Si su negocio funciona con un sitio WordPress, su seguridad no es una nota al pie de informática — es la diferencia entre un martes normal y una semana limpiando un ataque. La buena noticia es que la mayor parte de lo que mantiene seguro un sitio es aburrido, repetible y bien conocido. Esta lista de seguridad de WordPress lo recorre en palabras sencillas, desde lo básico que puede hacer esta misma tarde hasta la protección permanente que funciona sin ruido de fondo. Recórrala de arriba abajo y cerrará las puertas que de verdad usan los atacantes.
La ordenamos como de verdad abordaríamos un sitio: primero los inicios de sesión, después lo que deja entrar los ataques, después las redes de seguridad y después el trabajo continuo. Al final, seremos honestos sobre qué partes requieren de verdad que meta las manos y cuáles simplemente le quita de encima un proveedor administrado.
1. Proteja cómo inicia sesión la gente
La puerta principal es la pantalla de inicio de sesión, y es donde empieza una gran parte de los ataques. Refuércela primero:
- Use contraseñas fuertes y únicas en cada cuenta de administrador — nunca una contraseña que haya reutilizado en otro lado.
- Active la verificación en dos pasos en las cuentas de administrador y de editor. Una contraseña robada por sí sola no debería bastar para entrar.
- Evite el nombre de usuario “admin”. Un nombre de usuario predecible es la mitad de la adivinanza del atacante ya hecha.
- Revise las contraseñas filtradas. Los datos de acceso filtrados en las brechas de otras empresas se prueban constantemente en los inicios de sesión de WordPress. Bloquear las contraseñas que se sabe que se filtraron lo corta antes de que empiece.
- Limite y frene los intentos de inicio de sesión para que los intentos automáticos de adivinar se frenen en lugar de seguir sin límite.
Los intentos de fuerza bruta y de relleno de credenciales son implacables y automáticos, y justo por eso esto va arriba de todo. Profundizamos en esa amenaza concreta en la protección de WordPress contra la fuerza bruta y del inicio de sesión, explicada.
2. Mantenga todo actualizado — esta es la grande
Si hace una sola cosa de esta lista, haga esta. A 2026, los investigadores de seguridad calculan una y otra vez que alrededor del 56% de los hackeos de WordPress vienen de plugins y temas vulnerables — código desactualizado con un arreglo ya publicado que simplemente no se aplicó a tiempo. Actualizar no es una tarea de limpieza; es la tarea de seguridad con mayor impacto que tiene.
- Actualice pronto WordPress, los plugins y los temas cada vez que salen arreglos.
- Borre todo lo que no use. Los plugins y temas inactivos siguen teniendo vulnerabilidades. Inactivo no significa inofensivo — significa que nadie lo vigila.
- Instale plugins y temas solo de fuentes de buena reputación, y compruebe que tengan un mantenimiento activo antes de depender de ellos.
- Verifique el sitio después de cada actualización. Las actualizaciones a veces rompen diseños o funciones, así que confirme que el sitio se siga viendo y funcionando bien en lugar de darlo por hecho.
Ese último punto importa más de lo que parece. Aplicar actualizaciones a ciegas cambia un riesgo por otro, y por eso “aplicadas y verificadas” es el estándar que vale la pena exigirle a su proveedor.
3. Reduzca su superficie de ataque
Cada cuenta, cada plugin y cada camino abierto es una cosa más que defender. Quite lo que no necesita:
- Dele a cada persona el mínimo acceso que necesita. No todo el mundo tiene que ser administrador — la mayoría de los colaboradores pueden ser autores o editores.
- Quite las cuentas de usuario viejas de las personas que ya no están. Las cuentas dormidas son una de las entradas favoritas.
- Mantenga una cantidad sensata de plugins. Menos plugins significa menos piezas que actualizar y menos lugares donde puede esconderse un fallo.
- Desactive o cierre XML-RPC (una vieja función de acceso remoto) y otras puertas traseras antiguas si no las necesita — son blancos comunes de abusos automáticos.
4. Ponga una protección de verdad delante del sitio
Todo lo anterior refuerza el propio sitio. Esta capa frena el tráfico malicioso antes de que llegue a su instalación de WordPress:
- Un firewall en primera línea. Un firewall por capas filtra las peticiones claramente maliciosas — el fisgoneo en busca de puntos débiles, los intentos de entrar, la basura — antes de que toquen su servidor.
- Una lista compartida de atacantes conocidos. Significa que una computadora a la que pillaron atacando otros sitios ya está bloqueada antes de intentarlo con el suyo.
- Bloqueo de los bots basura y de los bots de IA que copian, para evitar que los rastreadores agresivos machaquen su sitio y copien su contenido.
- HTTPS en todas partes, siempre válido. Un SSL que se renueva solo significa que el candado nunca caduca. Un certificado caducado rompe la confianza y, en una tienda, rompe las ventas.
5. Tenga una red de seguridad que de verdad funcione
Dé por hecho que algo va a salir mal tarde o temprano, y asegúrese de que un mal día sea solo una restauración:
- Haga copias de seguridad a diario, y guárdelas fuera. Una copia en el mismo servidor que el sitio se puede perder junto con el sitio. Lo importante es que sea externa.
- Asegúrese de que las copias estén vigiladas. Una copia que nunca prueba es una suposición. Tiene que estar de verdad ahí cuando va a buscarla.
- Busque malware de forma continua para que una infección se detecte pronto en lugar de que la descubra un cliente o Google.
- Vigile la disponibilidad para que una caída la detecte el monitoreo, no un correo de un visitante frustrado.
6. Conozca su plan de respuesta antes de necesitarlo
Si pasa lo peor, la calma y el orden le ganan al pánico. Tenga claro de antemano dónde están sus copias de seguridad, a quién llamar y la secuencia básica: contener, analizar, limpiar, cerrar la entrada y recuperar su reputación con Google si le marcaron. Lo explicamos paso a paso en cómo arreglar un sitio WordPress hackeado para que no esté improvisando en plena emergencia.
Lo que resuelve por usted un proveedor administrado
Esta es la parte honesta de esta lista. El dueño decidido de un negocio puede hacer todo lo anterior — pero “puede” y “lo hará, cada semana, para siempre” son cosas distintas. Sobre todo las actualizaciones tienen que hacerse a tiempo y con constancia, y la mayoría de los dueños entran unas pocas veces al año, no unas pocas veces a la semana. Esa distancia es justo donde los sitios se quedan meses atrasados en arreglos de seguridad sin que nadie se dé cuenta.
Para esto es el hosting administrado. En nuestros planes, los puntos permanentes de esta lista se hacen automáticamente. Un firewall por capas y una lista viva de atacantes conocidos frenan el tráfico malicioso antes de que le llegue, detrás trabajan la búsqueda y eliminación continua de malware y la protección del inicio de sesión contra contraseñas filtradas, y las actualizaciones de WordPress, de los plugins y de los temas se aplican y se verifican — con revisiones reales de antes y después, para que una actualización nunca rompa el sitio sin hacer ruido. También vienen incluidas las copias de seguridad externas 3 veces al día que vigilamos, el monitoreo de disponibilidad, el HTTPS que se renueva solo, el ajuste de velocidad y la entrega rápida en todo el mundo. Para ser precisos sobre lo que es: no es una vigilancia visual píxel por píxel las 24 horas — es una verificación real en el momento en que las cosas de verdad se rompen, que es cuando tocamos el sitio.
Si prefiere no cargar con esta lista usted mismo, esa es toda la idea. Si todavía está pensando si un plugin puede cubrir la brecha, lea después ¿necesita un plugin de seguridad para WordPress? — la respuesta depende mucho de lo que ya hace su proveedor. Y si quiere entender por qué se comprometen los sitios en primer lugar, por qué hackean los sitios WordPress acompaña a este artículo.
Haga lo básico, y deje que el resto funcione solo
La seguridad no es un truco ingenioso. Es una lista corta de hábitos poco vistosos hechos con constancia — inicios de sesión fuertes, actualizaciones a tiempo, un firewall de verdad y copias de seguridad en las que pueda confiar. Haga las partes en las que hay que meter las manos, y deje que un buen proveedor lleve las permanentes. Eche un vistazo a nuestros planes de WordPress administrado para ver toda la lista resuelta por un solo precio fijo, con soporte a cualquier hora cuando algo se sienta raro.