Roles y permisos de usuario en WordPress: mínimo privilegio real

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Cuando una cuenta cae, la pregunta que decide la gravedad del incidente es simple: ¿qué podía hacer esa cuenta? Ahí es donde los roles y permisos en WordPress dejan de ser administración rutinaria y se convierten en control de daños. Dentro de la seguridad y hardening de WordPress, el principio de mínimo privilegio —dar a cada usuario exactamente los permisos que necesita, ni uno más— es de las defensas más baratas y más ignoradas. No evita que te ataquen; evita que un ataque lo tome todo.

Cómo funcionan los roles y permisos en WordPress

WordPress organiza el acceso en dos niveles: roles (Administrador, Editor, Autor, Colaborador, Suscriptor) y capacidades (las acciones concretas que cada rol puede ejecutar). Un rol es, en el fondo, un conjunto de capacidades. Entenderlo importa porque la diferencia de poder entre roles es enorme:

• Administrador. Control total: instala plugins, edita código, gestiona usuarios. Es la llave del reino. Comprometer un administrador equivale a comprometer el sitio entero.
• Editor. Gestiona todo el contenido, propio y ajeno, pero no toca la configuración ni el código.
• Autor. Publica y gestiona solo su propio contenido.
• Colaborador. Redacta pero no publica; alguien con más rango revisa.
• Suscriptor. Solo gestiona su perfil. El rol por defecto ideal para usuarios registrados.

La capacidad más peligrosa es edit_files —la que permite editar temas y plugins desde el panel. Un administrador comprometido con acceso al editor de ficheros puede plantar un webshell sin tocar el servidor por FTP. Desactivarla con la constante DISALLOW_FILE_EDIT es una de las líneas de defensa con mejor relación coste-beneficio.

Errores de asignación que se repiten

En auditorías encontramos los mismos patrones una y otra vez:

• Todos son administradores. El equipo entero con rol de administrador «por comodidad». Cada una de esas cuentas es una llave maestra, y basta con que una tenga contraseña débil o caiga en un phishing.
• Cuentas de proveedores que nunca se revocan. La agencia que hizo la web, el freelance del rediseño, el soporte del plugin premium. Accesos vivos de gente que ya no trabaja contigo son una puerta olvidada —y un vector real de compromisos en cadena entre sitios de un mismo hosting.
• El usuario «admin». Un nombre de usuario predecible regala la mitad del trabajo a la fuerza bruta.
• Roles personalizados descontrolados. Plugins que crean roles a medida acumulando capacidades sin que nadie audite qué pueden hacer realmente.

Mínimo privilegio real, paso a paso

Aplicarlo bien es más disciplina que técnica:

• Asigna por función, no por confianza. Quien solo escribe artículos es Autor o Editor, aunque sea el jefe. La jerarquía de la empresa no es la jerarquía de permisos.
• Reduce el número de administradores al mínimo imprescindible. Idealmente dos, con nombres de usuario no predecibles y autenticación de doble factor obligatoria en cada uno.
• Revoca en cuanto termine la relación. No degrades: elimina o reasigna. Una cuenta suspendida sigue siendo una cuenta.
• Audita periódicamente. Revisa la lista de usuarios cada trimestre y pregúntate por cada uno: ¿sigue necesitando este acceso, con este nivel?
• Desactiva la edición de ficheros desde el panel. El código se despliega por vías controladas, no desde un formulario web.

El mínimo privilegio se apoya en el resto de la cadena: de nada sirve un reparto de roles impecable si la contraseña de un administrador cae a la fuerza bruta. Por eso funciona en conjunto con las defensas contra los ataques de fuerza bruta con rate limiting y bloqueo eficaz —una capa impide adivinar la credencial, la otra limita lo que hace quien la consigue.

Por qué el mínimo privilegio contiene los incidentes

Piensa en el privilegio como en compartimentos estancos de un barco: si el agua entra por uno, el diseño evita que inunde el resto. Cuando un atacante compromete un rol de Autor, no puede instalar un plugin malicioso ni crear administradores; su margen de maniobra es estrecho y la contención, más rápida. Cuando compromete un administrador con edición de ficheros activada, el incidente pasa de «limpiar unos posts» a «reconstruir el sitio». La diferencia la decidiste tú, meses antes, al repartir permisos.

Este enfoque es exactamente el que recomiendan las guías de WordPress.org sobre roles y responsabilidades, y coincide con el material del Wordfence Learning Center: buena parte de las vulnerabilidades catalogadas en la NVD del NIST requieren cierto nivel de privilegio para explotarse. Negar ese privilegio de partida es negar el ataque. Y una vez repartidos bien los roles, tu siguiente frente natural es proteger los propios ficheros y datos: una estrategia de backups con la regla 3-2-1 garantiza que, si pese a todo alguien logra dañar el contenido, la recuperación sea cuestión de horas y no de días.