar los registros de errores del servidor y, con la visualización de errores activada, revelan las carpetas del servidor. Cierra esos archivos al exterior.
Entrega de emails
- Tu política DMARC es «none»: cualquiera puede enviar correo en tu nombre El registro DMARC del dominio solo recopila informes, así que el correo falsificado en su nombre se sigue entregando.
- El cifrado del correo que recibes se puede desactivar sin que lo notes El dominio no tiene política MTA-STS, así que un atacante entre dos servidores de correo puede desactivar sin que se note el cifrado del correo que se le envía. Publica un archivo de política y dos registros DNS.
- Tu política MTA-STS de correo cifrado no funciona El dominio anuncia una política MTA-STS que los remitentes no pueden usar. Según el fallo, el correo pierde la protección o se rechaza. Encuentra la causa y corrígela.