--- title: "Glosario de seguridad web y WordPress" description: "Vulnerabilidades, ataques y defensas explicados: XSS, inyección SQL, fuerza bruta, WAF, 2FA, CVE, cabeceras de seguridad y buenas prácticas en WordPress." language: "es" locale: "es-ES" type: "glossary" canonical: "https://www.wp-masquerade.com/es/glosario/seguridad-web/" published: "" modified: "2026-11-05T20:54:48+00:00" translations: en-US: "https://www.wp-masquerade.com/glossary/web-security/index.md" fr-FR: "https://www.wp-masquerade.com/fr/definitions/securite-web/index.md" es-ES: "https://www.wp-masquerade.com/es/glosario/seguridad-web/index.md" de-DE: "https://www.wp-masquerade.com/de/glossar/web-sicherheit/index.md" it-IT: "https://www.wp-masquerade.com/it/glossario/sicurezza-web/index.md" pt-BR: "https://www.wp-masquerade.com/pt/glossario/seguranca-web/index.md" nl-NL: "https://www.wp-masquerade.com/nl/woordenlijst/webbeveiliging/index.md" --- # Glosario de seguridad web y WordPress Vulnerabilidades, ataques y defensas explicados: XSS, inyección SQL, fuerza bruta, WAF, 2FA, CVE, cabeceras de seguridad y buenas prácticas en WordPress. ## Seguridad web - [Ataque a la cadena de suministro](https://www.wp-masquerade.com/es/glosario/ataque-cadena-de-suministro/): Un ataque a la cadena de suministro (supply chain attack) compromete a un proveedor de software, una dependencia o un canal de actualización para llegar a sus clientes. El código malicioso entra así por una vía de confianza, por ejemplo la actualización oficial de un plugin de WordPress. - [Ataque DDoS](https://www.wp-masquerade.com/es/glosario/ataque-ddos/): Un ataque DDoS (denegación de servicio distribuida) busca dejar un sitio o un servidor fuera de servicio inundándolo de tráfico o de peticiones enviadas desde un gran número de máquinas, a menudo dispositivos comprometidos reunidos en una botnet. El servicio se ralentiza mucho o deja de responder a los visitantes legítimos. - [Ataque de fuerza bruta](https://www.wp-masquerade.com/es/glosario/ataque-de-fuerza-bruta/): Un ataque de fuerza bruta consiste en probar automáticamente un número enorme de contraseñas, o de pares de nombre de usuario y contraseña, hasta dar con el que abre una cuenta. En WordPress, los robots lo lanzan sin descanso contra la página de acceso y XML-RPC. - [Autenticación de dos factores (2FA)](https://www.wp-masquerade.com/es/glosario/autenticacion-de-dos-factores/): La autenticación de dos factores (2FA) añade a la contraseña una segunda prueba de identidad al iniciar sesión: un código temporal calculado por una aplicación, una llave de seguridad o una notificación en un dispositivo de confianza. Así, una contraseña robada o adivinada ya no basta para entrar en la cuenta. - [Cabeceras de seguridad HTTP](https://www.wp-masquerade.com/es/glosario/cabeceras-de-seguridad-http/): Las cabeceras de seguridad HTTP son instrucciones que el servidor envía con cada página y que el navegador aplica: imponer HTTPS, prohibir que la página se muestre en un marco externo, limitar los scripts permitidos o la información transmitida. Protegen a los visitantes sin corregir las vulnerabilidades del propio sitio. - [Certificado TLS](https://www.wp-masquerade.com/es/glosario/certificado-tls/): Un certificado TLS es un archivo electrónico que asocia un nombre de dominio a una clave pública, firmado por una autoridad de certificación reconocida por los navegadores. Permite al visitante comprobar que se comunica con el servidor correcto antes de establecer una conexión HTTPS cifrada. - [Clickjacking](https://www.wp-masquerade.com/es/glosario/clickjacking/): El clickjacking (secuestro de clics) consiste en mostrar un sitio legítimo dentro de un marco invisible, superpuesto a una página trampa: la víctima cree hacer clic en un botón inofensivo y en realidad desencadena una acción en el sitio oculto, con su propia sesión. Las cabeceras frame-ancestors y X-Frame-Options lo impiden. - [Content Security Policy (CSP)](https://www.wp-masquerade.com/es/glosario/content-security-policy/): La Content Security Policy (CSP) es una cabecera HTTP con la que un sitio indica al navegador qué orígenes de scripts, estilos, imágenes o marcos puede cargar. Todo lo que queda fuera de esa lista se bloquea, lo que limita mucho el impacto de una vulnerabilidad XSS. - [Credential stuffing](https://www.wp-masquerade.com/es/glosario/credential-stuffing/): El credential stuffing (relleno de credenciales) es un ataque automatizado que prueba en un sitio parejas de usuario y contraseña robadas en filtraciones de otros servicios. Tiene éxito en cuanto un usuario ha reutilizado la misma contraseña en otra parte, sin que el atacante tenga que adivinar nada. - [CSRF](https://www.wp-masquerade.com/es/glosario/csrf/): El CSRF (cross-site request forgery, falsificación de petición en sitios cruzados) es un ataque que hace que el navegador de un usuario conectado envíe, sin que lo sepa, una petición a un sitio en el que tiene la sesión abierta. El sitio cree que es una acción voluntaria: correo cambiado, ajuste modificado, cuenta creada. - [CVE](https://www.wp-masquerade.com/es/glosario/cve/): Una CVE (Common Vulnerabilities and Exposures) es un identificador público y único, con la forma CVE-2024-4577, asignado a una vulnerabilidad informática divulgada. Este catálogo, patrocinado por la agencia estadounidense CISA, permite a fabricantes, investigadores y herramientas de seguridad designar sin ambigüedad el mismo fallo. - [Deserialización insegura](https://www.wp-masquerade.com/es/glosario/deserializacion-insegura/): La deserialización insegura es una vulnerabilidad que aparece cuando una aplicación reconstruye objetos a partir de datos controlados por un atacante, por ejemplo con unserialize() en PHP. Los métodos que se ejecutan automáticamente durante esa reconstrucción pueden llevar al borrado de archivos o a la ejecución de código. - [Ejecución remota de código (RCE)](https://www.wp-masquerade.com/es/glosario/ejecucion-remota-de-codigo/): La ejecución remota de código (RCE, Remote Code Execution) es una vulnerabilidad que permite a un atacante hacer que un servidor ejecute sus propias instrucciones a través de la red, sin tener acceso legítimo. Es una de las vulnerabilidades más graves, porque a menudo conduce a la toma de control completa del sitio. - [Enumeración de usuarios](https://www.wp-masquerade.com/es/glosario/enumeracion-de-usuarios/): La enumeración de usuarios es una técnica de reconocimiento que consiste en elaborar la lista de nombres de usuario válidos de un sitio aprovechando sus respuestas: mensajes de error, URL de autores, API públicas. Después, el atacante concentra sus intentos de contraseña en esas cuentas reales. - [Escalada de privilegios](https://www.wp-masquerade.com/es/glosario/escalada-de-privilegios/): La escalada de privilegios es un ataque que permite obtener más permisos de los concedidos al principio: un visitante se convierte en administrador, un suscriptor modifica los ajustes, un cliente lee los datos de otro. Aprovecha una vulnerabilidad, un control de acceso que falta o una configuración incorrecta. - [Fingerprinting](https://www.wp-masquerade.com/es/glosario/fingerprinting/): El fingerprinting, o toma de huellas, consiste en identificar el software que hace funcionar un sitio, su versión y sus componentes a partir de indicios visibles: cabeceras HTTP, etiqueta generator, rutas de archivos, cookies. Los robots lo usan para elegir qué vulnerabilidades conocidas probar en cada sitio. - [Hash bcrypt](https://www.wp-masquerade.com/es/glosario/bcrypt/): bcrypt es una función de hash diseñada para almacenar contraseñas. Incorpora una sal aleatoria y un factor de coste ajustable que hace que cada cálculo sea deliberadamente lento, lo que frena mucho los ataques contra una base de datos robada. WordPress lo usa por defecto desde la versión 6.8. - [Honeypot (señuelo)](https://www.wp-masquerade.com/es/glosario/honeypot/): Un honeypot, o señuelo, es un cebo instalado a propósito para atraer a los atacantes: un servidor ficticio, una URL inexistente o un campo de formulario oculto. Como ningún usuario legítimo debería llegar a él, cada interacción delata a un robot o a un intruso, que se puede observar, contar o bloquear. - [HSTS](https://www.wp-masquerade.com/es/glosario/hsts/): HSTS (HTTP Strict Transport Security) es una cabecera HTTP que ordena al navegador contactar con un sitio solo por HTTPS durante un tiempo determinado. Tras la primera visita segura, cualquier dirección HTTP se convierte en HTTPS antes de enviarse, y los errores de certificado ya no se pueden ignorar. - [IDOR](https://www.wp-masquerade.com/es/glosario/idor/): Una vulnerabilidad IDOR (Insecure Direct Object Reference) permite acceder a los datos de otro usuario con solo cambiar un identificador en una petición, por ejemplo un número de pedido en la URL, porque la aplicación no comprueba que el objeto solicitado pertenezca a la persona conectada. - [Inclusión de archivos (LFI / RFI)](https://www.wp-masquerade.com/es/glosario/inclusion-de-archivos/): La inclusión de archivos es una vulnerabilidad de PHP en la que un atacante controla la ruta que se pasa a include o require. En una LFI (Local File Inclusion) hace cargar un archivo que ya está en el servidor; en una RFI (Remote File Inclusion), uno alojado en otro lugar. Lleva a la lectura de secretos o a la ejecución de código. - [Inyección SQL](https://www.wp-masquerade.com/es/glosario/inyeccion-sql/): La inyección SQL es un ataque que cuela fragmentos de lenguaje SQL en un dato enviado a un sitio para desviar la consulta que este dirige a su base de datos. Permite leer, modificar o borrar datos y, a veces, saltarse una autenticación. - [Malware (software malicioso)](https://www.wp-masquerade.com/es/glosario/malware/): Un malware (software malicioso) es un programa o un fragmento de código introducido en un sistema para perjudicar a su propietario o a sus usuarios: robo de datos, toma de control, cifrado de archivos, envío de spam o redirección de los visitantes. Los virus, los gusanos, los troyanos y el ransomware forman parte de él. - [Nonce](https://www.wp-masquerade.com/es/glosario/nonce/): Un nonce es un valor, en principio aleatorio y de un solo uso, que se añade a un intercambio para impedir que se reproduzca o se falsifique. En WordPress, el nonce es un token ligado a una acción, a un usuario y a su sesión, válido entre 12 y 24 horas, que protege sobre todo contra los ataques CSRF. - [Parche virtual](https://www.wp-masquerade.com/es/glosario/parche-virtual/): Un parche virtual (virtual patching) es una regla de filtrado que bloquea la explotación de una vulnerabilidad concreta sin modificar el código del software afectado. Aplicado por un cortafuegos de aplicaciones, el servidor web o un agente de seguridad, protege un sitio mientras llega la actualización real. - [Phishing (suplantación de identidad)](https://www.wp-masquerade.com/es/glosario/phishing/): El phishing (suplantación de identidad) es una técnica de estafa que imita un mensaje de una entidad de confianza (banco, proveedor de hosting, administración, servicio online) para empujar a la víctima a hacer clic y después entregar sus credenciales, sus datos bancarios u otros datos personales en un sitio falso. - [Puerta trasera (backdoor)](https://www.wp-masquerade.com/es/glosario/puerta-trasera/): Una puerta trasera (backdoor) es un acceso oculto, previsto en un software o instalado tras una intrusión, que permite volver a entrar en un sistema saltándose la autenticación normal. En un sitio web suele adoptar la forma de un pequeño archivo PHP, de código añadido a un tema o de una cuenta de administrador discreta. - [Puntuación CVSS](https://www.wp-masquerade.com/es/glosario/cvss/): La puntuación CVSS (Common Vulnerability Scoring System) es una nota de 0 a 10 que mide la gravedad técnica de una vulnerabilidad a partir de criterios normalizados, como el vector de ataque, los privilegios requeridos o el impacto. La mantiene FIRST y existe en las versiones 3.1 y 4.0. - [Ransomware (secuestro de datos)](https://www.wp-masquerade.com/es/glosario/ransomware/): Un ransomware es un software malicioso que bloquea el acceso a un sistema o cifra sus datos y después exige un rescate para devolverlos. Los atacantes suelen copiar los datos antes de cifrarlos y amenazan con publicarlos para aumentar la presión: es la doble extorsión. - [Salt (sal criptográfica)](https://www.wp-masquerade.com/es/glosario/salt/): La salt (sal criptográfica) es un valor aleatorio y único que se añade a cada contraseña antes de calcular su hash. Así, dos contraseñas idénticas producen hashes distintos, lo que inutiliza las tablas precalculadas y obliga al atacante a tratar cada cuenta por separado. - [SSRF](https://www.wp-masquerade.com/es/glosario/ssrf/): Una vulnerabilidad SSRF (Server-Side Request Forgery, falsificación de peticiones del lado del servidor) permite a un atacante hacer que el servidor envíe peticiones a la dirección que elija: servicios internos, la dirección de metadatos de la nube o el propio servidor, normalmente inaccesibles desde Internet. - [TLS / SSL](https://www.wp-masquerade.com/es/glosario/tls-ssl/): TLS (Transport Layer Security) es el protocolo que cifra los intercambios entre un navegador y un servidor, garantiza su integridad y autentica al servidor gracias a su certificado. Sustituyó a SSL, hoy abandonado, y es la «S» de HTTPS. La versión actual es TLS 1.3. - [Vulnerabilidad XSS](https://www.wp-masquerade.com/es/glosario/vulnerabilidad-xss/): Una vulnerabilidad XSS (cross-site scripting) es un fallo que permite a un atacante hacer que se ejecute su propio JavaScript en la página que consulta otro visitante. El script actúa entonces en el navegador de la víctima con los permisos del sitio: acciones en su nombre, lectura de los datos mostrados o redirección. - [Vulnerabilidad zero-day (día cero)](https://www.wp-masquerade.com/es/glosario/vulnerabilidad-zero-day/): Una vulnerabilidad zero-day (de «día cero») es un fallo de seguridad que los atacantes explotan antes de que el fabricante del software lo haya corregido, y a menudo antes incluso de que sepa que existe. Ninguna actualización protege entonces el sitio: solo otras capas de defensa limitan el riesgo. - [WAF (cortafuegos de aplicaciones web)](https://www.wp-masquerade.com/es/glosario/waf/): Un WAF (Web Application Firewall, cortafuegos de aplicaciones web) es un filtro situado delante de una aplicación web que inspecciona cada petición HTTP (URL, parámetros, cabeceras, contenido) y bloquea las que coinciden con ataques conocidos, como una inyección SQL o una vulnerabilidad XSS. - [XML-RPC](https://www.wp-masquerade.com/es/glosario/xml-rpc/): XML-RPC es un protocolo de llamada a funciones remotas mediante mensajes XML. En WordPress, el archivo xmlrpc.php permite publicar desde una aplicación externa y recibir pingbacks; activo por defecto, también es un objetivo frecuente de las pruebas de contraseñas y del abuso de pingbacks.