{"id":2342,"date":"2023-07-05T10:00:00","date_gmt":"2023-07-05T15:00:00","guid":{"rendered":"http:\/\/racmanuel.dev\/?p=2342"},"modified":"2023-06-28T17:58:37","modified_gmt":"2023-06-28T22:58:37","slug":"uso-de-nonces-para-mejorar-la-seguridad-al-programar-un-plugin-en-wordpress","status":"publish","type":"post","link":"https:\/\/racmanuel.dev\/en\/uso-de-nonces-para-mejorar-la-seguridad-al-programar-un-plugin-en-wordpress\/","title":{"rendered":"Using nonces to improve security when programming a WordPress plugin"},"content":{"rendered":"\n

Introducci\u00f3n:<\/h2>\n\n\n\n

En el desarrollo de plugins de WordPress, una medida de seguridad clave para proteger tu sitio contra ataques malintencionados, como la falsificaci\u00f3n de solicitudes entre sitios (CSRF), es el uso de “nonces”. Nonces, acr\u00f3nimo de “Numbers Used Once” (n\u00fameros utilizados una vez), aseguran que una acci\u00f3n espec\u00edfica proviene de una fuente aut\u00e9ntica y de confianza, y evita solicitudes duplicadas o malintencionadas. En este tutorial, te guiare a trav\u00e9s del proceso de utilizaci\u00f3n de nonces en el desarrollo de un plugin de WordPress.<\/p>\n\n\n\n

\"settings
Photo by Pixabay on Pexels.com<\/a><\/figcaption><\/figure>\n\n\n\n

Creaci\u00f3n de Nonces en WordPress:<\/h2>\n\n\n\n
    \n
  1. Crear un nonce:<\/span><\/li>\n<\/ol>\n\n\n\n

    Para crear un nonce en WordPress, la funci\u00f3n wp_create_nonce()<\/code> se utiliza generalmente. Esta funci\u00f3n necesita una cadena (string) como argumento, que se usa para generar el nonce:<\/p>\n\n\n\n

    $nonce = wp_create_nonce( 'my_action' );<\/code><\/pre>\n\n\n\n
    En este ejemplo, ‘my_action’ es un identificador \u00fanico para la acci\u00f3n que est\u00e1s protegiendo y el nonce generado se asigna a la variable $nonce<\/code>.<\/p>\n\n\n\n
      \n
    1. Adjuntar el nonce a un formulario:<\/span><\/li>\n<\/ol>\n\n\n\n
      Luego de generar el nonce, puedes anexarlo a un formulario utilizando un campo oculto. De este modo, cuando el formulario se env\u00ede, el nonce se enviar\u00e1 junto con \u00e9l:<\/p>\n\n\n\n
      echo '<input type=\"hidden\" name=\"my_nonce\" value=\"' . esc_attr( $nonce ) . '\">';<\/code><\/pre>\n\n\n\n
      En este ejemplo, el nonce se inserta en un campo de formulario oculto llamado ‘my_nonce’.<\/p>\n\n\n\n
        \n
      1. Crear un campo de formulario nonce:<\/span><\/li>\n<\/ol>\n\n\n\n
        Adem\u00e1s, WordPress proporciona una funci\u00f3n wp_nonce_field()<\/code> para simplificar la creaci\u00f3n de campos de formulario nonce:<\/p>\n\n\n\n
        wp_nonce_field( 'my_action', 'my_nonce', true, true );<\/code><\/pre>\n\n\n\n
        En este caso, ‘my_action’ es la acci\u00f3n que se protege, ‘my_nonce’ es el nombre del campo de formulario nonce. Los dos argumentos booleanos finales indican que se debe incluir un campo de referer y que el campo del formulario se debe mostrar directamente.<\/p>\n\n\n\n
        Verificaci\u00f3n de Nonces en WordPress:<\/h2>\n\n\n\n
        Una vez que se ha enviado el formulario y se ha recibido el nonce, debes verificarlo para asegurarte de que es v\u00e1lido.<\/p>\n\n\n\n
          \n
        1. Recuperar el nonce:<\/span><\/li>\n<\/ol>\n\n\n\n
          Puedes recuperar el nonce enviado a trav\u00e9s de la superglobal $_POST<\/code>:<\/p>\n\n\n\n
          $nonce = $_POST['my_nonce'];<\/code><\/pre>\n\n\n\n
          Aqu\u00ed, se recupera el nonce del campo de formulario ‘my_nonce’.<\/p>\n\n\n\n
            \n
          1. Verificar el nonce:<\/span><\/li>\n<\/ol>\n\n\n\n
            Para verificar la validez del nonce, puedes usar la funci\u00f3n wp_verify_nonce()<\/code>. Esta funci\u00f3n necesita dos argumentos: el nonce que se est\u00e1 verificando y el identificador \u00fanico de la acci\u00f3n para la cual se cre\u00f3 el nonce:<\/p>\n\n\n\n
            if ( ! wp_verify_nonce( $nonce, 'my_action' ) ) {\n    die( 'Security check failed!' );\n}<\/code><\/pre>\n\n\n\n
            Si la verificaci\u00f3n del nonce falla, la ejecuci\u00f3n del script se detiene y se muestra un mensaje de error.<\/p>\n\n\n\n
            Conclusi\u00f3n:<\/h2>\n\n\n\n
            El uso correcto de nonces en WordPress es esencial para la protecci\u00f3n de tu sitio contra solicitudes maliciosas. Al usar nonces en tu plugin de WordPress, puedes asegurarte de que todas las acciones provienen de una fuente confiable y se utilizan una sola vez, reforzando as\u00ed la seguridad general de tu sitio. Siempre recuerda probar tus nonces en un entorno de desarrollo antes de implementarlos en tu sitio en producci\u00f3n.<\/p>\n\n\n