WordPress mueve más del 40% de la web, y eso lo convierte en el objetivo favorito de los atacantes. No es paranoia: cualquier sitio con plugins desactualizados o contraseñas flojas es una puerta abierta. Si tienes un WordPress, esto no es opcional.
He visto demasiados casos de gente que descubre el hackeo cuando Google ya ha marcado su web como peligrosa. Para entonces, el daño está hecho. La clave está en la seguridad en WordPress antes de que ocurra, no después.
Contraseñas robustas: el primer cortafuegos humano
La mayoría de hackeos no son sofisticados: entran por fuerza bruta o por credenciales filtradas. Usar la misma contraseña en tu WordPress y en un foro random es regalar la entrada. La seguridad en WordPress empieza por aquí.
Olvídate de “123456” o “admin”. Necesitas mínimo 12 caracteres, con mayúsculas, números y símbolos. Y no, no vale “Contraseña2026!”. Mejor una frase larga que solo tú entiendas.
Activa la autenticación en dos pasos (2FA). Es un paso extra, sí, pero bloquea el 99% de los ataques de fuerza bruta. Plugins como Wordfence o Google Authenticator lo hacen en minutos.
Actualizaciones: no las dejes para mañana
Cada actualización de WordPress, temas o plugins suele cerrar agujeros de seguridad. Ignorarlas es como dejar la ventana abierta en verano. La seguridad en WordPress exige disciplina.
Activa las actualizaciones automáticas para versiones menores y de seguridad. Para las mayores, prueba primero en un entorno de staging. Pero no las pospongas semanas.
Ojo con los plugins abandonados: si un plugin no se actualiza desde hace más de un año, bórralo. Da igual lo mucho que te guste. Es un riesgo innecesario.
Firewall y monitorización: ojos que todo lo ven
Un firewall a nivel de aplicación (WAF) filtra el tráfico malicioso antes de que llegue a tu WordPress. Es como tener un portero que conoce a todos los vecinos.
Soluciones como Cloudflare, Sucuri o el propio Wordfence ofrecen firewall y escaneo de malware. La versión gratuita de Wordfence ya bloquea ataques básicos. Para sitios con ventas, paga la versión premium.
La seguridad en WordPress también implica revisar los logs. Si ves intentos de login fallidos desde IPs rusas o chinas, algo pasa. Bloquea esas IPs o países enteros si no los necesitas.
Copias de seguridad: tu red de seguridad
Si te hackean, la copia de seguridad es lo único que te salva. No hay excusa para no tener una. La seguridad en WordPress incluye poder restaurar en minutos.
Automatiza copias diarias de la base de datos y semanales de los archivos. Guárdalas fuera de tu hosting: en Google Drive, Dropbox o un servicio como BlogVault. Si el hosting cae, tus copias siguen ahí.
Prueba la restauración de vez en cuando. Una copia que no se puede restaurar no sirve de nada.
Bases de datos y archivos sensibles: cierra la puerta
El archivo wp-config.php contiene las credenciales de tu base de datos. Si alguien lo lee, tiene las llaves del reino. Restringe su acceso vía .htaccess.
Cambia el prefijo de las tablas de la base de datos. Por defecto es wp_, y los bots lo saben. Usa algo como wpx7_ o similar. No es infalible, pero complica el ataque.
Desactiva la edición de archivos desde el panel: añade define(‘DISALLOW_FILE_EDIT’, true); en wp-config.php. Así, aunque entren, no podrán inyectar código desde el editor.
Hosting seguro: no escatimes aquí
Un hosting barato suele compartir recursos y tiene seguridad básica. Si tu vecino de servidor es hackeado, tú puedes caer también. La seguridad en WordPress empieza por un buen hosting.
Busca hostings especializados en WordPress como Kinsta, WP Engine o SiteGround. Ofrecen protección DDoS, escaneo de malware y firewalls perimetrales. El sobrecoste vale la pena.
Evita hostings gratuitos o de 1€ al mes. No tienen recursos para seguridad real. Y si te hackean, el soporte brillará por su ausencia.
Plugins de seguridad: aliados, no soluciones mágicas
Un plugin de seguridad como iThemes Security, Wordfence o Sucuri puede automatizar muchas tareas. Pero no hacen milagros. La seguridad en WordPress requiere configuración y revisión.
No instales cinco plugins de seguridad a la vez: se pelearán entre ellos y ralentizarán tu web. Elige uno, configúralo bien y complementa con medidas manuales.
Algunos plugins añaden escaneo de malware, alertas de cambios en archivos y bloqueo de países. Úsalos, pero no delegues toda la responsabilidad.
SSL y HTTPS: cifrado obligatorio
Un certificado SSL cifra la comunicación entre tu web y los usuarios. Sin él, todo va en texto plano: contraseñas, datos de tarjetas, mensajes. La seguridad en WordPress sin SSL es un chiste.
Let’s Encrypt ofrece certificados gratuitos y renovación automática. Tu hosting probablemente lo tenga en un clic. Si no, cámbialo.
Fuerza HTTPS en todo el sitio. Un redirect 301 de HTTP a HTTPS evita conexiones inseguras. Y ojo con el contenido mixto: asegúrate de que todas las imágenes y scripts carguen por HTTPS.
Errores comunes que debes evitar
- Usar “admin” como nombre de usuario. Cámbialo por algo único.
- Dejar la página de login por defecto en /wp-login.php. Cámbiala o protégela con contraseña adicional.
- No limitar los intentos de login. Plugins como Limit Login Attempts Reloaded lo solucionan.
- Ignorar los avisos de tu hosting sobre archivos modificados.
- No tener un plan de respuesta ante incidentes. Si te hackean, ¿qué haces primero?
La seguridad en WordPress no es un producto, es un proceso. Requiere constancia, sentido común y no dejar todo en manos de un plugin. Si aplicas estas medidas, reduces drásticamente las probabilidades de ser hackeado.
Y si aun así te hackean, no entres en pánico: restaura la copia, cambia todas las contraseñas y revisa cómo entraron. Cada ataque es una lección.