Proteger un sitio WordPress no consiste en instalar un plugin y olvidarse del tema. La seguridad depende de varias capas: actualizaciones, accesos, alojamiento, copias, configuración, vigilancia y un procedimiento de respuesta probado. Ninguna medida elimina todo el riesgo, pero su combinación reduce la probabilidad de intrusión y limita sus consecuencias.
En resumen: mantén al día WordPress, los plugins, el tema y PHP; elimina lo que ya no utilizas; crea cuentas nominativas con doble autenticación; conserva copias externas cuya restauración hayas probado; elige un hosting mantenido; vigila cambios anómalos y documenta la recuperación antes de sufrir una incidencia.
¿Por qué se atacan tantos sitios WordPress?
WordPress está presente en un gran número de webs y constituye un objetivo rentable para ataques automatizados. La mayoría no se dirige personalmente contra tu empresa: robots recorren internet buscando versiones antiguas, extensiones vulnerables, contraseñas reutilizadas y formularios mal protegidos.
El núcleo de WordPress es solo una pieza. La seguridad también depende del tema, las extensiones, el servidor, las cuentas administradoras, los equipos desde los que se inicia sesión y los servicios conectados. Una web recién creada puede ser vulnerable si se descuida uno de estos elementos.
1. Conserva el control de la propiedad y los accesos
Haz un inventario de las cuentas del dominio, DNS, alojamiento, servidor, base de datos, SFTP, WordPress, copias y analítica. Cada una debe pertenecer a la organización adecuada y poder recuperarse sin depender de un antiguo empleado o proveedor.
Evita compartir una cuenta de administrador. Asigna un usuario nominativo a cada persona y solo los permisos necesarios. Quien redacta contenidos no necesita instalar plugins; un desarrollador puntual tampoco debe conservar acceso permanente al terminar su misión.
2. Aplica actualizaciones con un método fiable
Los parches no protegen el sitio si permanecen semanas pendientes. Activa las actualizaciones automáticas que correspondan, revisa los avisos y programa un control periódico del núcleo, plugins, tema activo y versión de PHP.
Actualizar sin preparación también puede romper una función comercial. Antes de un cambio importante, guarda archivos y base de datos, comprueba compatibilidades y utiliza una copia de preproducción cuando sea conveniente. Un proceso sólido combina rapidez, posibilidad de volver atrás y pruebas posteriores de formularios, compra y recorridos críticos.
3. Elimina plugins y temas sin uso
Un plugin desactivado que sigue en el servidor puede conservar código explotable. Borra componentes inútiles, temas de demostración, usuarios abandonados y antiguos archivos de instalación. Menos código significa menos superficie de ataque y menos actualizaciones que controlar.
Instala únicamente componentes necesarios, procedentes de fuentes identificables y con mantenimiento activo. Una extensión gratuita desconocida que promete diez funciones puede costar mucho más de lo que ahorra si introduce una brecha o recopila datos sin transparencia.
4. Refuerza contraseñas y autenticación
Usa una contraseña larga y única para cada servicio y guárdala en un gestor. No reutilices la de tu correo: si alguien controla el buzón, a menudo puede restablecer el acceso al dominio, alojamiento y sitio.
Activa la autenticación multifactor en WordPress, el registrador, el hosting y las copias. Limita además los intentos repetidos de conexión. Cambiar la URL de acceso puede reducir el ruido automático, pero no sustituye credenciales sólidas ni una protección contra fuerza bruta.
5. Protege conexiones y secretos
La web pública y la administración deben utilizar HTTPS. Prefiere SFTP o SSH al FTP sin cifrar cuando el proveedor lo permita. No envíes contraseñas por correo ordinario o por una mensajería inadecuada.
Las claves API, credenciales de base de datos y otros secretos no deben publicarse en repositorios ni aparecer en mensajes de error. Desactiva los errores detallados en producción y revisa los permisos de archivos sensibles. Para cada integración, crea credenciales específicas y revocables.
6. Elige un alojamiento realmente mantenido
Un certificado SSL gratuito no basta para considerar seguro un hosting. Comprueba versiones de PHP admitidas, aislamiento de cuentas, parches del servidor, registros accesibles, protección de red, frecuencia de copias y calidad del soporte ante incidentes.
La guía de VulcainDesign para elegir un alojamiento web profesional permite comparar estos criterios sin reducir la decisión al precio mensual.
7. Conserva copias externas y prueba su restauración
Una copia guardada únicamente en el mismo servidor puede desaparecer con él o quedar cifrada durante un ataque. Mantén varias versiones y al menos una copia aislada del alojamiento principal. Incluye archivos, medios, base de datos y configuración necesaria para reiniciar.
Sobre todo, prueba la restauración. Ver un archivo en un panel no demuestra que esté completo. Programa recuperaciones en un entorno separado y documenta cuánto tiempo se necesita para volver a publicar el sitio.
8. Reduce la exposición de las zonas sensibles
Desactiva la edición de archivos desde el panel si no es necesaria, protege la configuración e impide listar directorios. Las reglas exactas dependen del servidor y deben aplicarse con cuidado para no bloquear funciones legítimas.
Un firewall de aplicaciones web puede filtrar peticiones maliciosas antes de que lleguen a WordPress. Sigue siendo una capa adicional: no repara un plugin abandonado ni protege una contraseña ya robada.
9. Asegura formularios, comentarios y archivos
Los puntos de entrada públicos deben validar los datos en el servidor, reducir el spam y controlar estrictamente los archivos subidos. Autoriza solo los formatos necesarios, renómbralos de forma segura e impide su ejecución desde la carpeta de cargas.
Si un formulario recoge datos personales, solicita únicamente campos útiles, protege la transmisión y evita conservar consultas indefinidamente. Seguridad técnica y privacidad deben diseñarse juntas.
10. Vigila cambios y señales tempranas
Un pico repentino de tráfico, un nuevo administrador, archivos modificados fuera de un despliegue, redirecciones desconocidas, correos masivos o una caída brusca de visibilidad pueden revelar una incidencia. Configura alertas útiles y conserva registros durante el tiempo necesario para reconstruir lo sucedido.
La vigilancia necesita un responsable y una respuesta. Cientos de correos técnicos ignorados no protegen nada. Define quién recibe la alerta, en qué plazo se revisa y qué situación activa una intervención.
11. Protege también equipos y procesos humanos
Un ordenador infectado o una página de phishing convincente pueden evitar una configuración correcta. Mantén los equipos actualizados, bloquea las sesiones, usa protección adecuada y comprueba la dirección antes de escribir credenciales.
Documenta altas y bajas: creación de cuenta, permisos, revocación, transferencia de propiedad y rotación de secretos. Esta disciplina evita que un acceso olvidado siga activo durante años.
12. Prepara un procedimiento de incidente
Decide de antemano quién puede poner la web fuera de servicio, contactar con el hosting, restaurar una copia y comunicar con los usuarios. Guarda fuera del sitio los contactos, accesos de emergencia y pasos de recuperación. Buscarlos dentro de un panel comprometido hace perder un tiempo crítico.
¿Qué hacer si WordPress ya ha sido pirateado?
- restringe el acceso público si la web distribuye contenido peligroso o sigue recogiendo datos;
- conserva una copia y los registros antes de borrar pruebas útiles;
- cambia credenciales desde un equipo limpio y revoca sesiones activas;
- identifica la vía de entrada y no retires únicamente el archivo visible;
- sustituye componentes comprometidos por versiones limpias y actuales;
- restaura solo una copia que sepas anterior a la intrusión;
- revisa usuarios, tareas programadas, redirecciones, archivos y contenido inyectado;
- valora las obligaciones de notificación si pudieron exponerse datos personales.
Recuperar el aspecto de la portada no es suficiente. Una puerta trasera puede quedar oculta en un plugin, usuario o tarea programada y permitir una nueva infección pocas horas después.
Checklist de seguridad WordPress
- propietarios y accesos documentados;
- WordPress, tema, plugins y PHP compatibles y actualizados;
- componentes y cuentas sin uso eliminados;
- contraseñas únicas y autenticación multifactor;
- HTTPS, SFTP y secretos protegidos;
- copias externas versionadas y restauradas en una prueba;
- formularios y cargas validados;
- alertas, registros y responsabilidades operativas.
Preguntas frecuentes
¿Basta con un plugin de seguridad?
No. Puede añadir un firewall, límites de conexión o alertas útiles, pero no sustituye actualizaciones, copias externas, gestión de cuentas y un alojamiento administrado correctamente.
¿Con qué frecuencia hay que hacer copias?
Depende de cuántos datos pueda asumir perder la organización. Una tienda activa puede necesitar varias copias diarias; una web corporativa poco modificada, una diaria o semanal. La retención y las pruebas de recuperación importan tanto como la frecuencia.
¿Se puede garantizar que una web nunca será pirateada?
No. Un servicio responsable reduce el riesgo, mejora la detección y limita las consecuencias sin prometer una invulnerabilidad imposible. Pregunta qué controles, copias y procedimientos se mantendrán realmente.
No esperes a la próxima incidencia para ocuparte de la seguridad
VulcainDesign puede auditar tu instalación, corregir las debilidades prioritarias y gestionar actualizaciones, copias y controles recurrentes. Descubre el mantenimiento WordPress o solicita una revisión de seguridad.
Fuentes principales: WordPress - Hardening WordPress, WordPress - Backups y WordPress - My site was hacked.
Sébastien
Desarrollador y diseñador web freelance en Toulouse desde 2009. Diseño y programo yo mismo cada sitio, del pliego de condiciones a la publicación, para pequeñas empresas, artesanos y profesionales liberales que quieren un sitio que traiga clientes, no solo visitas. 17 años de oficio, 18 reseñas en Google con 5/5.
Ver mi trayectoria →
