Es una pregunta justa, y una que todo dueño de un negocio debería hacerse antes de confiarle su sustento a un sitio web: ¿WordPress es seguro? La respuesta honesta es sí — y el matiz honesto es que la mayoría de los hackeos de WordPress no tienen nada que ver con WordPress en sí. La plataforma que hace funcionar una parte enorme de la web está bien hecha y se arregla rápido. Lo que de verdad hace que comprometan un sitio casi siempre es lo que se le agrega encima: plugins desactualizados, temas abandonados, contraseñas débiles y un hosting que deja la puerta principal abierta. Entender esa diferencia es todo el juego.
Separemos el mito de la realidad, porque “WordPress no es seguro” es una de las cosas más repetidas y menos exactas que se dicen sobre él.
Por qué WordPress hace funcionar tantos sitios web
WordPress hace funcionar aproximadamente dos de cada cinco sitios web — una escala a la que ninguna plataforma llega siendo frágil. Su software principal lo mantiene una gran comunidad mundial, los problemas de seguridad se encuentran y se arreglan rápido, y las actualizaciones salen con regularidad. Cuando la gente dice “hackearon WordPress”, casi nunca quiere decir que haya una falla en el propio WordPress. Quiere decir que algo a su alrededor se quedó sin arreglar.
Dónde está el riesgo real: los plugins y los temas
Esta es la cifra que cambia toda la pregunta. Según el informe anual de una importante empresa de seguridad de WordPress, la gran mayoría de las vulnerabilidades de WordPress están en los plugins y no en el propio WordPress — y análisis más antiguos del sector (a septiembre de 2026) suelen atribuir alrededor del 56% de los hackeos de WordPress registrados a plugins y temas vulnerables. Dicho de otro modo, el riesgo es el código que agrega, no la plataforma a la que lo agregó.
En realidad es una buena noticia, porque significa que la seguridad depende sobre todo de unos pocos hábitos que se pueden controlar, y no de una falla profunda contra la que no puede hacer nada. El patrón detrás de casi todos los sitios de negocios comprometidos es el mismo:
- Un plugin o un tema pasa meses (o años) sin actualizarse, y alguien aprovecha un agujero conocido.
- Un plugin abandonado del que el dueño se olvidó sigue instalado y sigue siendo vulnerable.
- Alguien adivina una contraseña de administrador débil o repetida, o la encuentra en una filtración de datos.
- Un hosting barato sin firewall deja que los ataques automáticos lleguen directamente hasta el sitio.
Fíjese en lo que no está en esa lista: “el propio WordPress era inseguro”. Es un patrón del sector, no un ataque concreto con nombre — el mismo puñado de puertas abiertas, una y otra vez.
Los 6 hábitos que frenan la mayoría de los ataques
1. Mantenga todo actualizado — rápido
Las actualizaciones son el hábito de seguridad más importante, porque la mayoría de los ataques apuntan a agujeros que ya estaban arreglados. El arreglo existe; el sitio simplemente nunca lo aplicó. Eso incluye a WordPress, a cada plugin y a cada tema. La razón por la que los dueños lo retrasan es el miedo a que una actualización rompa algo — un miedo que hay que tomarse en serio, y del que hablaremos más abajo.
2. Borre lo que no usa
Cada plugin y cada tema es una posible puerta, incluso desactivado. Si no lo usa, quítelo. Un plugin abandonado que nadie mantiene es una invitación permanente.
3. Use contraseñas fuertes y únicas y la verificación en dos pasos
Las contraseñas débiles y repetidas están detrás de una parte enorme de las intrusiones. Use un gestor de contraseñas, haga que cada contraseña de administrador sea larga y única, y active la verificación en dos pasos para que una contraseña robada no baste por sí sola. Defenderse de las contraseñas que ya se expusieron en filtraciones de otras empresas también importa — los atacantes prueban esas primero.
4. Ponga un firewall delante del sitio
Un firewall de aplicaciones web bloquea las solicitudes maliciosas antes de que lleguen a WordPress — los tanteos automáticos que golpean a todos los sitios de internet, todo el día. Es infraestructura, no un interruptor de un plugin, y es una de las mayores diferencias entre un sitio que se sacude los ataques y uno que no.
5. Limite los intentos de inicio de sesión
Los bots intentan adivinar contraseñas por fuerza bruta — miles de intentos. Limitar los inicios de sesión (y bloquear las IP, las direcciones de internet, que siguen insistiendo) acaba con eso y a la vez deja que un cliente real que se equivocó al escribir su contraseña lo vuelva a intentar.
6. Haga copias de seguridad externas, automáticamente
La seguridad no es solo prevención; también es recuperación. Si pasa lo peor, una copia de seguridad externa y reciente convierte una catástrofe en una molestia — vuelve a una versión limpia. Nuestra guía sobre cómo restaurar WordPress desde una copia de seguridad explica cómo hacerlo de forma segura.
El problema: la seguridad es un trabajo, y la mayoría de los dueños no pueden con todo
Vea otra vez esos seis hábitos. Por separado son sencillos. Juntos, hechos con constancia y para siempre, son un trabajo de medio tiempo — y la realidad honesta es que la mayoría de los dueños de negocios no tienen tiempo para actualizar los plugins el mismo día que sale un arreglo, vigilar las contraseñas filtradas, llevar un firewall y probar las copias de seguridad. Justo por eso hackean los sitios: no porque el dueño sea descuidado, sino porque estar al día con todo eso a mano es difícil de verdad.
Ese es el argumento real para que la plataforma donde aloja su sitio haga el trabajo de seguridad por usted.
Cómo el hosting administrado hace que WordPress sea seguro de verdad
La distancia entre “WordPress puede ser seguro” y “su sitio WordPress es seguro” la cierra casi por completo un buen hosting de WordPress administrado — porque convierte esos seis hábitos en cosas que simplemente pasan. Cada plan que administramos incluye las piezas que frenan los ataques comunes: un firewall por capas y una lista viva de atacantes conocidos filtran el tráfico malicioso antes de que llegue a su sitio, la protección contra contraseñas filtradas impide que una contraseña filtrada se use contra su inicio de sesión, y la búsqueda de malware elimina cualquier cosa que logre colarse. Las actualizaciones son automáticas — y esta es la parte que importa para el miedo que hace que la gente no actualice: cada vez que actualizamos su sitio, verificamos después que se sigue viendo y funcionando bien, así que estar al día no significa apostar a una página rota. Debajo de todo están las copias de seguridad externas 3 veces al día como red de seguridad. Es la diferencia entre una seguridad que tiene que recordar y una seguridad que simplemente está encendida.
En resumen, para dueños de negocios
Entonces — ¿WordPress es seguro? Sí. WordPress es una base sólida y confiable para el sitio web de un negocio. El riesgo nunca fue de verdad la plataforma; es el mantenimiento que la rodea, y si alguien de verdad hace ese mantenimiento. Si mantiene todo actualizado, usa un firewall, contraseñas fuertes y copias de seguridad externas, WordPress es tan seguro como cualquier plataforma de la web.
Si estar al día con todo eso usted mismo le parece más de lo que esperaba, es normal — y es justo para lo que sirve el hosting administrado. Si cree que su sitio ya puede estar comprometido, no espere: empiece por cómo arreglar un sitio WordPress hackeado, compare sus opciones con eliminación de malware en WordPress: hacerlo usted o con profesionales, o múdelo con nosotros: lo limpiamos como parte de la mudanza y lo mantenemos bien cerrado. Vea lo que incluye.