Cómo proteger WordPress en 10 pasos (Guía 2024)

¿Tu web en WordPress te quita el sueño por miedo a un hackeo? Es totalmente comprensible. WordPress es el sistema de gestión de contenidos (CMS) más usado del mundo, lo que lo convierte en un objetivo constante para los atacantes. Pero no te preocupes, la buena noticia es que proteger WordPress no tiene por qué ser una misión imposible ni requerir ser un experto en programación.

Con una serie de hábitos y herramientas básicas, puedes blindar tu sitio y reducir el riesgo de sustos en un 99%. En esta guía, te explico los 10 pasos esenciales para la seguridad WordPress, explicados de forma sencilla, sin tecnicismos y con acciones que puedes aplicar hoy mismo. Vamos a ello.

1. Mantén el núcleo, los temas y los plugins SIEMPRE actualizados

Esta es la regla de oro. La mayoría de los hackeos en WordPress no son por "magia", sino por vulnerabilidades conocidas en versiones antiguas de plugins o temas. Los desarrolladores publican actualizaciones constantemente para parchear esos agujeros de seguridad.

¿Cómo gestionarlo fácilmente?

Activa las actualizaciones automáticas para el núcleo de WordPress desde el archivo wp-config.php o usando un plugin de seguridad.
Revisa cada semana el escritorio de WordPress. Si ves un aviso de actualización para un plugin o tema, hazlo cuanto antes.
Elimina cualquier plugin o tema que no estés utilizando. Un plugin inactivo sigue siendo un archivo en tu servidor que puede ser explotado.

[WARNING] Si no actualizas, es como dejar la puerta de tu casa abierta con un cartel que dice "pase usted". Un plugin desactualizado es la vía de entrada favorita de los bots maliciosos.

2. Utiliza contraseñas robustas y únicas (sí, en serio)

Lo siento, pero "admin123" o "password" no valen. Las contraseñas débiles son la causa de muchos accesos no autorizados. Necesitas contraseñas largas, con combinación de mayúsculas, minúsculas, números y símbolos.

Consejos prácticos

Usa un gestor de contraseñas (como Bitwarden o 1Password) para generar y almacenar claves complejas sin tener que memorizarlas.
Nunca uses la misma contraseña para el panel de WordPress que para tu correo electrónico o redes sociales.
Cambia la contraseña de tu cuenta de administrador cada 3 o 4 meses.

Refuerzo extra: Autenticación de Dos Factores (2FA)

Aunque tengas una contraseña perfecta, un atacante podría robarla mediante phishing. Por eso, activa el 2FA. Esto añade un segundo paso: un código temporal que se envía a tu móvil o se genera en una app (como Google Authenticator). Aunque roben tu contraseña, no podrán entrar sin tu teléfono.

[TIP] Para la seguridad WordPress, el 2FA es el paso más efectivo que puedes dar hoy. Es gratis y se configura en minutos con plugins como WP 2FA o Solid Security.

3. Cambia la URL de acceso al panel de administración (wp-admin)

Por defecto, el acceso a tu panel es tudominio.com/wp-admin. Los bots atacan directamente esta URL. Una forma sencilla de evitar hackeo es "esconder" esa entrada.

¿Cómo se hace?

Puedes usar un plugin como WPS Hide Login o iThemes Security. Este tipo de herramientas te permite cambiar la URL de acceso a algo personalizado, como tudominio.com/mi-acceso-secreto.

[INFO] Esto no es una seguridad infalible, pero sí que detiene el 99% de los ataques automatizados que buscan la ruta estándar de WordPress.

4. Limita los intentos de inicio de sesión

Los atacantes usan programas que prueban miles de contraseñas por minuto (fuerza bruta). Para bloquearles, necesitas limitar el número de veces que alguien puede intentar acceder.

Configuración recomendada

Instala un plugin de seguridad WordPress como Limit Login Attempts Reloaded o Wordfence.

Establece un máximo de 3 a 5 intentos fallidos.
Bloquea la IP del atacante durante 15 minutos o más tras esos intentos.

Esto frustra cualquier intento de adivinación de contraseña.

5. Instala un plugin de seguridad completo

No necesitas tener 20 plugins de seguridad, pero sí necesitas uno bueno que actúe como un "escáner" de tu web. Un plugin de seguridad robusto es tu mejor aliado para proteger WordPress.

¿Qué debe hacer tu plugin?

Escanear malware: Revisa los archivos en busca de código malicioso.
Firewall de aplicaciones web (WAF): Bloquea tráfico sospechoso antes de que llegue a tu web.
Supervisión de archivos: Te avisa si alguien modifica un archivo importante del sistema.

Opciones recomendadas

Wordfence: Muy completo, con firewall y escáner. La versión gratuita es excelente.
Solid Security (antes iThemes): Fácil de usar, con 30+ medidas de seguridad.
Sucuri Security: Excelente para monitorización y limpieza de malware.

[TIP] No instales varios plugins de seguridad a la vez, ya que pueden entrar en conflicto entre sí. Elige uno, configúralo bien y confía en él.

6. Realiza copias de seguridad (backups) automáticas

La seguridad no solo es prevenir, sino también estar preparado para la recuperación. Si tu web es hackeada, una copia de seguridad reciente es tu salvavidas.

La regla del 3-2-1

3 copias de tus datos.
En 2 formatos diferentes (ej. en el servidor y en la nube).
1 copia fuera del sitio (en un servicio como Dropbox o Google Drive).

Herramientas para backups

Plugins como UpdraftPlus o Jetpack te permiten programar copias diarias o semanales automáticamente.

[WARNING] Si no tienes backup, estás jugando a la ruleta rusa. Un hackeo sin backup puede significar la pérdida total de tu contenido y meses de trabajo.

7. Cambia el prefijo de la base de datos

WordPress usa tablas en la base de datos con el prefijo wp_ (ej. wp_users, wp_posts). Si un atacante logra inyectar un SQL, conocer el prefijo facilita el ataque.

Cómo cambiarlo (con cuidado)

Este cambio se realiza antes de instalar o con un plugin como iThemes Security (que lo hace por ti). Si lo haces manualmente, edita el archivo wp-config.php y cambia $table_prefix = 'wp_'; a algo como $table_prefix = 'xyz_';.

[WARNING] Si cambias el prefijo manualmente en una web ya instalada, tendrás que editar también las tablas en phpMyAdmin. Si no estás seguro, usa un plugin que lo haga automáticamente.

8. Desactiva la edición de archivos desde el panel

WordPress permite a los administradores editar archivos de tema y plugins directamente desde el editor de código del panel. Si un atacante obtiene acceso a tu cuenta de administrador, podría inyectar código malicioso ahí.

Desactivar la edición

Añade esta línea a tu archivo wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );

Esto elimina el editor de archivos del panel, dificultando que un atacante pueda modificar tu código si consigue entrar.

9. Protege el archivo wp-config.php

El archivo wp-config.php contiene las claves de acceso a tu base de datos y las claves secretas de autenticación. Es el archivo más importante de tu instalación.

Protección adicional

Puedes protegerlo con contraseña a nivel de servidor. Si usas Syspanel (tu panel de control con puerto de acceso 2106), puedes configurar reglas de acceso a archivos específicos desde la sección de "Seguridad" o "Administrador de archivos".

Otra opción es moverlo un nivel por encima de la raíz de WordPress, pero eso ya es más avanzado. Al menos, asegúrate de que los permisos del archivo sean de lectura y escritura solo para el usuario (644 o 600).

[INFO] Syspanel facilita enormemente la gestión de estos permisos con su interfaz gráfica. Accede por el puerto 2106 y busca la opción de "Permisos de archivos" para poner el valor correcto.

10. Mantén un ojo en los usuarios y el panel de control

Un atacante puede intentar crear una cuenta de usuario "fantasma" para volver más tarde. Revisa periódicamente la lista de usuarios en tu panel de WordPress.

Rutina de comprobación

Ve a Usuarios > Todos los usuarios.
Verifica que solo estén las personas que conoces.
Si ves un usuario desconocido, elimínalo de inmediato.
Comprueba si algún usuario tiene rol de "Administrador" que no debería.

Preguntas Frecuentes (FAQ) sobre Seguridad WordPress

¿Es caro proteger WordPress?

No. Los 10 pasos que te he dado se pueden hacer con plugins gratuitos. La inversión de tiempo es mínima comparada con el coste de recuperar una web hackeada (que puede ser de cientos de euros y mucho estrés).

¿Cada cuánto tiempo debo hacer un escaneo de seguridad?

Con un plugin como Wordfence, puedes programar escaneos diarios automáticos. Es mejor que lo hagas al menos una vez al día si tu web tiene tráfico.

¿Qué hago si mi web ya ha sido hackeada?

No entres en pánico. Primero, restaura la copia de seguridad más reciente que tengas. Después, cambia TODAS tus contraseñas (hosting, WordPress, FTP, email). Finalmente, ejecuta un escaneo profundo con tu plugin de seguridad para limpiar cualquier resto de malware.

¿El hosting influye en la seguridad?

Muchísimo. Un buen hosting que ofrezca protección a nivel de servidor (como firewalls y monitorización) es la base. Si usas Syspanel, recuerda que el acceso a la gestión se realiza por el puerto 2106, y suele incluir herramientas de seguridad adicionales que no debes ignorar.

¿Necesito saber programar para hacer esto?

No. Todos los pasos se hacen desde el panel de WordPress o desde el panel de control de tu hosting. Solo necesitas seguir las instrucciones y ser constante.

Conclusión: La seguridad es un hábito, no un destino

Proteger WordPress no es una tarea de un solo día, sino una rutina. Al aplicar estos 10 pasos, estás construyendo un muro defensivo muy sólido. No es 100% infalible (nada lo es en internet), pero si sigues estos consejos, estarás en el top 1% de las webs más seguras.

Empieza por lo más fácil: actualiza todo, cambia tus contraseñas y activa el 2FA. La próxima semana, dedica 30 minutos a configurar un plugin de seguridad y un sistema de backups.

Tu tranquilidad y la continuidad de tu negocio dependen de ello. No lo dejes para mañana. Tu web te lo agradecerá.