Seguridad en WordPress: 10 pasos para blindar tu sitio

WordPress es el gestor más usado del mundo y, por eso, también el más atacado: la gran mayoría de los sitios hackeados usan WordPress (casi siempre, versiones o plugins desactualizados). La buena noticia: la mayoría de los hackeos se evitan con hábitos sencillos, no con conocimientos avanzados. Estos son los 10 pasos que recomiendo aplicar hoy, ordenados del que más riesgo elimina al más fino.

1. Mantén todo actualizado

Núcleo, temas y plugins. Las actualizaciones corrigen vulnerabilidades conocidas; un plugin desactualizado es la puerta de entrada más común. Distingue dos tipos:

Actualizaciones menores (parches de seguridad): actívalas de forma automática desde Ajustes → General.
Actualizaciones mayores (cambios de versión): pruébalas antes en un entorno de pruebas o, al menos, ten una copia reciente a mano.

Nunca dejes un plugin «para actualizar después»: cada día que pasa, el exploit ya circula por internet.

2. Contraseñas fuertes y 2FA

Usa contraseñas largas y únicas (un gestor de contraseñas como Bitwarden o 1Password ayuda) y activa autenticación en dos pasos en todos los usuarios con acceso de administrador. Una contraseña robada deja de importar si hay 2FA de por medio. Tengo una guía completa para proteger el login con 2FA.

3. Copias de seguridad automáticas

Si algo sale mal, la copia es tu red de seguridad — lo único que convierte un hackeo en una anécdota en vez de una catástrofe. Configura backups diarios que se guarden fuera de tu servidor, siguiendo la regla 3-2-1: 3 copias, en 2 medios distintos, 1 fuera de tu hosting. Plugins como UpdraftPlus o BlogVault sirven. Lo explico paso a paso en cómo hacer backups de WordPress.

Los ataques de fuerza bruta prueban miles de contraseñas por minuto. Un plugin que limite los intentos fallidos por IP los frena en seco. Combínalo con el 2FA del paso 2: el límite frena al bot, y el 2FA frena al humano que ya tiene tu contraseña.

5. Instala un firewall (WAF)

Un firewall de aplicaciones web bloquea tráfico malicioso antes de que llegue a WordPress: inyecciones SQL, XSS, bots maliciosos. Puedes usarlo a nivel de servidor, con un plugin especializado como Wordfence o Solid Security, o en el borde con Cloudflare, cuyo plan gratis ya incluye un WAF básico. El firewall en el borde es el más eficaz: la petición ni siquiera llega a tu servidor.

6. Revisa los permisos de archivos

Carpetas en 755 y archivos en 644 es lo estándar y seguro; evita 777 en producción, que permite que cualquiera escriba. Puedes verlos con tu cliente FTP o con ls -l por SSH; si encuentras un 777, cámbialo con chmod.

7. Elimina lo que no usas

Cada plugin y tema inactivo es superficie de ataque: aunque esté desactivado, su código sigue en tu servidor y puede explotarse. Desinstálalos, no solo los desactives. Si no sabes cuáles sobran, empieza por la lista de plugins que NO debes instalar.

8. Asegura `wp-admin`

El panel de administración es el objetivo de todo atacante. Además del 2FA, puedes:

Añadir una contraseña adicional en el servidor (htpasswd) sobre /wp-admin.
Restringir por IP el acceso si tu equipo es estable.
Cambiar la URL de login por defecto (/wp-login.php) con un plugin.

9. Usa HTTPS en todo el sitio

Un certificado SSL gratis (Let’s Encrypt) cifra los datos de tus visitantes y evita interceptaciones de contraseñas. La mayoría de hostings lo activan con un clic; después, fuerza el HTTPS en todo el sitio (redirección 301 de HTTP a HTTPS) para no servir contenido mixto.

10. Escanea y monitorea

Instala un escáner de malware y configura alertas de cambios en archivos. Detectar a tiempo reduce el daño y te permite restaurar una copia limpia antes de que Google penalice tu dominio. Wordfence, Solid Security o Sucuri ofrecen escaneo periódico.

La seguridad es un proceso, no un evento. Con estos 10 pasos cubres el 95% de los riesgos reales.

Relacionado: Cómo hacer backups de WordPress · Proteger el login con 2FA · Cómo elegir hosting para WordPress · Pilar de seguridad