Cómo proteger WordPress con un plugin de seguridad (Wordfence)

¿Por qué necesitas un plugin de seguridad como Wordfence?

Si tienes un sitio web en WordPress, probablemente ya sepas que es el gestor de contenidos más popular del mundo. Esa popularidad lo convierte en un objetivo constante para ataques informáticos. No es cuestión de si te van a atacar, sino de cuándo. Por eso, instalar un plugin seguridad WordPress de calidad no es un lujo, es una necesidad básica.

Wordfence es, sin duda, uno de los plugins de seguridad más completos y confiables que existen. No solo bloquea ataques, sino que te da una visión clara de lo que pasa en tu sitio. Lo mejor es que tiene una versión gratuita muy potente, ideal para sitios pequeños y medianos. En esta guía, te voy a explicar paso a paso cómo configurarlo para proteger WordPress de forma efectiva, incluso si no eres un experto en tecnología.

Piensa en Wordfence como un guardia de seguridad para tu web. No duerme, no se distrae y siempre está atento a cualquier movimiento extraño. Con él, podrás dormir tranquilo sabiendo que tu contenido, tus clientes y tu esfuerzo están a salvo.

Primeros pasos: Instalación y configuración inicial

Instalar el plugin desde el repositorio de WordPress

El proceso de instalación es muy sencillo. No necesitas ser un programador ni nada parecido. Solo tienes que seguir estos pasos:

1. Accede a tu panel de administración de WordPress (normalmente en tuwpadmin.com/wp-admin).
2. En el menú lateral, busca la opción Plugins y haz clic en Añadir nuevo.
3. En el buscador, escribe "Wordfence".
4. Aparecerá el plugin con el nombre completo "Wordfence Security – Firewall & Malware Scan". Haz clic en Instalar ahora.
5. Una vez instalado, el botón cambiará a Activar. Haz clic en él.

¡Listo! Ya tienes Wordfence activo. Ahora toca configurarlo bien para que haga su trabajo de la mejor manera posible.

Conectar con la licencia gratuita (o de pago)

Al activarlo, Wordfence te pedirá que introduzcas una clave de licencia. No te asustes, puedes usar la versión gratuita perfectamente.

1. Se abrirá una pantalla de bienvenida. Busca la opción que dice "Get Your Free License Key" (Obtén tu clave de licencia gratuita).
2. Haz clic en el botón que dice "Continue" (Continuar).
3. Se te pedirá tu correo electrónico. Lo usan para enviarte el código de activación.
4. Revisa tu bandeja de entrada y copia el código que te envíen.
5. Pega ese código en el campo correspondiente y haz clic en "Activate" (Activar).

A partir de este momento, tu sitio está bajo la protección de Wordfence. Te recomiendo que, si tienes un negocio online o manejas información sensible, consideres la versión premium más adelante, pero para empezar, la gratuita es más que suficiente.

Configurando el Firewall (Cortafuegos) de Wordfence

El firewall es la primera línea de defensa. Es como el portero de una discoteca que decide quién entra y quién no. Wordfence lo configura automáticamente, pero podemos mejorarlo para que sea aún más estricto.

Activar el firewall en modo extendido

Por defecto, Wordfence funciona en modo básico. Esto es bueno, pero el modo extendido es mucho mejor porque analiza el tráfico antes de que llegue siquiera a WordPress.

1. Ve a la sección Wordfence en tu menú lateral y haz clic en Firewall.
2. Verás un mensaje que dice que el firewall está en modo básico. Busca el botón que dice "Enable Extended Protection" (Activar protección extendida).
3. Al hacer clic, Wordfence te pedirá que configures tu servidor. Verás diferentes opciones como "NGINX", "Apache" o "Syspanel". Si tu hosting usa Syspanel, recuerda que el acceso a su panel es a través del puerto 2106. Selecciona la opción que corresponda a tu proveedor de hosting.
4. Sigue las instrucciones que te da el plugin. Normalmente solo tienes que copiar y pegar un código en un archivo llamado .htaccess o nginx.conf. No te preocupes, el propio plugin te da el código y te indica dónde pegarlo.

[INFO] Si no sabes qué tipo de servidor usas, contacta con tu proveedor de hosting. Ellos te lo dirán en menos de un minuto. Es importante hacer este paso para una protección óptima.

Una vez activado el modo extendido, el firewall de Wordfence bloqueará muchísimos ataques antes de que lleguen a tu sitio. Esto reduce la carga en tu servidor y aumenta la seguridad.

Ajustar las reglas del firewall

Wordfence ya viene con un montón de reglas predefinidas, pero puedes ajustar algunas opciones:

1. Dentro de la sección Firewall, busca la pestaña "All Firewall Options" (Todas las opciones del firewall).
2. Aquí puedes cambiar cosas como:
   • "Rate Limiting": Esto limita la velocidad a la que los usuarios pueden hacer peticiones a tu web. Es muy útil para evitar ataques de fuerza bruta. Actívalo y pon un límite razonable, como 120 peticiones por minuto.
   • "Block countries": Si tu web es solo para un país o región, puedes bloquear el acceso de otros países. Esto reduce mucho el tráfico malicioso.
   • "404 Detection": Actívalo para que Wordfence bloquee a los bots que buscan archivos inexistentes en tu web, algo típico de los ataques.

No te agobies con todas las opciones. Empieza con las que te he mencionado y ve ajustándolas según veas el comportamiento de tu web.

Escaneo de malware y archivos infectados

Esta es una de las funciones más importantes de Wordfence. Es como un médico que revisa tu sitio en busca de virus y enfermedades.

Ejecutar tu primer escaneo

1. Ve a la sección Wordfence y haz clic en Scan (Escaneo).
2. Haz clic en el botón "Start New Scan" (Iniciar nuevo escaneo).
3. El plugin empezará a revisar todos los archivos de tu sitio, la base de datos y los temas y plugins instalados.
4. El primer escaneo puede tardar un poco, especialmente si tu web tiene muchas páginas o archivos. No cierres la pestaña del navegador mientras se ejecuta.

Al terminar, verás un informe con los resultados. Es normal que aparezcan algunas alertas, sobre todo de archivos modificados. No te asustes. Muchas veces son cambios legítimos que hizo WordPress o algún plugin.

Entender los resultados del escaneo

Wordfence clasifica los resultados con colores:

• Verde (OK): Todo está perfecto.
• Amarillo (Warnings): Son avisos, como archivos que han sido modificados pero que no son necesariamente maliciosos. Debes revisarlos.
• Rojo (Critical): Son problemas graves, como malware detectado o archivos infectados. Debes actuar de inmediato.

Si encuentras algo en rojo, Wordfence te dará la opción de "Repair" (Reparar) o "Delete" (Eliminar) el archivo. Te recomiendo que uses la opción de reparar primero. Si no funciona, entonces elimina el archivo.

[WARNING] Antes de eliminar cualquier archivo, asegúrate de tener una copia de seguridad reciente de tu sitio. Así, si algo sale mal, podrás restaurarlo.

Configurar la autenticación de dos factores (2FA)

La autenticación de dos factores es una capa extra de seguridad para tu panel de administración. No solo te pide la contraseña, sino también un código que se genera en tu teléfono. Es como una llave doble para entrar en tu casa.

Activar 2FA para tu cuenta de administrador

1. Ve a la sección Wordfence y haz clic en Login Security (Seguridad de inicio de sesión).
2. Busca la opción "Two-Factor Authentication" (Autenticación de dos factores).
3. Haz clic en "Activate" (Activar) junto a tu nombre de usuario.
4. Wordfence te mostrará un código QR. Necesitas una aplicación de autenticación en tu teléfono, como Google Authenticator o Authy.
5. Abre la app en tu teléfono, escanea el código QR y te aparecerá un código de 6 dígitos.
6. Introduce ese código en el campo que te pide Wordfence para verificar que todo funciona.

A partir de ahora, cada vez que intentes iniciar sesión en WordPress, después de poner tu contraseña, te pedirá el código de tu teléfono.

Forzar 2FA para todos los usuarios

Wordfence te permite obligar a todos los usuarios con permisos de administrador a usar 2FA. Esto es genial si tienes un equipo de trabajo.

1. En la misma sección de Login Security, busca la opción "Force 2FA for user roles".
2. Marca la casilla para los roles que quieras, como "Administrator".
3. Guarda los cambios.

De esta manera, te aseguras de que ningún administrador tenga una cuenta vulnerable con solo una contraseña.

Bloquear países y direcciones IP maliciosas

Wordfence tiene una base de datos gigante de direcciones IP que son conocidas por hacer ataques. El firewall ya las bloquea automáticamente, pero puedes añadir más reglas manualmente.

Bloquear países específicos

Si tu web es local, bloquear el acceso desde otros países es una medida de seguridad excelente.

1. Ve a la sección Wordfence y haz clic en Firewall.
2. En el menú superior, busca la pestaña "Blocking" (Bloqueo).
3. Haz clic en "Country Blocking" (Bloqueo por país).
4. Selecciona los países que quieres bloquear de la lista y haz clic en "Block" (Bloquear).

[TIP] Ten cuidado con esto. Si bloqueas un país por error, podrías dejar a clientes o visitantes legítimos fuera de tu web. Revisa bien la lista antes de guardar.

Añadir direcciones IP a la lista negra

Si ves en los registros de Wordfence una IP que te está dando problemas, puedes bloquearla manualmente.

1. En la sección de Blocking, busca la opción "IP Blocking" (Bloqueo de IP).
2. Escribe la dirección IP que quieres bloquear.
3. Selecciona el motivo (por ejemplo, "Ataque de fuerza bruta").
4. Elige la duración del bloqueo (puede ser permanente).
5. Haz clic en "Block" (Bloquear).

Configuración de alertas y notificaciones

Wordfence puede enviarte alertas por correo electrónico cuando algo importante sucede. Así estarás al tanto de la seguridad de tu sitio sin tener que entrar a mirar constantemente.

Activar alertas por correo

1. Ve a la sección Wordfence y haz clic en Dashboard (Panel de control).
2. Busca la pestaña "Options" (Opciones) en la parte superior.
3. Aquí verás una sección de "Alert Options" (Opciones de alerta).
4. Marca las casillas que te interesen. Te recomiendo activar al menos:
   • "Se ha bloqueado un ataque de fuerza bruta".
   • "Se ha detectado malware".
   • "El escaneo ha terminado".
5. Introduce tu correo electrónico en el campo de notificaciones y guarda los cambios.

Preguntas frecuentes (FAQ)

¿Wordfence ralentiza mi sitio web?

Es una pregunta muy común. La respuesta es que, si se configura bien, el impacto en el rendimiento es mínimo. El firewall en modo extendido es muy eficiente. Además, puedes programar los escaneos para que se ejecuten en horas de poco tráfico, como a las 3 de la madrugada.

¿La versión gratuita es suficiente para proteger WordPress?

Para la gran mayoría de sitios web personales y de pequeñas empresas, sí. La versión gratuita de Wordfence incluye el firewall, el escáner de malware, el bloqueo de IPs y la autenticación de dos factores. La versión premium añade funciones como la autenticación en tiempo real y soporte prioritario.

¿Qué hago si Wordfence detecta malware en mi sitio?

No entres en pánico. Sigue estos pasos:

1. Pon tu sitio en modo mantenimiento para que los visitantes no vean nada raro.
2. Revisa el informe de Wordfence y usa la opción "Repair" en los archivos infectados.
3. Cambia todas tus contraseñas: la de WordPress, la de tu hosting, la de la base de datos y la del correo electrónico.
4. Si no puedes solucionarlo, contacta con tu proveedor de hosting. Muchos tienen servicios de limpieza de malware.

¿Puedo usar Wordfence si mi hosting es Syspanel?

Por supuesto. Wordfence funciona perfectamente en cualquier hosting que soporte PHP y MySQL. Para activar el firewall en modo extendido, solo necesitas saber si tu servidor es Apache o NGINX. Si tu hosting usa Syspanel, recuerda que el puerto de acceso al panel es el 2106, pero esto no afecta a la instalación de Wordfence.

¿Cada cuánto tiempo debo ejecutar un escaneo?

Te recomiendo que configures Wordfence para que haga un escaneo automático al menos una vez al día. Puedes programarlo desde la sección de Scan Options (Opciones de escaneo). También puedes hacer escaneos manuales cuando vayas a hacer cambios importantes en tu web.

Conclusión

Proteger WordPress con un plugin de seguridad como Wordfence es una de las mejores inversiones de tiempo que puedes hacer para tu sitio web. No es complicado, y los pasos que te he mostrado son suficientes para tener una base sólida de seguridad.

Recuerda que la seguridad web es un proceso continuo. No basta con instalar el plugin y olvidarte. Debes revisar los informes, mantener WordPress, los temas y los plugins actualizados, y hacer copias de seguridad regularmente. Con Wordfence y estos hábitos, tu sitio estará muy bien protegido contra la mayoría de las amenazas comunes.

No esperes a que ocurra un desastre para actuar. Tómate un tiempo hoy para configurar Wordfence y duerme tranquilo sabiendo que tu web está en buenas manos. Es un pequeño esfuerzo que te ahorrará muchos dolores de cabeza en el futuro.