¿Por qué los usuarios abandonan el proceso de compra en las tiendas online?

¿Qué podemos hacer para evitar que los usuarios abandonen el proceso de compra? Según ha publicado la revista Emprendedores en su número de febrero de 2012 `página 106), basándose en un estudio de la consultora Multiplica, primero deberemos entender a diferenciar dos métricas:

• Ratio de abandono del carrito de la compra: Porcentaje de usuarios que, pese haber introducido productos en el carrito de la compra, no inician el
  proceso de check-out.
• Ratio de abandono del proceso de check-out: Porcentaje de usuarios que, a pesar de haber iniciado el proceso de check-out, no terminan materializando el pedido.

Entender y medir estos ratios es significativo pues nos describen realidades distintas: El ratio de abandono del carrito nos habla de usuarios que no han decidido todavía realizar una compra, mientras que el ratio de abandono del proceso de check-out nos habla de usuarios que, a pesar de haber tomado la decisión, no la materializan.

El segundo ratio “Ratio de abandono del proceso de check-out“ es el que debería acercarse a 0.

•  ¿Los motivos? Son múltiples si hacemos caso al estudio realizado hace un par de años por Forrester Research. Entre ellos destacan: en un 57% no querer pagar los gastos de envío, en un 48%, que el coste total asciende a más dinero del que se creía inicialmente y en un 41%, que el uso del carro de compra era sólo para informarse y comparar. Otros motivos que se mencionan son: preferir comprar offline, buscar un cupón de descuento, no haber encontrado la forma de pago preferida, producto no disponible o mala percepción de seguridad.

¿Qué podemos hacer para mejorar el proceso de chek-out? Multiplica nos da 40 ideas, de las cuales hemos escogido las que consideramos las más importantes. Podéis acceder al informe completo y detallado de Multiplica aquí:

1. El proceso de check-out empieza siempre antes del mismo proceso en sí, cuando el usuario incluye un primer producto en la cesta de la compra. ¿Cuántas veces le hemos dado al botón “Añadir al carro” y hemos tenido la sensación de que no haya pasado nada?
2. Debe ser percibido como ágil, líneal y fluido reduciendo al máximo el número de pasos y no permitir en ningún caso que superen los 4 pasos.
3. Debe optimizar los tiempos de velocidad de descarga de estas páginas y de sus transiciones en menos de 2 segundos.
4. Debe indicar el momento del proceso en el que estamos, permitirnos editar cualquier paso del proceso, así como mostrar el paso siguiente que vamos a dar, para transmitir la sensación de absoluto control y libertad.
5. Debe quedar claro el producto que se está comprando y permitir su visualización en todo momento incluyendo fotografías de los productos que estoy pensando comprar.  Aunque parece algo trivial, no hacerlo puede reducir un 10% nuestros ratios de conversión.
6. Debe proponernos un formulario que se parezca más a una conversación que estrictamente un frío formulario.
7. Debe quedar claro el coste total incluido el transporte, información del horario de entrega (si aplica), así como la disponibilidad del producto.
8. Debe mostrar claramente nuestra preocupación por la seguridad y la privacidad de los datos de nuestros clientes.
9. Debe gestionar con sumo cuidado la introducción de códigos promociones o cupones pues generará en el usuario la sensación de que vale la pena buscar por internet donde encontrar tales cupones y, por tanto, conseguirán desviar la atención.

Os recomendamos a todos que os descargéis el informe completo, ya que da 31 consejos más. No obstante, esperamos que con estos 9 que son los que nosotros consideramos más importantes tengáis ideas de como optimizar vuestras tiendas online. Déjarnos comentarios si hemos olvidado algún consejo importante.

Si está información te ha parecido interesante, mira también:

1. Fourquare supera los 10.000.000 de usuarios
2. Más de 100 millones de usuarios activos de Twitter
3. Tipos de usuarios en Redes Sociales

Este año hemos rediseñado ligeramente la web, añadiendo botones sociales (Facebook, Twitter y Google+), incluyendo los comentarios de Facebook, etc. Podéis acceder a través del siguiente enlace a las Verdades sobre proyectos de éxito en Internet.

Las 7 verdades tratan de abarcar todos los aspectos fundamentales a la hora de crear un proyecto en Internet de éxito:

1. VERDAD 1: “El comienzo” – “La clave es un buen comienzo y un buen objetivo”
2. VERDAD 2: “El compañero” – ” La gente de la que te rodeas es la que te ayuda a llegar donde quieres”
3. VERDAD 3: “La Experiencia” – “Dime de dónde vienes y te diré dónde vas”
4. VERDAD 4: “La Técnica” – “Internet es un producto técnico, muy técnico y cada día más técnico”
5. VERDAD 5: “El posicionamiento en la red” – “Hacer un proyecto web y no promocionarlo es como hacer un catálogo y encerrarlo en un armario” ¡Sal del armario!
6. VERDAD 6: “El después” – “Que no sea de otro lo que puede ser de uno mismo”
7. VERDAD 7: “Tu servidor” – “Pregunta quién se va a ocupar de ti cuando tengas un problema con las cuentas de correo o con el servidor en el que se aloja tu web, qué conocimientos tiene esa persona y qué tipo de ayuda te puede ofrecer”

La web de Vamos a Contar Verdades es una web abierta a la participación, donde os invitamos a dejar vuestros comentarios: Pregunta, que te contestamos. No dudéis en formular cualquier pregunta que no se os haya aclarado después de haber visto las 7 verdades. Estaremos encantados de contestar a vuestros comentarios.

¿A qué esperas para visitar las Verdades sobre Proyectos de éxito en Internet? Empieza por la primera verdad: “Verdad 1: El comienzo“.

Si está información te ha parecido interesante, mira también:

1. La relación del Marketing en Internet y ¿dónde está Wally?
2. Internet es Tuyo 2011
3. Google ha publicado 10 vídeos sobre los Rich Snippets (fragmentos de búsqueda)

En su post Maria Jose menciona 30 publicaciones en castellano y 4 en inglés, que tratan de la temática de Marketing en Internet y Social Media. Puedes leer su post aquí: 34 libros, guías y manuales gratuitos sobre marketing y social media. Un año antes ya había publicado otra entrada parecida: 44 libros, guías y manuales gratuitos sobre marketing y medios sociales con 22 publicaciones en castellano, 21 en inglés y 1 en portugués,  que tratan de la temática de Marketing en Internet y Social Media.

Queremos destacar las siguientes publicaciones:

• Buenas prácticas con blogs (Iván Lasso Clemente) más información y descarga
• Guía Community Manager (Maestros del Web) más información y descarga
• Libro Blanco de los Viajes Sociales (Minube) más información y descarga
• Guía de Facebook Insights (Facebook) descarga
• El libro de Twitter (Genes) más información y descarga
• 365 días (y noches) de Marketing 2.0. El inicio de la e-década (Juan Merodio) más información y descarga
• Liderazgo, Marketing Personal y Comunicación (Pablo Adán) más información y descarga
• Aprender Adwords (Polièdric) más información y descarga
• Manual de Desobediencia a la Ley Sinde (Hacktivistas) más información y descarga
• Todo va a cambiar. Tecnología y evolución: adaptarse o desaparecer (Enrique Dans) accede online la versión social
• Gamification 101: An Introduction to the Use of Game Dynamics to Influence Behavior (Bunchball) (DESCARGAR) – inglés.

Hay muchas más publicaciones gratuitas. Déjanos en los comentarios todas aquellas que se nos hayan pasado.

Si está información te ha parecido interesante, mira también:

1. Social Media Crisis Response Guidelines 2/2
2. Social Media Crisis Response Guidelines 1/2
3. Una lección en búsqueda social para Google

Llevamos unas semanas observando ataques de fuerza bruta en algunos de los blogs que administramos contra el usuario admin.

Para cambiar el nombre del usuario admin en WordPress hay dos formas:

• La primera (y más sencilla): Accedemos con el usuario admin, nos vamos a la sección de usuarios y creamos un usuario nuevo con derechos de administrador y otro nombre. Elegimos una contraseña segura, que debería contener letras (mayúsculas y minúsculas), números y símbolos y ser de al menos 12 caracteres.
  OJO: Si queremos poner la misma dirección email que el usuario antiguo, habrá que modificar primero el usuario admin actual, ya que WordPress no nos permite crear dos usuarios con la misma dirección de email.
  Una vez creado el nuevo usuario salimos del WordPress y volvemos a conectarnos con el nuevo usuario. Entonces le decimos que queremos eliminar el usuario antiguo y MUY IMPORTANTE: Que todas las publicaciones automáticamente pasen al usuario nuevo (sino las eliminará con el usuario antiguo).
  A partir de ese momento ya no se podrá acceder con el usuario por defecto admin.
• La segunda forma (con PHPMyAdmin): Accedemos a phpMyAdmin (bien directamente o a través del panel de administración del hosting), a continuación seleccionamos la base de datos que usa WordPress y buscamos la tabla “wp_users” (OJO: Esta tabla puede tener otros nombres, dependiendo del prefijo que hayamos configurado en wp-config.php para las tablas de WordPress, pero siempre acabará en “users”; también os recomendamos cambiar el prefijo para complicar un poco más el trabajo de quien quiera acceder sin permiso al blog). Hacemos click en “explorar” / “browse” y buscamos “admin” y hacemos click en “editar” / “edit”. Reemplazamos admin en los campos “user_login”, “user_nicename” y “display_name” por el nuevo nombre de usuario. OJO: Siempre poniendo el mismo en cada uno de los tres campos y no modificando ningún campo más. Guardamos y cerramos phpMyAdmin.

Si no habéis cambiado todavía el usuario de todos vuestros blogs, ya es hora de que lo hagáis y se lo pongáis más difícil a los que quieran obtener acceso a los mismos. No obstante esto solo es el comienzo de la configuración de seguridad de WordPress…. No obstante os recomendamos tenerlo muy presente sobre todo con los últimos casos de hackeo de páginas en WordPress (como la de Confianza Online que usa WordPress 2.6.3).

Porque ese es otro tema muy importante a tener en cuenta: Actualizar siempre el WordPress. No hace falta actualizar enseguida que haya una nueva versión, pero no tener instalada la versión 2.6.3 cuando la última versión estable es la 3.3 y desde la versión 2.6.3 se han publicado 28 versiones posteriores.

Si está información te ha parecido interesante, mira también:

1. Google avisa de versiones antiguas de WordPress
2. Un problema de TimThumb hace WordPress vulnerable a ataques
3. Seguimiento de búsquedas en WordPress en Google Analytics

Extensiones para desarrolladores de Google Chrome:

• Pendule: Extensión de las herramientas para desarrolladores de Chrome. Tiene herramientas para habilitar y deshabilitar imágenes y fondos, ver tamaños, ver contraseñas o modificar código css.
• IETab: Muestra páginas web usando Internet Explorer en una pestaña. Rápido, robusto y confiable. Útil bajo Windows, imprescindible en Mac.
• YSlow: Analiza el rendimiento y velocidad de una página web, dando consejos de como mejorar su rendimiento.
• JsonView: Está basado en la extensión JSONVIEW de Mozilla y permite ver los archivos JSON dentro del navegador, acceder a su fuente y cambiar opciones de envío.
• XMLTree: Muestra datos XML en un formato legible por humanos, mejorando su visualización y manejo.
• Click&Clean: Elimina el historial de navegación, URLs, cookies de Flash y todos los rastros de la actividad online.
• Chrome Sniffer: Permite analizar las librerías y la tecnología usada por una página web. Equivalente al Wappalyzer de Firefox.

Extensiones para desarrolladores de Mozilla Firefox:

• Firebug: Permite cambiar el código al vuelo y que esos cambios se reflejen instantáneamente, sin necesidad de guardar y recargar. Incorpora además un potente depurador de JavaScript.
• DOM Inspector: Permite navegar a través del Modelo de Objetos del Documento.
• Firecookie: Permite (conjutamente con Firebug) modificar las cookies: editar su contenido o su fecha de expiración, duplicarlas, eliminarlas.
• NoScript: Aunque su idea es protegernos de posibles scripts maliciosos, sirve para ver cómo se van a ver nuestras páginas en navegadores sin JavaScript.
• MeasureIt: Nos permite mediante una regla comprobar el ancho y altura de cualquier elemento de la web en píxeles.
• ColorZilla: Permite obtener el color exacto de un píxel de una web.
• FireFTP: Permite subir y bajar archivos desde el navegador, tanto en FTP como SFTP.
• HTML Validator: Podemos comprobar la exactitud con la que nuestro código sigue las directrices del W3C.
• Greasemonkey: Permite modificar (mediante scripts personalizados) una página web o su funcionamiento mediante fragmentos de Javascript.
• Geolocater: Con Geolocater se puede alterar la geolocalización que se envía al servidor, por lo que se puede interactuar con mapas e interfaces orientadas a la posición.
• User Agent Switcher: Nos permite modificar la cadena con la que nuestro navegador se identifica ante el servidor, de forma que se nos envíe el código más adecuado para dicho navegador (sobre todo para comprobar distintas versiones de la web para ordenadores y dispostivos móviles).
• PageSpeed: Nos permite analizar páginas web para optimizaciones de velocidad.
• Modify headers: Una extensión destinada a crear, modificar y filtrar las cabeceras HTTP enviadas.

 Post inspirado en GenBetaDev: Extensiones de Firefox para desarrolladores web.

Si está información te ha parecido interesante, mira también:

1. La guía de Zappos para diseño web para móviles
2. URLs HTTPS para aplicaciones de Facebook en solapas

Los códigos QR cada vez están más presentes en nuestras vidas, ya que nos permiten de forma sencilla acceder a contenidos online desde un soporte offline, sin tener que teclear, sino solamente escaneando un código.

En el Blog de NetConsulting Valencia hemos publicado dos entradas en las últimas semanas relacionadas con los códigos QR y os recomendamos su lectura:

• La utilidad de los códigos QR (Quick Response Barcode) 1/2: ¿Qué son los códigos QR?, ¿Para qué sirven los códigos QR?, ¿Qué estructura tienen?, ¿Cuál es el significado de cada una de sus áreas?
• La utilidad de los códigos QR (Quick Response Barcode) 2/2: ¿Dónde está la información?, ¿Qué contienen los códigos QR?, ¿Cómo leer códigos QR?, ¿Cómo creo códigos QR?, ¿Qué tamaño pueden tener?, Ejemplos de códigos QR.

En estas dos entradas encontraréis toda la información para entender los códigos QR.

Pero no todo son códigos QR aburridos y en color blanco y negro. Casi todas las aplicaciones modernas para leer los mismos permiten que los códigos sean de otro color, siempre que el color de fondo sea más claro y exista un claro contraste entre el color de fondo y el color del código de barras. Si los dos colores son muy parecidos el lector no los leerá y si están invertidos tampoco.

Existen dos páginas web que ofrecen la posibilidad de crear códigos QR creativos que puedan integrarse mejor en publicidades y medios offline. Una de ellas es QR Hacker, Pimp your QR Code (beta) y la otra QR Code Generator. La primera es completamente gratuita y la segunda tiene una opción gratuita y otras de pago.

Ambas aplicaciones web permiten crear códigos QR con esquinas redondeadas, de otros colores, integrar imágenes dentro de los códigos QR, dando resultados como el siguiente:

Código QR creado con QR Hacker

¿A qué esperas a crear el tuyo?

Si está información te ha parecido interesante, mira también:

1. El uso creativo de códigos QR por Tesco en Corea
2. Social Media Crisis Response Guidelines 1/2
3. Social Media Crisis Response Guidelines 2/2

Trivago

Trivago ofrece a seleccionados clientes reales, que hayan reservado el hotel a través de su plataforma, la posibilidad de participar en la evaluación a cambio de una compensación económica  que establece y paga el hotelero (mínimo 30 EUR).

Esta evaluación consta de 300 preguntas (cerradas y abiertas) en las cuales los clientes responden acerca de todos los aspectos del hotel: Desde la primera impresión antes de entrar, hasta el check out; incluyendo perfil sociodemográfico, hábitos, preferencias y expectativas.

Al ser trivago intermediador entre el hotel y el cliente, en ningún momento el hotel conocerá qué clientes evaluan su hotel y el proceso sea completamente real.

Los hoteles reciben una serie de informes como resultado de estas encuestas. Tienen acceso a todos los cuestionarios que realicen sus clientes y a un informe final, donde aparecen las conclusiones. Uno de los aspectos más novedosos es la inclusión de un análisis donde se comparan los resultados del alojamiento analizado con los de la competencia.

¿Qué ventajas ofrece el sistema de evaluaciones de trivago?

• Clientes reales.
• Se pueden solicitar distintas nacionalidades.
• Cuestionario exhaustivo de 300 preguntas.
• Informe final con conclusiones.
• Informe comparativo con hoteles de su misma categoría y con hoteles de su misma localidad o país.
• Mejor posicionamiento en los resultados de búsqueda de su localidad en trivago.

Si tienes un hotel y estás en Trivago, ¿a qué estás esperando?

Si está información te ha parecido interesante, mira también:

1. Guía de Facebook para hoteles 1/2
2. Guía de Facebook para hoteles 2/2
3. Twitter presenta su botón para seguir una cuenta

Podéis acceder al artículo (en inglés) aquí: “The Zappos Guide to Mobile Website Design“.

Zappos es una tienda online de zapatos y muchos artículos más relacionados que se diferencian de la competencia por tener una atención al cliente exquisita. Es de las pocas tiendas online que consigue perfectamente que sus clientes perciban que hay personas detrás de la web.

Siguiendo el lema que está tratando de impulsar Google: “Your customers are already mobile. Are you?“, no hay nada más frustrante para un usuario que acceder a una web a través de su tablet o smartphone y solo encontrar problemas. Zappos es un perfecto ejemplo de un sitio web para móviles que sigue todas las mejores prácticas en este tipo de webs.

Lección 1: Incluir un buscador.
Todo el mundo lo quiere. Zappos da la posibilidad de búsqueda desde el primer momento que se accede y si alguien conoce el producto que quiere, lo teclea y lo compra. Así de sencillo.

Lección 1: Incluir un buscador.

Lección 2: Menos imágenes, más velocidad.
La web móvil debería de tener la menor cantidad de imágenes posible. Imágenes irrelevantes y ornamentales reducen la velocidad de carga y dificultan la navegación móvil.
Zappos reduce sus imágenes a las de los productos.

Lección 3: Diseño en una columna.
Ayuda a ver la web en dispositivos móviles con pantallas más pequeñas. Eso si, la columna tiene que ocupar todo el ancho de la pantalla.

Lección 3: Diseño en una sola columna.

Lección 4: Contenido adaptado al usuario.
Las necesidades del usuario son las que mandan. Todo lo que no sea crítico y necesario para el usuario se puede omitir.

Lección 5: Sacar el máximo rendimiento de una pantalla pequeña.
Hay algunas cosas que los usuarios no van a hacer nunca en una pantalla pequeña, como reservar un vuelo. Es mejor reservar estas tareas donde hay múltiples pasos y navegación compleja para realizarlas desde un ordenador.
Zappos permite comprar productos, su objetivo de negocio, dejando otras tareas de lado (darse de alta en el blog / newsletter).

Lección 6: Usar botones grandes y enlaces.
Estos dos componentes son de vital importancia para la usabilidad de un sitio web móvil. Generalmente los enlaces tienen que tener 32px para acomodarse a la huella dactilar de una persona. Los botones deben tener un tamaño acorde. Nunca hay que reducir una web diseñada para verse en un ordenador a una pantalla pequeña, ya que su usabilidad es terrible.

Lección 7: Una estructura de la información sencilla.
En sitios web con mucha información podemos perdernos en la misma. Limitando las opciones permite a los usuarios móviles encontrar aquello que es relevante para ellos.

Lección 8: Permitir acceder a la web completa.
Siempre hay que incluir una opción para visitar la web completa (y viceversa). Normalmente se colocará en el pié y permite al usuario elegir su experiencia de navegación.

Lección 8: Permitir acceder a la web completa.

Lección 9: Redireccionar tráfico según el dispositivo.
Si un usuario accede a la web con un iPhone se le debería de redirigir automáticamente a la web móvil.
Zappos aún le da otra vuelta, ofreciendo webs optimizadas para distintos dispositivos móviles.

Lección 10: Proveer “otra” información de contacto.
Los usuarios móviles quieren encontrar un número de teléfono o dirección lo más rápidamente posible; por lo que hay que proporcionársela.
 ¿Ya tienes preparada tu página web para dispositivos móviles? Si no es así, ¿a qué esperas? Puedes empezar con nuestra entrada sobre “Consejos para adaptar una web al iPhone“.

Si está información te ha parecido interesante, mira también:

1. Facebook presenta Timeline: Nuevo diseño de los perfiles
2. Guía de Facebook para hoteles 1/2

En la “Conversión Conference” en Nueva York, Anne Holland y Lisa Seaman de WichTestWon.com dieron algunos consejos muy útiles para optimizar la conversión de páginas de aterrizaje de campañas PPC:

(1) Incluir términos de privacidad

Parece obvio, pero muchas páginas de aterrizaje que piden una dirección de email no hacen mención a la privacidad. No hay que olvidar incluir siempre al menos una frase como “respetamos la privacidad de tu email” o “tu email es valioso para nosotros y no lo vamos a ceder”.

Además de ser un factor de confianza del consumidor, es uno de los factores que inciden en la calidad de la página de aterrizaje en Google AdWords.

(2) Usar formularios cortos

La mejor estrategia es pedir poca información. Formularios con pocos campos obligatorios funcionan mejor. Hay que pensárselo dos veces antes de crear un formulario de 14 campos.

Los formularios con máximo 5 campos suelen ser los que mejor funcionan; de esos 2/3 obligatorios y 2/3 opcionales. Siempre se pueden solicitar más información posteriormente.

(3) Usar imágenes del producto relevantes

Las imágenes que mejor convierten son las directamente relacionadas con el producto/servicio que la empresa vende. No se debería de usar imágenes para destacar beneficios o características de un producto; estos deberían de estar escritos en texto, separando beneficios y características. También destacar que es más atractivo (e los casos en los que aplique) incluir varias imágenes de productos desde distintos ángulos que una sola.

(4) Incorporar beneficios en varios elementos de la página

Usar encabezados y texto en los botones para destacar los beneficios de un producto/servicio o de realizar una acción en ese momento.

Un botón con el texto “Pide una cotización sin compromiso ahora” convierte mejor que un botón con el texto “Haz clck para una consultoría de energía solar”.

Los textos de los botones deberían de ser llamadas a la acción, concretando al máximo lo que queremos que haga el usuario.

(5) Probar el texto junto a los formularios

Hay que probar varias llamadas a la acción junto a los formularios para ver cuales producen mejores conversiones. En la llamada a la acción hay que destacar siempre los beneficios que le ofrece al usuario rellenar el formulario.

(6) Probar botones de acción con dos colores

Además de utilizar botones de color naranja (el color que mejores conversiones produce) se pueden probar botones con conminaciones de dos colores que también funcionan bastante bien. Un mal diseño de los botones puede hacer que el usuario no convierta.

(7) Probar con botones más grandes

La conclusión es muy sencilla: Cuanto más grande sea el botón más clics recibe. Por lo que: Incrementa el tamaño de los botones de acción. Las pruebas pueden ser incrementar el botón en un 50% o 100% y ver como afecta a la conversión. Si no hay cambios hay que seguir probando.

Con estos consejos se puede conseguir un incremento de la efectividad de los anuncios. Otro punto a tener en cuenta es que si en la página web no hay una página de aterrizaje adecuada para la campaña, no hay que tener miedo en crear páginas de aterrizaje específicas para la misma (esto puede aumentar la conversión en 30-400%). En este caso no es tan importante que la página de aterrizaje tenga exactamente el mismo diseño que el resto de la web, lo importante en este caso es su efectividad para conseguir conversiones.

Si está información te ha parecido interesante, mira también:

1. El impacto de las páginas de empresa de Google+ en AdWords
2. El Pago por Click y el archivo Robots.txt

El problema principal en este caso es el elevado número de temas de WordPress que usan este addon en su código (dentro del propio tema) sin que muchas veces el administrador de la web sea consciente que lo tiene instalado en el servidor.

El uso de plugins/addons en los temas que nunca más se actualizan es justamente uno de los principales problemas que detectamos en muchas instalaciones de WordPress; además claro de que no se actualice la versión de WordPress ni de los plugins.

WordPress no controla de ninguna forma el código de los temas personalizados y por tanto tampoco si se actualiza el código de terceros que hayamos incluido en el mismo. En conclusión, si el tema está programado o personalizado por nosotros, nunca se nos avisará por parte de WordPress de la necesidad de una actualización o de una vulnerabilidad.

ATENCIÓN: Solo en muy rara ocasión un programador actualiza los componentes de terceros inlcuidos en temas que haya programado/personalizado. A esto se le debería de prestar mucha más atención y sobre todo tratar de utilizar siempre las funciones incluidas en WordPress, ya que estas si que se van actualizando periódicamente o plugins en su correspondiente carpeta que normalmente también se van actualizando.

Se ha publicado un listado de los temas que usan TimThumb disponibles en el directorio de temas gratuitos de WordPress. Muy interesante consultarlo si se ha utilizado un tema del mismo.

También podemos buscar dentro de los temas por los archivos “timthumb.php” o “thumb.php“. Si estos existen hay que ver que versión tienen, ya que a partir de la versión 2.0 del plugin esta vulnerabilidad está solucionada.

El primer aviso de esta vulnerabilidad se produjo en verano por parte del blog de securi.net: “Timthumb.php Security Vulnerability – Just the Tip of the Iceberg” donde se explicaba como usar TimThumb para subir cualquier archivo a un servidor que lo tuviese instalado. Hay más detalles aquí.

Ahora en octubre el fabricante de antivirus AVAST ha publicado que ha bloqueado 2500 webs en septiembre y otras tantas en octubre por estar infectadas con Blackhole a través de la vulnerabilidad de TimThumb.

Blackhole es una herramienta profesional (y de pago) que aprovecha exploits (agujeros de seguridad), para obtenter acceso a sistemas informáticos y poder manejarlos libremente (por ejemplo para el envío de spam u otros ciberdelitos).

Exploit (del inglés to exploit, explotar o aprovechar) es un software que permite el aprovechamiento automatizado de un error, fallo o vulnerabilidad para poder acceder al sistema informático de forma no autorizada y emplearlo en beneficio propio o como origen de otros ataques a terceros.

Exploit: Término con el que se denomina en el entorno “hacker” a un método concreto de usar un error de algún programa o sistema operativo (bug) para entrar en un sistema informático y obtener los privilegios del administrador para tener un control total sobre el sistema.

Black Hole Exploits Kit: Paquete de exploits pre-compilado que está destinado a facilitar las maniobras delictivas a través de Internet. Es una aplicación web desarrollada en Rusia pero que además incorpora para su interfaz el idioma inglés, y cuya primera versión está intentando insertarse en el mercado clandestino desde principios de septiembre de 2010.

A la vista de todos estos problemas, queremos volver a recalcar lo importante que es actualizar la versión de WordPress, los plugins y también os recomendamos revisar y actualizar el código de vuestros temas.

Tampoco está de más utilizar algún plugin de seguridad para WordPress:  WP Security Scan y/o Exploit Scanner.

Si está información te ha parecido interesante, mira también:

1. Google avisa de versiones antiguas de WordPress
2. Seguimiento de búsquedas en WordPress en Google Analytics
3. Gestión etiquetas META de Facebook en WordPress