Seguridad WordPress: checklist para proteger tu sitio

Seguridad WordPress: revisa todas las capas

Un sitio infectado puede enviar a un posible cliente a una estafa, cambiar tu teléfono o interferir con el pago. Las advertencias del buscador y las páginas de spam también pueden afectar cómo te encuentran y cuánto confían en ti. La seguridad forma parte del recorrido comercial que explicamos en nuestra guía de diseño web WordPress.

• Controla quién puede hacer cambios

  Cada persona debe tener su propia cuenta y solo los permisos que necesita. Incluye las cuentas de hosting, correo y dominio en la revisión.

• Protege también el servidor

  WordPress depende de un entorno más amplio. Alguien debe encargarse del sistema operativo, los accesos, el aislamiento y los procesos sospechosos.

• Conserva una vía de recuperación

  Guarda copias independientes y comprueba que se puedan restaurar. Un respaldo dentro de la misma cuenta de hosting comprometida puede perderse junto con el sitio.

Checklist de seguridad WordPress: actualiza y limpia

Mantén el núcleo de WordPress, los plugins y los temas actualizados y con soporte. Atiende pronto las correcciones de seguridad, con respaldo y pruebas según el riesgo; una revisión mensual no justifica dejar pendiente una vulnerabilidad urgente.

Elimina lo que tu negocio ya no utiliza

Anota para qué sirve cada plugin, de dónde salió y si sigue recibiendo mantenimiento; después elimina los componentes sin uso, verificando sus dependencias. Conserva un tema alternativo con soporte si tu procedimiento de recuperación lo necesita. Evita plugins y temas nulled, copias no autorizadas cuyo origen y contenido no son confiables.

Consulta nuestra guía para actualizar WordPress para organizar respaldos, staging y verificaciones. Las pruebas deben incluir lo que genera negocio: formularios, reservas, compras y acceso de clientes cuando corresponda.

define('DISALLOW_FILE_EDIT', true);

La guía oficial para reforzar WordPress explica este ajuste y el enfoque general. Gestiona los cambios legítimos de código mediante un proceso controlado, registrando qué se modificó y conservando una copia para recuperarte.

Protege cuentas, HTTPS y el firewall web

Usa contraseñas largas y únicas, guardadas en un gestor, y activa la autenticación de dos factores (2FA) para las cuentas con privilegios. Protege también el correo de recuperación: quien accede a ese buzón podría restablecer las claves de otras cuentas.

• Da solo los permisos necesarios

  Quien redacta contenido suele necesitar un perfil editorial, no de administrador. Retira las cuentas de personas que ya no colaboran, conserva la autoría del contenido y revisa los accesos temporales al terminar cada trabajo.

• Limita los intentos de acceso

  Configura límites o bloqueos con una vía de recuperación probada para tu equipo. WordPress no incluye 2FA en su núcleo; necesitas un plugin adecuado o un proveedor de identidad.

• Filtra solicitudes sospechosas

  Un firewall de aplicaciones web (WAF) puede filtrar ataques antes de que lleguen al código vulnerable. Prueba sus reglas con formularios, archivos, pagos e integraciones para que tus clientes puedan seguir usándolos.

La documentación de WordPress sobre fuerza bruta explica cómo reforzar el acceso. Extiende estos controles al panel del hosting, al registrador y al destino de los respaldos; guarda los códigos de recuperación fuera del sitio, en un lugar seguro.

Wordfence, Solid Security, Sucuri y Patchstack son opciones reales que puedes evaluar. Compara el plan vigente, la compatibilidad con tu hosting, la gestión de alertas y las responsabilidades, porque sus productos y coberturas son distintos. Instalar varias herramientas que se solapan no demuestra una mejor protección.

Lo que un plugin puede no ver en el servidor

Un plugin de seguridad suele trabajar dentro de los permisos de WordPress o PHP. No puede revisar de forma confiable todos los procesos del sistema, los archivos privados de otro sitio ni los cambios de un atacante con privilegios superiores. Pregunta quién administra el servidor, aunque el hosting se anuncie como administrado.

En un VPS, organiza los parches del sistema operativo y las actualizaciones automáticas de seguridad cuando sean apropiadas, con avisos de fallas y reinicios planificados. La documentación de Ubuntu sobre actualizaciones automáticas explica por qué hay que revisar la configuración y los reinicios. Que se haya instalado un paquete no confirma que los servicios activos ya estén usando la versión corregida.

Compara la rama PHP del sitio con las versiones con soporte de PHP y prueba una sustitución compatible en staging cuando corresponda. Para SSH, usa claves individuales, protege las claves privadas y desactiva el acceso por contraseña solo después de probar una clave funcional y una vía de recuperación.

Busca mineros y accesos persistentes

Un consumo alto y sostenido de CPU sin explicación, procesos desconocidos o tareas cron inesperadas pueden indicar un minero de criptomonedas u otra intrusión. También pueden tener causas legítimas: relaciona procesos, propietarios, tareas y registros antes de detenerlos. Los escaneos de malware y el monitoreo de registros a nivel de servidor complementan la revisión de WordPress.

WordPress hackeado: señales que debes investigar

Tu página principal puede verse normal para ti y mostrar otra cosa a quien llega desde Google o desde un teléfono. Investiga los cambios inesperados sin asumir que toda caída o lentitud significa que te hackearon.

• Spam o redirecciones

  Google muestra títulos extraños o una página de servicios lleva a otro sitio. Guarda la URL, una captura y el recorrido que produjo el problema.

• Cuentas que nadie reconoce

  Un administrador nuevo, un destinatario de correo cambiado o un permiso inexplicable requieren revisión inmediata. Confirma el cambio con quienes están autorizados a hacerlo.

• Archivos ejecutables inesperados

  PHP sin explicación en uploads o archivos del núcleo modificados pueden ser una puerta trasera. Conserva una copia y compara con archivos confiables antes de borrar.

• Alertas del hosting o de recursos

  Una suspensión, avisos de malware, correo saliente inusual o CPU alta sostenida necesitan investigación. Pide al hosting las rutas afectadas, las fechas y los registros.

WordPress hackeado: qué hacer en la primera hora

Empieza estas acciones durante la primera hora; la investigación y la recuperación pueden tomar más tiempo. Sigue las prioridades de la guía de WordPress para sitios hackeados, con una persona que coordine al hosting y al equipo técnico.

1. Paso 1

   Mantén la calma y registra lo que ves

   No borres archivos por impulso ni reinstales plugins una y otra vez. Anota las páginas afectadas, las advertencias, la hora del hallazgo y los cambios recientes; trabaja desde un dispositivo confiable y avisa al contacto responsable del negocio o la agencia.

2. Paso 2

   Contén el sitio comprometido

   Pide al hosting que restrinja el acceso público o muestre una página de mantenimiento limpia fuera de la instalación afectada. Detén de forma controlada redirecciones maliciosas, spam y tareas sospechosas; un plugin de mantenimiento puede dejar accesibles los archivos infectados.

3. Paso 3

   Conserva registros y una copia en cuarentena

   Guarda archivos, base de datos y registros de acceso, errores y autenticación antes de limpiar. Identifica esa copia como posiblemente infectada, limita el acceso y sepárala de los respaldos limpios; registra cada acción realizada.

4. Paso 4

   Protege todos los puntos de acceso

   Cambia desde un dispositivo confiable todas las contraseñas pertinentes: WordPress, hosting, SFTP, base de datos, correo y dominio. Revoca usuarios, sesiones, claves y tokens no autorizados; coordina los cambios de configuración para no romper conexiones y vuelve a cambiar los secretos después de limpiar si pudieron quedar expuestos.

5. Paso 5

   Elige restauración limpia o limpieza especializada

   Valida un respaldo anterior a la intrusión o limpia el sitio en un entorno aislado. Conserva aparte los pedidos y las consultas legítimas más recientes, y revisa archivos y datos antes de reabrir; restaurar el respaldo infectado de ayer repite el problema.

6. Paso 6

   Encuentra y cierra la vía de entrada

   Investiga software vulnerable, accesos robados y problemas del servidor; después corrige o sustituye la causa. Si el servidor fue comprometido, incluye sus usuarios, procesos y tareas programadas en la recuperación; al terminar, verifica formularios, compras y correo.

7. Paso 7

   Atiende las advertencias de Google y monitorea

   Después de eliminar el contenido dañino y corregir la causa, solicita una revisión de seguridad en Search Console si Google marcó el sitio. Documenta la reparación y vigila archivos que reaparecen, cuentas nuevas y tráfico inesperado; la revisión no garantiza una recuperación inmediata.

Consulta el informe de Problemas de seguridad de Google Search Console para entender la advertencia y los requisitos de revisión. Examina todo el alcance afectado, no solo las URL de ejemplo que muestra Google.

Eliminar malware de WordPress exige comprobar

La limpieza debe revisar archivos, contenido de la base de datos, usuarios, tareas programadas y persistencia en el servidor. Una puerta trasera permite volver a entrar después de que desaparece el problema visible; borrar una página de spam puede dejar ese acceso intacto.

wp core verify-checksums

El comando de verificación de WP-CLI compara los archivos del núcleo con las sumas de comprobación publicadas para su versión. Un resultado correcto no descarta infecciones en uploads, plugins, temas, base de datos ni sistema operativo; esas áreas se revisan por separado.

Pide un registro breve del incidente: áreas afectadas, hallazgos confirmados, reparaciones, pruebas y dudas pendientes. Eso permite dar seguimiento y ayuda a tu agencia a explicar el trabajo sin afirmar que se ha descartado cualquier amenaza posible.

Checklist mensual de seguridad WordPress

Usa esta revisión junto con el monitoreo continuo y la atención oportuna a correcciones de seguridad. Registra fecha, resultado y responsable de cada punto, con una siguiente acción para lo que quede pendiente.

Organiza la recuperación con nuestra guía de copias de seguridad WordPress y el calendario completo con la checklist de mantenimiento. Después de cambiar medidas de seguridad, comprueba la entrega con la guía de correo WordPress: el formulario también debe llegar a tu buzón.

Qué debe cubrir un servicio de seguridad WordPress

Un servicio de seguridad WordPress necesita una persona responsable de las alertas y funciones claras entre el equipo de mantenimiento y el hosting. Al comparar servicios administrados, pregunta si las revisiones del servidor, la limpieza de incidentes, los respaldos y las pruebas de recuperación están incluidos o se cotizan aparte.

Pide alcance y evidencia del trabajo

Solicita un inventario inicial, accesos acordados, responsables del monitoreo y un registro claro de lo realizado. Confirma horarios y vías de respuesta: comprometerse a contestar no equivale a garantizar un tiempo de reparación. Evita acuerdos basados en la promesa imposible de que nunca te hackearán.

Nuestro mantenimiento WordPress empieza en $250 al mes por sitio, con cotización fija por escrito antes de trabajar. Cuéntanos qué hosting usas, qué hace tu sitio y qué te preocupa desde contacto; una intrusión activa requiere evaluación y un alcance de recuperación acordado.