Seguridad en WordPress Una línea de código para cerrar el editor de archivos en segundo plano (tutorial DISALLOW_FILE

¿Es seguro su sitio de WordPress? Puede que sólo se deba a que aún no ha sido atacado, y el verdadero peligro es que elEditor de archivos de temas y plugins. Siempre y cuando usted consigue la cuenta de administrador (fugas de contraseñas, contraseñas débiles, caballos de Troya, las vulnerabilidades de plugins para retirar el poder son todos posibles), puede cambiar los archivos PHP directamente en el fondo, y escribir una puerta trasera en su sitio en cuestión de segundos.disallow_file_edit Se utiliza para resolver este riesgo: a través de una línea de código, directamente cerrar el fondo de WordPress "edición de archivos" de entrada, de modo que el fondo ya no proporciona la capacidad de cambiar el código en línea, desde la fuente para reducir la posibilidad de ser insertado backdoor.

1. ¿qué es disallow_file_edit? ¿Qué es exactamente lo que desactiva?

En el backend de WordPress, suele haber dos puntos de entrada:

Apariencia → Editor de archivos de temas (Theme File Editor)
Plugins → Editor de archivos de plugin (Plugin File Editor)

Estos editores permiten, por ejemplo, editar archivos de temas/plugins directamente en el servidor:

funciones.php
header.php
pie.php
El archivo principal de un plugin (que contiene la lógica PHP)

Este tipo de portal es "cómodo" para los novatos, pero es un "tren de paso" para los atacantes.disallow_file_edit Lo que hay que hacer es sencillo:Cierre sólo estos dos portales del editorLa función "Editar archivo en línea" no es visible ni utilizable en segundo plano.

Lo esencial:

✅ La posibilidad de "editar archivos en segundo plano" está desactivada.
✅ No afecta al funcionamiento normal de la web
✅ No afecta a la posibilidad de modificar archivos mediante FTP/Administrador de archivos de servidor/SSH.
❌ No es un cortafuegos, no corrige vulnerabilidades automáticamente.
❌ No es una solución de seguridad única, sino un "refuerzo básico imprescindible"

2. ¿Por qué desactivar la edición de documentos en segundo plano? ¿Cuáles son los riesgos reales?

Muchos webmasters piensan erróneamente: "No uso esta función, no pasa nada por mantenerla". La realidad es que:Tú no lo usas, pero el atacante sí..

Un enlace de ataque común tiene este aspecto:

El sitio tiene instalado un plugin/tema vulnerable (o la cuenta ha sido baneada)
El atacante obtuvo privilegios de administrador (o pudo realizar operaciones en segundo plano)
Ir al editor de archivos backend
existe funciones.phpEl archivo plug-in inserta un fragmento de código backdoor (webshell) en el archivo
Una vez que existe la puerta trasera, aunque se cambie la contraseña y se elimine el plugin vulnerable, el sitio puede seguir siendo controlado repetidamente

Así que el punto de apagar el editor de fondo es:

Reducir la vía para que los atacantes "aterricen por la puerta trasera"
Reducir el riesgo de abuso(pantalla en blanco causada por mí mismo o por mis colegas al trastear con archivos en segundo plano)
Sitios web más respetuosos con los "mínimos privilegios(Apaga lo que no debas hacer en segundo plano).

3. ¿Cómo escribir una línea de código? 4. ¿Cuál es el mejor lugar para colocarla?

3.1 Práctica recomendada: escribir en wp-config.php

Todo lo que tiene que hacer es añadir el wp-config.php Añade esta línea a la lista:

define('DISALLOW_FILE_EDIT', true);

Sugerencia de colocación:
armar /* ¡Eso es todo, deja de editar! Feliz publicación. */ Por encima de esta línea (es decir, al final del fichero pero antes del comentario), ejemplo:

define('DISALLOW_FILE_EDIT', true);/* Eso es todo, ¡deja de editar! Feliz publicación. */

De esta forma WordPress lee la configuración cuando se carga.

3.2 ¿Por qué se recomienda wp-config.php en lugar de functions.php?

wp-config.php Es una configuración global con una prioridad más estable
Sin dependencia del tema (no lo perderás si cambias de tema)
La configuración no se invalidará por errores temáticos

Si lo escribe en funciones.phpEsta configuración puede perderse al cambiar de tema o si el archivo del tema está dañado.

4. ¿Qué ocurre cuando se activa? 5. ¿Cómo confirmo que está en vigor?

El cambio más intuitivo al encenderlo:

la zona detrás de un escenario teatral estado exterior "Editor de archivos de temas" ya no aparece en el
la zona detrás de un escenario teatral plug-in (componente de software) La página "Editor de archivos de plugin" ya no aparece.

Diferentes versiones/diferentes idiomas pueden aparecer como:

Editor de archivos de temas / Editor de temas
Editor de archivos de plugins / Editor de plugins

4.1 Método de confirmación rápida (el más sencillo)

Acceso al back office
Mira en los menús Apariencia y Plug-ins.
Si no puedes encontrar el Editor de Archivos, básicamente no está funcionando.

4.2 Si sigue viendo la entrada del editor, la razón habitual es:

Código no añadido correctamente (ubicación incorrecta, archivo no guardado)
El sitio tiene caché/OPcache (raro, pero potencialmente retrasado)
Estás editando algo que no es el uso actual del sitio de wp-config.php(común a multisitios/multientorno)

5. FAQ: ¿Afectará la activación a mi capacidad para actualizar temas/plugins?

No lo haré.disallow_file_edit Sólo "editor", no "actualizar"..
Todavía puedes:

Actualización normal de los plug-ins
Hilo de actualización normal
Cargar plugins/temas normalmente
Editar el contenido de la página normalmente con Elementor, Gutenberg

No puedes hacer eso:

Abrir un fichero PHP directamente en el backend y modificarlo

Eso es exactamente lo que queremos:Elimine el "cambio de código" del fondo y sustitúyalo por algo más controlable.

6. ¿Y si realmente necesito cambiar el código? ¿Cuáles son las alternativas?

Después de cerrar el editor backend, la ruta recomendada para cambiar el código es:

6.1 Utilización de subtemas

Si desea cambiar la funcionalidad/estilo del tema, utilice preferentemente el tema hijo:

No se sobrescribirá con las actualizaciones de los temas
Los cambios son más manejables

6.2 Utilice fragmentos de código o cree su propio plugin

Si sólo estás añadiendo algún código de características y no quieres mover los archivos del tema:

gasto o desembolso Fragmentos de código Plug-ins (tenga cuidado de elegir una versión fiable)
O escribir un pequeño plugin funcional y poner el código en él

6.3 Uso del Administrador de Archivos FTP/Servidor

Cuando necesites cambiar el archivo:

Uso de FTP (FileZilla)
o gestor de archivos del panel de host (cPanel/1Panel, etc.)
o SSH (más especializado)

La ventaja de hacerlo así es: se puede dejar rastro, se puede hacer rollback, se pueden hacer copias de seguridad, no va a estar en segundo plano "un cambio sobre la marcha para reventar el sitio".

7. ¿Cuál es la diferencia entre disallow_file_edit y DISALLOW_FILE_MODS?

Muchas personas confunden estas dos constantes:

7.1 disallow_file_edit

✅ Desactivar la edición de archivos de temas/plugins sólo en segundo plano.
✅ No afecta a las actualizaciones e instalaciones.

7.2 disallow_file_mods

✅ Prohibir la instalación/actualización/eliminación de plugins y temas.
✅ Adecuado para entornos "fuertemente controlados" (por ejemplo, sedes de clientes, sedes corporativas).

Fácil de entender:

Sólo quieresOff Editor: Uso de disallow_file_edit
Si desea bloquear el fondo "cargar plugin, actualizar plugin": utilice la función DISALLOW_FILE_MODS

Sitios más comunes: empezar por disallow_file_edit Basta con hacerlo.

8. Recomendaciones de apoyo

Si estás haciendo seguridad de sitios web y sólo quieres hacer 3 acciones primero, lo pondría en el nivel superior:

✅ Abierto disallow_file_edit
✅ Contraseña fuerte + Reducción de la cuenta de administrador + Abrir 2FA (si puedes).
✅ Actualizar regularmente temas plugin + eliminar temas plugin no utilizados.

La razón es muy sencilla:Desactivar el editor backend = suprimir directamente un portal de alto riesgoEl coste es mínimo y los beneficios, elevados.

observaciones finales

disallow_file_edit Es una de las configuraciones más "libres de complicaciones pero efectivas" en la seguridad de WordPress: una sola línea de código puede desactivar el portal de edición de archivos del backend, por lo que incluso si un atacante consigue acceder al backend, sigue siendo una de las formas más rápidas de insertar una puerta trasera. No afectará a tu capacidad de actualizar y publicar contenido, ni a WooCommerce o Elementor.

Contacte con nosotros
¿No puede leer el tutorial? Póngase en contacto con nosotros para obtener una respuesta gratuita. Ayuda gratuita para sitios personales y de pequeñas empresas	Servicio de atención al cliente WeChat
① Tel: 020-2206-9892
② QQ咨询：1025174874
(iii) Correo electrónico: info@361sale.com
④ Horario de trabajo: de lunes a viernes, de 9:30 a 18:30, días festivos libres