WordPress puede mostrar información sobre la versión instalada en diferentes partes del sitio. Aunque ocultarla no convierte una instalación en segura, reducir información técnica innecesaria expuesta públicamente puede formar parte de una estrategia de protección y mantenimiento de WordPress.
En este artículo veremos cómo eliminar el generador de WordPress y, sobre todo, qué aporta realmente esta medida desde el punto de vista de la seguridad.
¿Dónde aparece la versión de WordPress?
Dependiendo de la configuración del sitio, WordPress puede incluir información relacionada con su versión en el código generado, feeds y determinados recursos.
Un ejemplo clásico es la etiqueta generator que WordPress puede añadir al código de la página:
<meta name="generator" content="WordPress X.X.X" />Mostrar este dato no significa automáticamente que la web sea vulnerable. El verdadero riesgo aparece cuando una instalación utiliza versiones antiguas de WordPress, plugins o temas con vulnerabilidades conocidas.
Cómo eliminar el generador de WordPress
Podemos eliminar esta información utilizando el filtro the_generator:
function hc_remove_wordpress_version() {
return '';
}
add_filter( 'the_generator', 'hc_remove_wordpress_version' );Con este pequeño snippet evitamos que WordPress muestre mediante este mecanismo la información del generador.
Eliminar la versión de los archivos CSS y JavaScript
También es posible encontrar parámetros de versión en las URLs de algunos archivos CSS y JavaScript. Sin embargo, aquí debemos tener cuidado: los parámetros de versión también se utilizan para controlar la caché cuando un recurso cambia.
Por eso, no recomiendo eliminar indiscriminadamente todos los parámetros ?ver= únicamente con el objetivo de ocultar la versión de WordPress. Podemos terminar perjudicando el mecanismo de actualización de recursos sin obtener una mejora de seguridad significativa.
¿Ocultar la versión de WordPress mejora la seguridad?
Sí puede reducir información técnica expuesta, pero su efecto sobre la seguridad es limitado.
Un atacante o bot no necesita necesariamente conocer la versión indicada en una etiqueta HTML para intentar explotar vulnerabilidades. Además, existen otras técnicas que pueden permitir identificar características de una instalación WordPress.
Por eso, ocultar la versión debe entenderse como una medida complementaria y nunca como sustituto de mantener actualizado WordPress, los plugins y los temas.
Dónde añadir el código
No recomiendo modificar directamente el archivo functions.php del tema principal. Si el tema se actualiza, las modificaciones pueden perderse.
Podemos utilizar el functions.php de un tema hijo o, si la funcionalidad debe permanecer independientemente del tema utilizado, crear un pequeño plugin de funciones.
Separar las funcionalidades del diseño es también una buena práctica de desarrollo web con WordPress: el comportamiento que debe mantenerse aunque cambiemos de tema no debería depender innecesariamente de él.
Qué es más importante para proteger WordPress
Si el objetivo es mejorar realmente la seguridad de una instalación, ocultar la versión es solamente una pequeña parte del trabajo.
- Mantener WordPress actualizado.
- Actualizar plugins y temas.
- Eliminar plugins y temas que ya no se utilizan.
- Proteger los accesos y limitar intentos automatizados.
- Realizar copias de seguridad periódicas.
- Revisar actividad sospechosa y posibles modificaciones de archivos.
- Utilizar una infraestructura y configuración de servidor adecuadas.
Conclusión
Eliminar la versión visible de WordPress es sencillo y puede ayudarnos a reducir información técnica innecesaria expuesta públicamente. Pero no debemos confundir ocultación con protección.
La seguridad real de WordPress depende principalmente de mantener el software actualizado, reducir la superficie de ataque y disponer de medidas capaces de detectar, limitar y bloquear actividad maliciosa.
