Seguridad en WordPress: guía completa y ordenada por prioridad

La seguridad en WordPress se basa en unas pocas medidas que, juntas, bloquean la gran mayoría de los ataques: mantener WordPress, plugins y temas actualizados; usar contraseñas únicas con autenticación en dos pasos; instalar solo plugins confiables; tener respaldos automáticos y usar un hosting que proteja el servidor. Esta guía las ordena de mayor a menor impacto.

Cómo atacan realmente un sitio WordPress

Casi ningún ataque es personal. Son programas automáticos que recorren miles de sitios buscando dos cosas: plugins o temas con vulnerabilidades conocidas y accesos con contraseñas débiles. Por eso un sitio pequeño corre el mismo riesgo que uno grande, y por eso las medidas básicas protegen tanto.

Prioridad 1: mantener todo actualizado

• WordPress: las versiones menores, que corrigen seguridad, se instalan solas por defecto. Revisa en Escritorio › Actualizaciones que estés al día.
• Plugins y temas: son el punto de entrada más común. Actualízalos con frecuencia y activa las actualizaciones automáticas en los que no sean críticos para tu sitio.
• PHP: usa una versión con soporte activo. WordPress recomienda PHP 8.3 o superior.

Prioridad 2: proteger los accesos

• Usa contraseñas largas y únicas, generadas por un gestor de contraseñas.
• Activa la autenticación en dos pasos para todos los administradores y editores; te explicamos cómo en la guía de autenticación en dos pasos.
• Limita los intentos de acceso fallidos, con un plugin o con la protección de tu hosting.
• No uses «admin» como nombre de usuario y da a cada persona solo el rol que necesita: un redactor no necesita ser administrador.
• Protege también los accesos del hosting, el FTP, la base de datos y el correo del administrador.

Prioridad 3: menos código, mejor código

• Instala plugins y temas solo desde el directorio oficial o desde el sitio del desarrollador.
• Borra los plugins y temas que no uses; desactivados igual pueden ser una puerta.
• Revisa la lista de plugins esenciales para no duplicar funciones.

Prioridad 4: endurecer la configuración

Algunos ajustes en wp-config.php reducen el daño si alguien consigue entrar. El más útil es desactivar el editor de archivos del escritorio, que permite modificar código de plugins y temas desde el navegador:

define( 'DISALLOW_FILE_EDIT', true );

Además, revisa que los permisos sean 644 en archivos y 755 en carpetas, y que el sitio funcione completamente con HTTPS.

Prioridad 5: respaldos que sí funcionan

Un buen respaldo es automático, incluye archivos y base de datos, se guarda fuera del servidor del sitio y, sobre todo, se ha probado restaurar. Es lo que te permite volver a un estado limpio si todo lo demás falla.

El papel del hosting

Un buen hosting suma una capa que ningún plugin reemplaza: firewall a nivel de servidor, análisis de malware, aislamiento entre cuentas y respaldos propios. Por ejemplo, PremiumHosting incluye Imunify360 con firewall WAF y respaldos diarios automáticos. Si tu hosting ya filtra ataques, un plugin de seguridad liviano suele ser suficiente.

Si crees que tu sitio ya fue comprometido, sigue la guía sobre qué hacer si hackearon tu WordPress.

Guía revisada con WordPress 7.1.