Proteger un sitio WordPress no consiste en instalar un plugin y marcar todas sus casillas. Se trata de cerrar, en el orden correcto, las puertas que los bots prueban cada día: cuentas débiles, plugins sin actualizar, archivos y direcciones demasiado visibles, falta de copias de seguridad y de supervisión. Esta guía te da el método completo en siete capas, el orden en que abordarlas según tu sitio, un plan de 30 días y los ajustes concretos que debes aplicar.
¿Buscas más bien una lista para revisar un sitio que ya existe? Nuestra checklist de seguridad de WordPress en 40 puntos sirve de auditoría. Aquí el objetivo es entender qué protege cada medida, para decidir qué hacer primero.
Qué amenaza de verdad a un sitio WordPress
La mayoría de los sitios hackeados no eran un objetivo personal. Los bots recorren Internet sin parar, detectan sitios WordPress, prueban contraseñas y buscan versiones de plugins con una vulnerabilidad publicada. El núcleo de WordPress rara vez es el culpable: la mayor parte de las vulnerabilidades publicadas cada año afecta a plugins y temas. Los ataques se agrupan en unas pocas familias, y cada una se frena en un punto concreto.
| Amenaza | Cómo llega | Capa que la frena | Urgencia |
|---|---|---|---|
| Vulnerabilidad conocida de un plugin | Bot que busca una versión vulnerable | Actualizaciones, alertas | Muy alta |
| Robo de contraseña | Fuerza bruta, credential stuffing, phishing | Accesos y cuentas | Muy alta |
| Plugin trampa o abandonado | Compra por un tercero, sin parche | Inventario, alertas | Alta |
| Servidor mal configurado | PHP sin soporte, permisos demasiado amplios | Alojamiento | Alta |
| Reconocimiento automatizado | Enumeración de cuentas, XML-RPC, huellas | Superficie de ataque | Media |
| Pérdida de datos | Hackeo, error, avería | Copias de seguridad | Alta |
Las siete capas de protección, en orden
Cada capa cubre un riesgo que las demás no ven. Un plugin de seguridad muy completo no compensa una copia de seguridad inexistente, y una copia perfecta no impide el robo de una contraseña. La animación muestra el orden recomendado: primero la base, luego los accesos, y después la supervisión.
1. El alojamiento y el servidor
Todo descansa en el servidor. WordPress recomienda hoy PHP 8.3 o superior, con MySQL 8.0 o MariaDB 10.11 como mínimo. Una versión de PHP sin soporte ya no recibe parches de seguridad (consulta las versiones de PHP al final de su vida). Comprueba también que tu proveedor aísla las cuentas entre sí y ofrece SFTP en lugar de FTP, un firewall de aplicaciones y copias de seguridad. Nuestra comparativa de alojamientos WordPress revisa estos puntos plan por plan.
2. Los accesos y las cuentas
Es la capa más rentable. Una contraseña larga y única por cuenta, la autenticación en dos pasos para todos los administradores, un límite de intentos de acceso y una página de acceso con otra dirección eliminan la gran mayoría de los ataques a las cuentas. Aplica también el mínimo privilegio: un redactor no necesita el rol de administrador, y cada proveedor externo debe tener su propia cuenta, que se elimina al terminar el encargo.
- Elimina la cuenta «admin» si existe y cualquier cuenta que no se use.
- Revoca las contraseñas de aplicación que no utilices (Usuarios, Perfil).
- Protege también los accesos fuera de WordPress: panel del proveedor de alojamiento, SFTP, base de datos y correo del administrador.
3. Las actualizaciones y el inventario
Mantén WordPress en su última versión. Las actualizaciones menores del núcleo se instalan solas; activa también las actualizaciones automáticas de los plugins fiables y mantén un entorno de pruebas para los más delicados (tienda, maquetador). Sobre todo, reduce el inventario: cada plugin desactivado pero presente en el servidor sigue siendo atacable. Borra lo que ya no uses y sustituye los plugins que ya no se mantienen (el peligro de los plugins abandonados).
4. La superficie de ataque
Cuanto menos sepa un bot de tu sitio, menos posibilidades tiene. Cierra lo que no uses: XML-RPC y los pingbacks, la enumeración de usuarios mediante /?author=1 y la API REST, el editor de archivos del Escritorio. Corrige los permisos de archivos, añade las cabeceras de seguridad HTTP y elimina las huellas que delatan WordPress, sus plugins y sus versiones. Ocultarlas no sustituye a las actualizaciones: reduce los ataques automatizados.
5. La supervisión
Un hackeo descubierto a los tres días cuesta mucho menos que uno descubierto a los tres meses. Vigila cuatro señales: las vulnerabilidades publicadas que afectan a tus plugins, la integridad de los archivos del núcleo, las acciones de los administradores (cuenta nueva, plugin instalado) y las alertas de Google en Search Console. La guía para detectar si un sitio WordPress está hackeado detalla las comprobaciones manuales.
6. Las copias de seguridad
Una copia de seguridad solo vale si está fuera del servidor y ya has conseguido restaurarla una vez. Sigue la regla 3-2-1: tres copias, dos soportes, una copia fuera. Guarda varias semanas de historial, porque una infección suele descubrirse tarde y las copias recientes pueden contenerla ya.
7. El plan de respuesta
Escríbelo antes de necesitarlo, en una sola página: a quién avisar, dónde están los accesos, cómo poner el sitio en mantenimiento, qué copia restaurar, cómo cambiar todas las contraseñas y las claves de wp-config.php. Llegado el momento, sigue el procedimiento de limpieza paso a paso.
Por dónde empezar según tu sitio
Todas las capas cuentan, pero el orden depende de lo que tienes en juego y de quién trabaja en el sitio.
| Tipo de sitio | Prioridades | Tiempo inicial | Ojo con |
|---|---|---|---|
| Blog o web corporativa sencilla | Accesos, actualizaciones automáticas, copia externa | 1 a 2 horas | Plugins instalados «para probar» y luego olvidados |
| Web de empresa | Accesos, inventario, supervisión, plan de respuesta | Media jornada | Cuentas de proveedores que nunca se borraron |
| Tienda WooCommerce | 2FA obligatoria, entorno de pruebas, copias frecuentes | Una jornada | Plugins de pago y datos de clientes |
| Agencia con varios sitios | Inventario centralizado, alertas, procedimiento común | Variable | Un solo sitio olvidado sirve de puerta de entrada |
El plan de 30 días
No hace falta hacerlo todo en una tarde. Este reparto ataca primero lo que más explotan los bots.
- Día 1 (una hora): actualizar núcleo, plugins y tema; borrar los plugins y temas que no se usan; cambiar las contraseñas de los administradores; hacer una copia completa y guardarla fuera del servidor.
- Semana 1: autenticación en dos pasos para los administradores, límite de accesos, página de acceso trasladada, XML-RPC cerrado, roles revisados.
- Semana 2: versión de PHP con soporte, HTTPS forzado con HSTS, cabeceras de seguridad, editor de archivos desactivado, permisos comprobados.
- Semana 3: copias automáticas fuera del servidor, prueba de restauración en una copia, actualizaciones automáticas de los plugins fiables.
- Semana 4: supervisión (vulnerabilidades conocidas, integridad, registro de actividad, Search Console) y plan de respuesta por escrito.
- Después, cada mes: revisión de cuentas y plugins, lectura de las alertas, comprobación de una copia.
Los ajustes que conviene añadir a wp-config.php
Estas constantes van por encima de la línea «¡Eso es todo, deja de editar!». Haz una copia del archivo antes de modificarlo; nuestro artículo sobre los ajustes de seguridad de wp-config.php las explica una a una.
// Sin editor de temas y plugins en el Escritorio
define( 'DISALLOW_FILE_EDIT', true );
// Administración y acceso solo por HTTPS
define( 'FORCE_SSL_ADMIN', true );
// Actualizaciones automáticas del núcleo: menores (valor por defecto)
define( 'WP_AUTO_UPDATE_CORE', 'minor' );
// No mostrar los errores de PHP a los visitantes
define( 'WP_DEBUG', false );
define( 'WP_DEBUG_DISPLAY', false );Añade DISALLOW_FILE_MODS solo si actualizas por otra vía (WP-CLI, despliegue): esta constante bloquea también las actualizaciones desde el Escritorio.
Lo que hace un plugin de seguridad, y lo que no hace
Ningún plugin cubre las siete capas. Los firewalls y escáneres como Wordfence o Sucuri filtran peticiones y buscan código malicioso; un plugin de copias guarda tus datos; el proveedor de alojamiento gestiona el servidor. WP Masquerade trabaja en las capas 2, 4 y 5: reducir lo que ven los bots y lo que pueden intentar, y avisarte después.
- Versión gratuita: página de acceso trasladada, XML-RPC y pingbacks bloqueados, rastros de WordPress y comentarios de plugins eliminados, carpeta del plugin oculta, trampas para bots que cuentan los escáneres.
- WP Masquerade Pro: autenticación en dos pasos, límite de accesos, lista de autores oculta, direcciones de archivos renombradas, cabeceras de seguridad, alertas sobre plugins vulnerables y cerrados, control de integridad del núcleo, registro de actividad de los administradores, alertas por correo y el estado de las actualizaciones de todos tus sitios en el área de cliente.
- Lo que no hace: no es un firewall de aplicaciones, ni un antivirus, ni una herramienta de copias. Combínalo con ellos; nuestra comparativa de plugins de seguridad para WordPress indica las combinaciones que no se solapan.
Preguntas frecuentes
¿Basta un plugin de seguridad para proteger WordPress?
No. Se encarga de una parte de las capas (accesos, superficie de ataque, filtrado o supervisión según la herramienta). Las actualizaciones, las copias fuera del servidor, el alojamiento y la gestión de cuentas siguen siendo cosa tuya.
¿Cuál es la medida más eficaz si solo tengo una hora?
Actualizarlo todo, borrar lo que ya no sirve, cambiar las contraseñas de los administradores y guardar una copia fuera del servidor. Añade la autenticación en dos pasos en cuanto puedas.
¿Hay que cambiar la dirección wp-login.php?
Sí, como medida complementaria: elimina el ruido de los bots que apuntan a la dirección por defecto. No sustituye a una contraseña robusta ni a la autenticación en dos pasos.
¿Ocultar WordPress perjudica al SEO?
No, si no toca los contenidos ni las direcciones públicas de las páginas. Los buscadores indexan tus páginas, no la firma del software que las genera.
¿Con qué frecuencia hay que revisar la seguridad de un sitio?
Las alertas a medida que llegan, una revisión rápida de cuentas y plugins cada mes, y una auditoría completa con una checklist una vez al año o tras un rediseño.
En resumen
- La seguridad de WordPress se apoya en siete capas: alojamiento, accesos, actualizaciones, superficie de ataque, supervisión, copias de seguridad y respuesta.
- Empieza por las cuentas y las actualizaciones: son las puertas que los bots prueban primero.
- Un plugin desactivado sigue siendo atacable: borra lo que ya no uses.
- Una copia solo cuenta si está fuera del servidor y ya se ha restaurado una vez.
- Ningún plugin lo hace todo: combina menos superficie de ataque, firewall o escáner, copias y alertas.
Cierra las puertas que los bots prueban primero
La versión gratuita de WP Masquerade traslada el acceso, bloquea XML-RPC y oculta WordPress. Pro añade la autenticación en dos pasos, el límite de accesos, las alertas de vulnerabilidades y el control de integridad, desde 59 € al año (IVA no incluido).
Fuentes
- WordPress Developer: Hardening WordPress (enlace externo, se abre en una pestaña nueva)
- WordPress Developer: Brute Force Attacks (enlace externo, se abre en una pestaña nueva)
- WordPress.org: requisitos (enlace externo, se abre en una pestaña nueva)
- WordPress Developer: wp-config.php (enlace externo, se abre en una pestaña nueva)
