¡Hola y hola querido lector! Ya estoy una semana más por aquí para hablarte de cómo mejorar la seguridad de tu WordPress con medidas prácticas que puedes aplicar hoy mismo.
Te lo advierto desde el principio: en internet no existe un sistema infranqueable, y aunque apliques todas estas medidas es posible que tu WordPress sea hackeado. Pero con ellas pondrás las cosas muy difíciles y frenarás la gran mayoría de ataques automáticos.
En este post te explico las medidas de seguridad más importantes para securizar WordPress, ordenadas por prioridad. ¡Al lío!
Resumen rápido
- La mayoría de hackeos en WordPress se deben a plugins o themes desactualizados y a contraseñas débiles.
- Las medidas más importantes son: actualizar, utilizar contraseñas únicas con autenticación en dos pasos, hacer copias de seguridad y elegir un buen hosting.
- Un plugin de seguridad añade firewall, protección del inicio de sesión y escaneo de malware.
- Elimina lo que no utilices: plugins, themes y usuarios antiguos son puertas de entrada.
¿Por qué atacan las páginas web WordPress?
WordPress es el gestor de contenidos más utilizado del mundo, y por eso es también el más atacado. La mayoría de ataques no van dirigidos contra ti: son bots automáticos que recorren internet buscando páginas web con vulnerabilidades conocidas.
Los objetivos más habituales son insertar spam, redirigir a tus visitantes, enviar correos masivos, robar datos o utilizar tu servidor para otros ataques.
- Desinfectamos tu web en 48h
- Sacamos tu web de listas negras
- Protegemos tu web
- Garantía de 30 días
Medidas para mejorar la seguridad de WordPress
| Medida | Prioridad | Dificultad |
|---|---|---|
| Mantener WordPress, plugins y themes actualizados | Crítica | Baja |
| Contraseñas únicas y autenticación en dos pasos | Crítica | Baja |
| Copias de seguridad automáticas y externas | Crítica | Baja |
| Hosting de calidad con seguridad de servidor | Alta | Baja |
| Eliminar plugins, themes y usuarios que no se utilizan | Alta | Baja |
| Plugin de seguridad con firewall | Alta | Media |
| Proteger el inicio de sesión | Alta | Baja |
| HTTPS en toda la página web | Alta | Baja |
| Roles de usuario con permisos mínimos | Media | Baja |
| Desactivar el editor de archivos y XML-RPC si no se utilizan | Media | Media |
| Revisar los registros de actividad | Media | Media |
1. Mantén WordPress, plugins y themes actualizados
Es la medida más importante. La mayoría de hackeos aprovechan vulnerabilidades en plugins o themes que ya tienen una actualización disponible.
Revisa las actualizaciones al menos una vez por semana, haz una copia antes de actualizar y aplica cuanto antes las de seguridad. Te lo explico en detalle en cómo hacer el mantenimiento de WordPress.
2. Utiliza contraseñas seguras y autenticación en dos pasos
Las contraseñas débiles o reutilizadas son otra de las principales vías de entrada. Estas son las recomendaciones actuales:
- Utiliza contraseñas largas y únicas para cada servicio, generadas con un gestor de contraseñas.
- Activa la autenticación en dos pasos para todos los administradores.
- Cambia la contraseña de inmediato si sospechas que se ha filtrado o si alguien que tenía acceso deja de colaborar contigo.
- No utilices «admin» como nombre de usuario.
PD. Antes se recomendaba cambiar las contraseñas cada pocos meses. Hoy las guías de seguridad recomiendan contraseñas largas y únicas con doble factor, y cambiarlas solo cuando hay sospecha de filtración, porque los cambios forzados suelen llevar a contraseñas más débiles.
3. Haz copias de seguridad automáticas
Las copias de seguridad son tu plan B. Configura copias automáticas diarias de archivos y base de datos, y guarda al menos una copia fuera del servidor. Te explico cómo en copias de seguridad en WordPress.
4. Utiliza un hosting de calidad
No todos los hostings se preocupan igual por la seguridad. Elige un proveedor con firewall de servidor, escaneo de malware, aislamiento entre cuentas, versiones de PHP actualizadas y soporte que te ayude si hay un problema.
Algunos incluyen herramientas como Imunify360. Te recomiendo algunos en mi comparativa del mejor hosting WordPress en España.
5. Elimina lo que no utilices
- Plugins desactivados: aunque estén desactivados, sus archivos siguen en el servidor.
- Themes que no utilizas: deja solo el activo y, como mucho, uno por defecto de WordPress.
- Usuarios antiguos o de colaboradores que ya no trabajan contigo.
- Plugins y themes piratas («nulled»), que suelen incluir puertas traseras desde el principio.
6. Instala un plugin de seguridad
Un plugin de seguridad añade una capa extra de protección: firewall, bloqueo de ataques de fuerza bruta, escaneo de malware, avisos de vulnerabilidades y registro de actividad.
Opciones como Wordfence, Patchstack, MalCare o Sucuri son muy utilizadas. Te explico cuál elegir en mi comparativa del mejor antivirus para WordPress.
7. Protege el inicio de sesión
La página de inicio de sesión recibe miles de intentos de acceso automáticos. Para protegerla:
- Limita los intentos de acceso fallidos, algo que incluyen la mayoría de plugins de seguridad.
- Activa la autenticación en dos pasos.
- Cambia la URL de acceso con plugins como WPS Hide Login o Perfmatters. No sustituye a las demás medidas, pero reduce mucho los ataques automáticos.
8. Utiliza HTTPS en toda la página web
El certificado SSL cifra la comunicación entre tus usuarios y el servidor, protegiendo contraseñas y datos personales. La mayoría de hostings lo ofrecen gratis. Te explico cómo implementar HTTPS en tu página web.
Si necesitas forzar HTTPS en WordPress, plugins como Really Simple SSL facilitan la configuración.
9. Asigna roles con los permisos mínimos
No des permisos de administrador a quien no los necesita. Un redactor puede trabajar con el rol de autor o editor, y un gestor de tienda con el de gestor de tienda. Si una de esas cuentas se ve comprometida, el daño será mucho menor.
10. Desactiva funciones que no utilices
Desactiva el editor de archivos del panel añadiendo esta línea a tu wp-config.php, para que un atacante que acceda al panel no pueda modificar el código:
define( 'DISALLOW_FILE_EDIT', true );Además, desactiva XML-RPC si no utilizas aplicaciones externas que lo necesiten, porque se utiliza con frecuencia en ataques de fuerza bruta.
11. Revisa los registros de actividad
Los registros de actividad muestran quién ha hecho qué en tu WordPress: inicios de sesión, cambios en plugins, usuarios nuevos o archivos modificados. Son muy útiles para detectar accesos no autorizados y, si hay un ataque, para descubrir por dónde entraron. Te explico más sobre los logs en este post.
Extra: bloqueo por países, con cautela
Algunos plugins y CDNs permiten bloquear el tráfico de determinados países. Puede ser útil si tu negocio no tiene clientes fuera de tu país y recibes muchos ataques desde una región concreta.
Eso sí, los atacantes utilizan redes y servidores de cualquier país, así que no es una protección definitiva. Además, ten cuidado de no bloquear a clientes legítimos ni a rastreadores como Googlebot.
¿Y si tu WordPress ya ha sido hackeado?
Si detectas redirecciones, spam, usuarios desconocidos o avisos de Google, sigue los pasos que te explico en mi post sobre WordPress hackeado. Y si prefieres que lo resuelvan profesionales, en Limpiatuweb nos encargamos de desinfectar tu página web y dejarla protegida.
- Desinfectamos tu web en 48h
- Sacamos tu web de listas negras
- Protegemos tu web
- Garantía de 30 días
Conclusiones sobre la seguridad en WordPress
¿Merece la pena invertir en la seguridad de tu WordPress? Sin duda. En una página web se invierte mucho tiempo y dinero como para dejarla expuesta, y un hackeo suele costar mucho más que prevenirlo.
Mi recomendación: empieza por lo básico, que es lo que más protege: actualizaciones, contraseñas únicas con doble factor, copias de seguridad y un buen hosting. Después añade un plugin de seguridad y el resto de medidas.
Y si no quieres preocuparte por nada de esto, en mi servicio de mantenimiento web WordPress me encargo de las actualizaciones, las copias y la seguridad de tu página web.
Ahora te toca a ti, querido lector. ¿Qué medidas de seguridad tienes en tu WordPress? ¡Te leo en los comentarios!
Preguntas frecuentes sobre la seguridad en WordPress
¿Cómo mejorar la seguridad de WordPress?
Mantén actualizados WordPress, plugins y themes, utiliza contraseñas únicas con autenticación en dos pasos, haz copias de seguridad automáticas, elige un buen hosting, elimina lo que no utilices e instala un plugin de seguridad con firewall.
¿Es seguro WordPress?
Sí. El núcleo de WordPress es seguro y se actualiza con frecuencia. La mayoría de problemas se deben a plugins o themes desactualizados, contraseñas débiles o hostings de mala calidad.
¿Cuál es la principal causa de hackeos en WordPress?
Las vulnerabilidades en plugins y themes desactualizados son la causa más habitual, seguidas de las contraseñas débiles o reutilizadas y del uso de plugins o themes piratas.
¿Cada cuánto debo cambiar la contraseña de WordPress?
Las recomendaciones actuales priorizan contraseñas largas y únicas con autenticación en dos pasos, y cambiarlas cuando hay sospecha de filtración o cuando alguien con acceso deja de colaborar, en lugar de cambiarlas de forma periódica.
¿Necesito un plugin de seguridad en WordPress?
Es muy recomendable, porque añade firewall, protección del inicio de sesión, escaneo de malware y registro de actividad. Aun así, no sustituye a las actualizaciones, las copias de seguridad y un buen hosting.
¿Sirve cambiar la URL de acceso a WordPress?
Ayuda a reducir los ataques automáticos contra la página de inicio de sesión, pero no es una medida suficiente por sí sola. Debe combinarse con contraseñas seguras, autenticación en dos pasos y límite de intentos de acceso.
¿Es recomendable bloquear países en WordPress?
Puede ser útil si no tienes clientes en esos países, pero no es una protección definitiva porque los atacantes utilizan servidores de cualquier lugar. Hay que tener cuidado de no bloquear a clientes legítimos ni a rastreadores como Googlebot.
