Refuerzo de seguridad en WordPress: un checklist práctico
La mayoría de los WordPress hackeados caen por plugins desactualizados y accesos débiles. Este checklist reúne los pasos de refuerzo que más diferencia marcan.
WordPress impulsa una enorme cantidad de sitios, lo que lo convierte en objetivo constante de ataques automatizados. La mayoría de esos ataques no son ingeniosos. Buscan versiones antiguas de plugins, adivinan contraseñas débiles o reutilizan credenciales filtradas. Es una buena noticia: unos pocos hábitos constantes detendrán la mayoría. Aquí tienes un checklist que puedes completar en una tarde.
Actualizaciones, accesos y permisos
Los plugins y temas desactualizados son la puerta de entrada más común. Aplica sin demora las actualizaciones del núcleo de WordPress, los plugins y los temas, y elimina todo lo que ya no uses. Considera activar las actualizaciones automáticas para las versiones menores del núcleo y para los plugins de confianza, probando antes en una copia de staging los cambios mayores. Nuestra guía sobre cómo actualizar WordPress de forma segura explica la rutina.
Usa accesos robustos y únicos, y autenticación en dos pasos
Usa un gestor de contraseñas y da a cada cuenta una contraseña larga y única. Añade autenticación en dos pasos para administradores y editores. No uses admin como nombre de usuario y asegúrate de que el nombre público que se muestra en las entradas no coincida con el nombre de acceso.
Limita el acceso de los usuarios
Da a cada persona el rol más bajo que le permita hacer su trabajo. Un redactor necesita el rol de Autor o Colaborador, no el de Administrador. Elimina las cuentas de quienes se han marchado. Menos administradores significa menos cuentas que puedan ser comprometidas.
Página de acceso, HTTPS y configuración
Limita los intentos fallidos de inicio de sesión y considera añadir un desafío o restringir el acceso a /wp-login.php por dirección IP cuando sea viable. Un firewall de aplicaciones web, como la protección disponible a través de Cloudflare, puede bloquear muchas peticiones maliciosas antes de que lleguen a WordPress. Consulta nuestra página de seguridad para ver cómo lo abordamos a nivel de hosting.
Usa HTTPS en todas partes
Sirve todo el sitio por HTTPS, incluida el área de administración. Los certificados gratuitos de Let's Encrypt están incluidos en nuestro hosting; consulta la página de SSL. En wp-config.php puedes forzar sesiones de administración seguras:
define( 'FORCE_SSL_ADMIN', true );Desactiva la edición de archivos en el escritorio
WordPress permite a los administradores editar los archivos de plugins y temas desde el escritorio. Si un atacante entra, eso es una herramienta lista para usar. Desactívala:
define( 'DISALLOW_FILE_EDIT', true );Establece los permisos de archivos correctos
Por lo general, los archivos deben poder ser leídos por el servidor web pero no ser escribibles por todo el mundo. Evita poner carpetas con permisos totales para resolver un problema de subida; busca el verdadero problema de propiedad. Mantén wp-config.php tan blindado como lo permita tu configuración y nunca dejes copias de seguridad ni volcados de bases de datos dentro de la raíz web.
Copias de seguridad, orígenes y monitorización
La seguridad trata tanto de la recuperación como de la prevención. Mantén copias de seguridad automáticas almacenadas fuera del servidor web y prueba a restaurarlas. Si algo sale mal, una copia limpia es tu camino más rápido de vuelta.
Instala software solo de fuentes de confianza
Usa plugins y temas del directorio oficial o del desarrollador. El software premium pirata es una fuente frecuente de puertas traseras ocultas. Si una licencia es demasiado cara, busca una alternativa más ligera.
Vigila los cambios
Los plugins de seguridad o los servicios de monitorización pueden avisarte de cambios en archivos, nuevas cuentas de administrador y actividad de acceso inusual. Las alertas solo sirven si alguien las lee, así que dirígelas a una dirección de correo que revises.
Reduce lo que queda expuesto
- Elimina los temas y plugins que no uses, no te limites a desactivarlos.
- Desactiva XML-RPC si no lo usas, o restríngelo.
- Oculta los números de versión cuando sea fácil, pero no confíes en la oscuridad.
- Usa usuarios de base de datos distintos para sitios distintos, con contraseñas robustas.
Mantén sana la capa del servidor
Reforzar WordPress es solo la mitad del trabajo. El servidor necesita una versión de PHP con soporte, actualizaciones del sistema operativo al día y aislamiento entre cuentas. En los planes compartidos y gestionados eso se hace por ti; en un VPS eres tú el responsable.
Una tabla rápida de refuerzo
| Área | Acción | Esfuerzo |
|---|---|---|
| Actualizaciones | Núcleo, plugins y temas al día | Bajo |
| Cuentas | Contraseñas robustas, 2FA, mínimo privilegio | Bajo |
| Configuración | Desactivar la edición de archivos, forzar SSL en administración | Bajo |
| Copias de seguridad | Fuera del servidor, con restauraciones probadas | Medio |
| Firewall | WAF y límites de acceso | Medio |
Ningún sitio es 100 % seguro
Sé honesto sobre los límites. El refuerzo reduce el riesgo; no lo elimina. Ten un plan de lo que harás si el sitio es comprometido y guarda los datos de contacto de quien te ayudará.
Haz de la seguridad un hábito, no un proyecto
La mayor debilidad de la mayoría de las configuraciones de seguridad de WordPress no es una función ausente, sino una rutina ausente. Pon un recordatorio mensual en tu calendario para revisar los usuarios, comprobar si hay plugins que han dejado de recibir actualizaciones, leer tus alertas de seguridad y confirmar que una copia reciente se restaura. Veinte minutos al mes valen más que una sesión de refuerzo única que nunca se revisa.
Anota también quién tiene acceso a qué: el panel de hosting, el registrador del dominio, las cuentas de administrador de WordPress y cualquier servicio de terceros. Cuando una agencia o un freelancer termina un proyecto, retira su acceso el mismo día.
Si hoy solo tienes tiempo para tres cosas, que sean estas: actualizar todo, activar la autenticación en dos pasos para cada administrador y confirmar que existe una copia de seguridad reciente fuera del servidor. Cubren las formas más comunes de comprometer un sitio y la forma más importante de recuperarlo.
Seguridad a nivel de hosting
Un buen hosting respalda tu propio refuerzo. Nuestro hosting WordPress incluye SSL gratuito, Plesk para gestionar los accesos y disponibilidad de la CDN de Cloudflare, y nuestro equipo de soporte puede resolver tus dudas sobre cómo proteger tu sitio en 17 idiomas.