Seguridad en WordPress: la lista que deberías revisar hoy

La seguridad en WordPress se resume en cinco hábitos: mantener todo actualizado, tener copias de seguridad que funcionen, usar contraseñas fuertes con doble factor, instalar solo plugins fiables y alojar la web en un hosting serio. La mayoría de webs WordPress que se infectan no caen por un ataque sofisticado, sino por un plugin sin actualizar o una contraseña de las de «admin123». La lista que verás abajo es la misma que repasamos en cada web que nos llega; puedes revisarla tú en una tarde.

Por qué WordPress es objetivo (y por qué eso no significa que sea inseguro)

WordPress mueve una parte enorme de las webs del mundo. Eso lo convierte en un blanco atractivo: un atacante que encuentra un fallo en un plugin popular puede probarlo en miles de sitios de forma automática. No van a por ti en concreto; van a por cualquiera que tenga la puerta abierta.

El núcleo de WordPress tiene un equipo de seguridad dedicado y publica parches con rapidez. El problema casi siempre está alrededor: plugins y temas abandonados, accesos mal protegidos y servidores descuidados.

1. Actualizaciones: la primera línea de defensa

• Núcleo de WordPress en la última versión. Las actualizaciones menores (de seguridad) deberían instalarse solas; compruébalo.
• Plugins y temas actualizados. Si un plugin lleva mucho tiempo sin actualizarse, desconfía y busca alternativa.
• Versión de PHP con soporte activo. Una versión antigua de PHP ya no recibe parches de seguridad, aunque tu WordPress esté al día.
• Elimina (no solo desactives) los plugins y temas que no uses. Un plugin desactivado sigue teniendo archivos en el servidor que pueden explotarse.

Ojo: actualizar a ciegas en producción también tiene riesgos. Lo ideal es probar primero en una copia de pruebas y tener una copia de seguridad reciente por si algo se rompe.

2. Copias de seguridad: tu seguro de vida

• Copias automáticas y periódicas de archivos y base de datos (diarias si la web cambia a menudo, como una tienda).
• Copias guardadas fuera del servidor de la web. Si el servidor cae o se infecta, una copia guardada en el mismo sitio no te salva.
• Varias copias en el tiempo, no solo la última: a veces una infección lleva semanas dentro sin que nadie lo note.
• Restauración probada. Una copia que nunca has intentado restaurar es una esperanza, no una copia.

3. Accesos: que no entre quien no debe

• Contraseñas largas y únicas para todos los usuarios administradores, generadas con un gestor de contraseñas.
• Doble factor de autenticación (2FA) en las cuentas con permisos de administración o edición.
• Nada de usuario «admin»: si existe, crea otro administrador con un nombre distinto y elimina ese.
• Limita los intentos de acceso para frenar los ataques de fuerza bruta.
• Revisa los usuarios: el becario de hace tres años o la agencia anterior no deberían seguir teniendo acceso de administrador.
• Permisos mínimos: quien solo escribe en el blog no necesita ser administrador.

Este último punto es más importante de lo que parece. Cada cuenta con privilegios altos es una llave más circulando por ahí.

4. Plugins y temas: menos y mejores

• Descarga plugins y temas solo del repositorio oficial o de desarrolladores reconocidos.
• Nunca uses versiones «nulled» (piratas) de plugins de pago: son una de las vías más habituales para meter código malicioso.
• Antes de instalar algo, mira cuándo se actualizó por última vez, cuántas instalaciones activas tiene y si el autor responde en el foro de soporte.
• Pregúntate si de verdad necesitas ese plugin o si lo que hace se resuelve con unas líneas de código.

No hay un número máximo de plugins, pero cada uno es código de terceros con acceso a tu web. Lo explicamos en plugins de WordPress: ¿cuántos son demasiados?. Y cuando lo que necesitas no existe o los plugins disponibles no te convencen, un plugin de WordPress a medida suele ser más ligero y más seguro.

5. Servidor y hosting

• Certificado SSL activo y toda la web servida por HTTPS.
• Hosting con aislamiento entre cuentas, cortafuegos y copias propias. El alojamiento más barato suele salir caro cuando hay un problema.
• Permisos de archivos correctos: ni todo abierto ni todo cerrado.
• Edición de archivos desde el escritorio desactivada, para que nadie pueda modificar código desde el panel de WordPress aunque consiga entrar.
• Acceso por SFTP o SSH, nunca por FTP sin cifrar.

6. Vigilancia: enterarte antes que tus clientes

• Un plugin o servicio de seguridad que escanee archivos en busca de cambios sospechosos y te avise.
• Monitorización de disponibilidad: un aviso si la web deja de responder.
• Search Console configurada: Google te avisa si detecta malware o contenido hackeado en tu sitio.
• Registro de actividad: quién ha entrado, cuándo y qué ha cambiado.

Si ya te han hackeado

Respira. Y luego, por este orden:

1. Cambia todas las contraseñas: WordPress, hosting, base de datos, FTP y correo asociado.
2. Avisa a tu hosting: muchos tienen protocolos para estos casos.
3. Restaura una copia limpia anterior a la infección, si la tienes.
4. Actualiza todo y elimina lo que no uses antes de volver a abrir la web.
5. Busca la puerta de entrada: si no cierras el agujero, volverán.
6. Revisa Search Console y, si Google marcó la web como peligrosa, solicita una revisión cuando esté limpia.

Limpiar una web infectada sin copia de seguridad es un trabajo delicado; si no sabes por dónde empezar, mejor pedir ayuda que borrar archivos al azar.

La seguridad no es un trámite, es un hábito

Ninguna web es invulnerable, pero la diferencia entre una WordPress cuidada y una abandonada es enorme. Casi todo lo de esta lista se configura una vez y luego solo requiere revisiones periódicas. Por eso insistimos tanto en el mantenimiento web: es mucho más barato prevenir que limpiar.

En resumen

Actualiza, haz copias (y pruébalas), protege los accesos, sé exigente con los plugins y elige un buen hosting. Con eso estarás por delante de la mayoría. Si prefieres que revisemos tu web y te digamos qué falta, en kbrio somos especialistas en desarrollo WordPress y podemos ayudarte. Hablamos.