Cómo proteger tu WordPress: 10 medidas de seguridad básicas
WordPress mueve una parte enorme de las webs de internet, y precisamente por eso es un objetivo habitual para ataques automatizados. La buena noticia: la gran mayoría de los hackeos aprovechan descuidos básicos, no fallos sofisticados. Con unas cuantas medidas sencillas reduces el riesgo de forma drástica. Aquí tienes las más importantes, ordenadas por bloques.
Bloque 1: protege los accesos
1. Usa contraseñas largas y únicas
Una contraseña larga, distinta de las que uses en otros servicios, es tu primera barrera. Un gestor de contraseñas te ahorra el esfuerzo de recordarlas.
2. Activa la verificación en dos pasos
Con un plugin de autenticación en dos pasos, aunque alguien consiga tu contraseña necesitará además un código temporal de tu móvil. Es una de las medidas con mejor relación esfuerzo-resultado.
3. No uses "admin" como nombre de usuario
Es el primero que prueban los ataques automáticos. Crea un usuario administrador con otro nombre y elimina el que venía por defecto.
4. Limita los intentos de acceso
Un plugin que bloquee temporalmente una IP tras varios intentos fallidos frena los ataques de fuerza bruta, que consisten en probar contraseñas una tras otra.
Bloque 2: mantén todo actualizado
5. Actualiza WordPress, temas y plugins
Las actualizaciones corrigen vulnerabilidades ya conocidas. Un plugin desactualizado es una de las vías de entrada más habituales. Haz siempre una copia antes de actualizar; lo explicamos en cómo hacer copias de seguridad de tu WordPress.
6. Elimina lo que no uses
Un plugin o tema desactivado sigue estando en el servidor y puede tener vulnerabilidades. Si no lo usas, bórralo del todo.
7. Instala solo desde fuentes fiables
Descarga temas y plugins del repositorio oficial de WordPress o de desarrolladores reconocidos. Evita las versiones "piratas" de plugins de pago: es una de las formas más frecuentes de infectar una web sin saberlo.
Bloque 3: refuerza el servidor y la web
8. Activa el certificado SSL
Cifra la conexión entre el visitante y tu web, y evita que los datos de acceso viajen en claro. Si no sabes exactamente qué es ni cómo funciona, lo explicamos en qué es un certificado SSL y por qué tu web lo necesita.
9. Desactiva el editor de archivos del panel
Por defecto, WordPress permite editar el código de temas y plugins desde el propio panel. Si alguien entra, podría usarlo para introducir código malicioso. Puedes desactivarlo añadiendo esta línea al archivo wp-config.php:
define( 'DISALLOW_FILE_EDIT', true );10. Elige un hosting que se tome la seguridad en serio
Un buen proveedor aísla las cuentas entre sí, mantiene el servidor actualizado y ofrece herramientas de protección. Es otro de los criterios que comparamos en mejor hosting para WordPress.
Comparativa: qué protege cada medida
| Medida | Riesgo que reduce | Esfuerzo |
|---|---|---|
| Contraseñas fuertes y usuario distinto de "admin" | Acceso por fuerza bruta | Bajo |
| Verificación en dos pasos | Contraseña robada o filtrada | Bajo |
| Limitar intentos de acceso | Ataques automatizados | Bajo |
| Actualizaciones al día | Vulnerabilidades conocidas | Bajo (constante) |
| Borrar plugins y temas sin uso | Puertas traseras olvidadas | Muy bajo |
| Copias de seguridad externas | Pérdida total tras un ataque | Medio (una vez) |
| SSL activado | Interceptación de datos | Bajo |
Señales de que tu web puede estar comprometida
- Aparecen páginas o enlaces que tú no has creado, sobre todo a sitios de terceros.
- Los visitantes son redirigidos a webs desconocidas.
- Tu proveedor te avisa de un uso anormal de recursos o de envío masivo de correo.
- Aparecen usuarios administradores que no reconoces.
- El navegador o el buscador muestran una advertencia de "sitio peligroso".
Si ves alguna de estas señales, cambia todas las contraseñas de inmediato, restaura una copia limpia anterior al problema y pide ayuda a tu proveedor de hosting.
Preguntas frecuentes
¿Necesito un plugin de seguridad?
No es obligatorio, pero un buen plugin de seguridad añade cortafuegos, análisis de archivos y limitación de accesos en un solo sitio. Lo esencial, en cualquier caso, son las medidas anteriores.
¿Mi web puede ser hackeada aunque sea pequeña y poco conocida?
Sí. Los ataques suelen ser automáticos y no distinguen entre webs grandes y pequeñas: buscan cualquier vulnerabilidad conocida.
¿Con qué medida empiezo si tengo poco tiempo?
Con tres: contraseñas fuertes con verificación en dos pasos, actualizaciones al día y una copia de seguridad fuera de tu hosting.
En resumen
La seguridad de WordPress no consiste en una gran solución mágica, sino en muchos hábitos pequeños: accesos bien protegidos, todo actualizado, nada innecesario instalado y copias fuera del servidor. Aplicarlos lleva una tarde, y mantenerlos, unos minutos al mes.
Fuentes y documentación oficial
- WordPress.org: guía oficial de seguridad (hardening)
- WordPress.org: cómo frenar los ataques de fuerza bruta
Ingeniero de sistemas graduado del ITLA, con más de 10 años de experiencia en programación y administración de sistemas. Trabajó 4 años como soporte TI y desde octubre de 2025 se dedica por completo al trabajo freelance, ayudando a personas y pequeños negocios con su hosting, dominios, correo y WordPress.
Más sobre mí · Escríbeme
