Cómo proteger WordPress: seguridad para principiantes

Cómo proteger una web WordPress

Mantén WordPress, temas y plugins actualizados; utiliza contraseñas únicas y doble factor; limita administradores; elimina componentes abandonados; configura copias externas y protege el servidor. Después monitoriza cambios y prepara una respuesta ante incidentes.

Ningún plugin convierte una instalación descuidada en segura. La protección funciona por capas.

Protege las cuentas

• Utiliza una contraseña larga y única.
• Activa autenticación en dos pasos.
• No uses admin como usuario predecible.
• Crea una cuenta distinta para cada persona.
• Asigna el rol mínimo necesario.
• Elimina cuentas antiguas.
• Revisa sesiones y accesos sospechosos.

La cuenta de correo asociada al administrador también debe estar protegida, porque permite restablecer contraseñas.

Actualiza y elimina lo que no utilizas

Aplica un proceso controlado para actualizar WordPress sin romperlo. Elimina plugins y temas abandonados después de confirmar que no son necesarios.

Descarga extensiones únicamente del directorio oficial o del desarrollador legítimo. Los paquetes premium distribuidos sin autorización pueden contener modificaciones maliciosas.

Hosting, HTTPS y archivos

El servidor debe utilizar versiones compatibles y mantenidas de PHP, aislamiento adecuado, HTTPS y permisos de archivos razonables. No compartas accesos de hosting por correo sin protección y desactiva cuentas cuando termina una colaboración.

Evita editar archivos desde producción si no puedes revertir. Protege especialmente copias, registros y archivos de configuración frente al acceso público.

Limita intentos y automatizaciones abusivas

Los atacantes prueban credenciales y formularios de forma automática. Puedes aplicar límites de acceso, protección en el perímetro y sistemas antispam. No bloquees indiscriminadamente usuarios legítimos ni confíes únicamente en cambiar la URL de acceso.

Copias y monitorización

Mantén copias externas y probadas. Monitoriza disponibilidad, cambios de archivos, nuevas cuentas administrativas y alertas del servidor.

Una copia no evita el ataque, pero reduce el impacto. La monitorización no bloquea todo, pero acorta el tiempo hasta descubrirlo.

Plugins de seguridad

Pueden aportar cortafuegos, límites, escaneo y alertas. Configúralos según el sitio; activar todos los módulos puede generar falsos positivos o consumo elevado.

Comprueba quién recibe las alertas y qué debe hacer. Cientos de correos ignorados no constituyen una estrategia.

Señales de una web comprometida

• Redirecciones inesperadas.
• Usuarios administradores desconocidos.
• Archivos modificados sin explicación.
• Avisos del navegador o buscadores.
• Envíos de correo masivo.
• Páginas extrañas indexadas.
• Consumo anormal del servidor.

No borres evidencias ni restaures a ciegas. Guarda registros, cambia accesos desde un dispositivo seguro, identifica el alcance y limpia o reconstruye con ayuda especializada.

Plan básico de respuesta

1. Restringe el acceso si existe riesgo para usuarios.
2. Conserva pruebas y registros.
3. Cambia credenciales críticas.
4. Identifica la vía de entrada.
5. Elimina código y cuentas no autorizadas.
6. Actualiza o sustituye el componente vulnerable.
7. Restaura datos limpios cuando corresponda.
8. Revisa de nuevo y comunica según obligaciones aplicables.

Preguntas frecuentes

¿WordPress es inseguro?

No por definición. Su popularidad lo convierte en objetivo y una instalación con componentes abandonados o contraseñas débiles aumenta el riesgo.

¿Ocultar wp-admin protege la web?

Puede reducir ruido automatizado, pero no sustituye contraseñas, doble factor, actualizaciones y control del servidor.

¿Necesito un plugin de seguridad?

Depende del hosting y del riesgo. Puede ser útil, pero debe complementar una configuración y mantenimiento adecuados.

En el siguiente capítulo abordamos otro problema frecuente: por qué WordPress va lento.