Proteger WordPress: Guía básica de seguridad en 10 pasos | Ciberseguridad

¡Hola! Soy tu técnico de soporte amigable. 🛡️

Si tienes un sitio en WordPress, seguramente has escuchado que es muy popular y, por eso, también es un blanco frecuente de ataques. Pero no te preocupes: proteger tu web no es complicado si sigues una guía clara. En este artículo, te explicaré los 10 pasos esenciales para blindar tu WordPress, incluso si no eres un experto en tecnología.

Vamos a ello. Tómate un café y ponte cómodo, que esto te va a aclarar muchas dudas.

1. Mantén todo actualizado: WordPress, plugins y temas

Esta es la regla de oro de la seguridad WordPress. Cada actualización suele incluir parches para vulnerabilidades conocidas. Si dejas versiones antiguas, estás dejando la puerta abierta.

¿Qué debes actualizar?

WordPress en sí mismo: Ve a Escritorio > Actualizaciones y haz clic en "Actualizar ahora".
Plugins: Revisa que todos estén en su última versión. Si un plugin no se actualiza desde hace meses, considera reemplazarlo.
Temas: Igual que los plugins, los temas obsoletos son un riesgo.

[TIP] Activa las actualizaciones automáticas para plugins y temas de confianza. En el panel de administración, ve a Plugins > Añadir nuevo, y busca la opción "Actualizaciones automáticas" en cada uno.

2. Usa contraseñas fuertes y únicas

Parece obvio, pero es el punto más débil de muchos sitios. No uses "admin", "123456" o "password". Tampoco uses la misma clave para el acceso a WordPress que para tu correo.

Cómo crear una contraseña segura:

Mínimo 12 caracteres.
Combina mayúsculas, minúsculas, números y símbolos.
Usa un gestor de contraseñas (como Bitwarden o 1Password) para generarlas y recordarlas.

[WARNING] Si compartes acceso con colaboradores, nunca les des tu contraseña personal. Crea usuarios separados con roles limitados (Editor, Autor, etc.).

3. Cambia el nombre de usuario "admin"

Por defecto, WordPress solía crear un usuario llamado "admin". Eso es como dejar la llave puesta en la cerradura. Los atacantes ya saben que existe y probarán contraseñas para ese nombre.

¿Cómo cambiarlo?

Crea un nuevo usuario con rol de Administrador (con un nombre único).
Inicia sesión con ese nuevo usuario.
Elimina el usuario "admin" (WordPress te preguntará a quién asignar sus contenidos; elígete a ti mismo).

4. Instala un plugin de seguridad robusto

No tienes que ser un hacker para proteger tu web. Los plugins de seguridad hacen el trabajo pesado por ti. Algunos muy recomendados (y gratuitos) son:

Wordfence: Incluye firewall, escáner de malware y bloqueo de IPs.
Sucuri Security: Excelente para monitoreo y limpieza.
iThemes Security: Ofrece 30+ medidas de seguridad configurables.

Configuración mínima recomendada:

Activar el firewall (corta tráfico malicioso).
Programar escaneos diarios de malware.
Bloquear intentos de inicio de sesión fallidos (por ejemplo, después de 3 intentos, bloquear IP por 15 minutos).

[INFO] No instales más de un plugin de seguridad a la vez, porque pueden entrar en conflicto. Elige uno y confía en él.

5. Limita los intentos de inicio de sesión

Los bots intentan miles de combinaciones de usuario/contraseña por minuto. Si no limitas los intentos, tu web es un blanco fácil.

Cómo hacerlo:

Con el plugin de seguridad que elegiste (Wordfence, por ejemplo, tiene esta opción).
O instala un plugin específico como Limit Login Attempts Reloaded.

Configúralo para que, tras 3 o 4 intentos fallidos, la IP quede bloqueada durante 15 minutos. Esto detiene el 90% de los ataques de fuerza bruta.

6. Activa la autenticación de dos factores (2FA)

La 2FA añade una capa extra: además de tu contraseña, necesitas un código temporal que se envía a tu móvil o se genera en una app como Google Authenticator.

¿Cómo implementarla?

Usa plugins como Wordfence Login Security (incluye 2FA gratuita) o Two Factor.
También puedes usar Google Authenticator con el plugin MiniOrange.

[TIP] Activa 2FA al menos para el usuario administrador y para los editores. Es un paso sencillo que multiplica la seguridad.

7. Haz copias de seguridad periódicas

Esto no evita un ataque, pero sí minimiza el daño. Si tu sitio es hackeado o se corrompe, con una copia de seguridad reciente puedes restaurarlo en minutos.

Buenas prácticas:

Programa copias diarias si actualizas contenido seguido, o semanales si es un sitio estático.
Guarda las copias en un lugar externo (Google Drive, Dropbox, o un servidor remoto).
Usa plugins como UpdraftPlus o BackupBuddy.

[WARNING] No almacenes las copias en el mismo servidor donde está tu web. Si el servidor cae, perderías todo.

8. Protege el directorio de administración (wp-admin)

El acceso al panel de administración debe ser aún más restringido. Puedes hacerlo de dos formas:

Opción A: Por IP (si tienes IP fija)

En tu panel de control (por ejemplo, en Syspanel, que se accede por el puerto 2106), busca la sección de "Seguridad" o "Protección de directorios".
Restringe el acceso a /wp-admin solo a tu IP. Así, aunque alguien tenga tu contraseña, no podrá entrar desde otra dirección.

Opción B: Con un plugin

Usa WPS Hide Login para cambiar la URL de acceso (por ejemplo, de /wp-admin a /miacceso-secreto). Esto despista a los bots.

9. Desactiva la edición de archivos desde el panel

Por defecto, WordPress permite editar archivos PHP del tema o plugins desde el editor de archivos del administrador. Si un atacante logra acceder, podría inyectar código malicioso.

Cómo desactivarlo:

Añade esta línea al archivo wp-config.php (conéctate por FTP o desde el administrador de archivos de Syspanel):

define('DISALLOW_FILE_EDIT', true);

[INFO] Esta línea no afecta a la funcionalidad de tu web, solo elimina la opción de editar archivos desde el panel. Los cambios los harás por FTP o desde el administrador de archivos.

10. Usa un certificado SSL (HTTPS)

El SSL cifra la comunicación entre tu web y los visitantes. No solo es bueno para el SEO (Google lo premia), sino que evita que datos sensibles (como contraseñas) sean interceptados.

¿Cómo activarlo?

Si tu hosting lo incluye gratis (como con Let's Encrypt), actívalo desde Syspanel (puerto 2106), en la sección "SSL/TLS".
Una vez activado, instala un plugin como Really Simple SSL para forzar que todo el tráfico use HTTPS.

[TIP] Después de activar SSL, verifica que no haya contenido mixto (archivos cargados sin HTTPS). El plugin Really Simple SSL lo hace automáticamente.

Preguntas frecuentes (FAQ)

❓ ¿Cada cuánto debo revisar la seguridad de mi WordPress?

Lo ideal es hacer una revisión mensual de actualizaciones, plugins y copias de seguridad. Además, programa escaneos automáticos con tu plugin de seguridad.

❓ ¿Qué hago si mi sitio ya fue hackeado?

No entres en pánico. Restaura una copia de seguridad limpia (anterior al ataque). Luego, cambia todas las contraseñas y actualiza todo. Si no tienes copia, contrata un servicio de limpieza (Wordfence o Sucuri ofrecen este servicio).

❓ ¿Es seguro usar plugins gratuitos?

Sí, siempre que sean de desarrolladores reconocidos y tengan buenas valoraciones. Evita plugins con pocas descargas o que no se actualicen en más de 6 meses.

❓ ¿Necesito un firewall de aplicación web (WAF)?

No es obligatorio, pero es muy recomendable. Un WAF (como el que incluye Wordfence o Cloudflare) filtra tráfico malicioso antes de que llegue a tu servidor.

❓ ¿Qué es Syspanel y por qué el puerto 2106?

Syspanel es el panel de control de tu hosting (basado en HestiaCP). Se accede escribiendo tudominio.com:2106 en el navegador. Desde ahí puedes gestionar bases de datos, archivos, SSL y más.

Resumen rápido (para los que van con prisa)

Actualiza todo (WordPress, plugins, temas).
Contraseñas fuertes y únicas.
Elimina el usuario "admin".
Instala un plugin de seguridad (Wordfence, Sucuri).
Limita intentos de inicio de sesión.
Activa 2FA.
Copia de seguridad automática.
Protege wp-admin (por IP o cambiando la URL).
Desactiva edición de archivos en el panel.
SSL activado con HTTPS forzado.

Siguiendo estos 10 pasos, tu sitio estará protegido contra el 95% de los ataques comunes. Y recuerda: la seguridad WordPress no es un evento único, es un hábito. Dedica 10 minutos al mes a revisar estos puntos y dormirás tranquilo.

Si tienes dudas, aquí estoy para ayudarte. ¡Buena suerte con tu web! 🚀