Cómo proteger WordPress contra hackeos
Medidas preventivas priorizadas para reducir ataques y recuperar una web sin depender de trucos como ocultar el login.
No existe una configuración que haga WordPress invulnerable. La seguridad consiste en reducir probabilidades, limitar daños y poder recuperar.
Los ataques suelen aprovechar software desactualizado, contraseñas reutilizadas, plugins abandonados, permisos excesivos o credenciales comprometidas.
1. Mantén todo actualizado
Actualiza:
- WordPress.
- Tema.
- Plugins.
- PHP.
- Servidor.
Antes:
- Copia.
- Staging si es crítica.
- Revisión de compatibilidad.
- Pruebas de formularios y pagos.
Elimina plugins y temas que no usas. Desactivarlos no siempre elimina archivos.
2. Instala solo software confiable
Usa:
- Repositorio oficial.
- Desarrollador reconocido.
- Licencia válida.
- Soporte.
- Actualizaciones.
Evita plugins y temas “nulled”. Pueden incluir código modificado y no reciben soporte.
Cada plugin aumenta superficie. Instala por función real.
3. Protege cuentas
- Contraseñas únicas.
- Gestor de contraseñas.
- Doble factor.
- Usuarios separados.
- Mínimo privilegio.
- Retirar accesos.
- Revisar administradores.
No compartas una cuenta admin.
Cambia credenciales cuando sale un proveedor.
4. Asegura hosting
Revisa:
- Aislamiento.
- Versiones.
- copias.
- restauración.
- logs.
- firewall.
- soporte.
- malware.
- acceso SFTP/SSH.
- renovación.
Un hosting gestionado puede reducir tareas, pero no sustituye buenas prácticas.
5. Copias fuera del servidor
Una copia debe incluir:
- Base.
- Archivos.
- Configuración.
- Medios.
- Frecuencia.
- Retención.
- Ubicación externa.
- Restauración probada.
Una copia en el mismo servidor puede perderse junto con la web.
Para tiendas, la frecuencia debe considerar pedidos.
6. Usa HTTPS
HTTPS cifra la conexión. No evita plugins vulnerables ni robo de contraseñas por otros medios.
Fuerza HTTPS, renueva certificado y corrige contenido mixto.
7. Permisos y archivos
Usa permisos recomendados por el hosting. Evita 777.
Protege archivos de configuración y no guardes copias .zip, bases o logs dentro de carpetas públicas.
No edites archivos desde redes inseguras.
8. Limita intentos y automatización
Puedes limitar intentos, usar CAPTCHA cuando haya abuso o WAF.
No bloquees clientes reales.
Ocultar la URL de acceso reduce ruido, pero no es defensa principal. Un atacante puede entrar por plugins, credenciales o servidor.
9. Firewall
Un WAF puede bloquear patrones, bots y tráfico malicioso.
Revisa:
- Reglas.
- falsos positivos.
- exclusiones.
- logs.
- compatibilidad con pagos.
- caché.
No actives reglas estrictas en producción sin probar checkout.
10. Desactiva funciones innecesarias
Según el sitio, revisa:
- Edición de archivos.
- XML-RPC.
- Registro.
- REST.
- Comentarios.
- carga de archivos.
- listados.
No desactives APIs a ciegas: plugins y apps pueden depender.
11. Protege formularios
- Validación.
- Nonces.
- límites.
- CAPTCHA cuando sea necesario.
- filtros de archivo.
- tamaño.
- tipos permitidos.
- almacenamiento seguro.
No permitas subir ejecutables.
12. Seguridad de correo y dominio
Una web segura puede ser secuestrada si pierdes:
- correo administrador.
- dominio.
- hosting.
- proveedor DNS.
Activa doble factor y registra cuentas bajo control del negocio.
13. Monitorea
Revisa:
- Usuarios.
- archivos.
- cambios.
- tráfico.
- errores.
- tareas.
- correos.
- disponibilidad.
- listas de seguridad.
Configura alertas accionables.
No dependas de escaneos que nunca revisas.
14. Plan de respuesta
Define:
- Responsable.
- contactos.
- copias.
- credenciales.
- procedimiento.
- comunicación.
- restauración.
- preservación de evidencia.
Cuando ocurre un incidente, evita improvisar.
15. Tiendas WooCommerce
Además:
- Pasarelas oficiales.
- Checkout.
- usuarios.
- datos.
- correos.
- backups frecuentes.
- logs.
- cron.
- actualizaciones en staging.
No guardes datos de tarjetas en WordPress.
Checklist mensual
- Actualizaciones.
- Administradores.
- Copias.
- Restauración.
- Logs.
- Plugins.
- Alertas.
- SSL.
- Pagos y formularios.
Qué no garantiza seguridad
- Cambiar login.
- Instalar muchos plugins.
- Desactivar errores.
- Usar un hosting caro.
- Tener SSL.
- Restaurar sin cerrar la causa.
- Escanear una vez.
Si ya fue atacada
No actualices y declares limpio sin investigar. Sigue cómo limpiar WordPress hackeado.
Para rendimiento, revisa cómo acelerar WordPress.