Proteger WordPress | Guía de Ciberseguridad para Principiantes

¿Por qué es crucial tener un WordPress seguro?

Tu sitio web en WordPress es como una tienda o una casa en internet. Si no pones las medidas de seguridad adecuadas, dejas la puerta abierta a cualquiera que quiera entrar a robar información, instalar malware o simplemente dañar tu trabajo. Miles de sitios WordPress son atacados cada día por bots y hackers automáticos. Pero no te preocupes, no necesitas ser un experto en informática para protegerlo. Esta guía de ciberseguridad WordPress está diseñada para que, paso a paso, puedas blindar tu sitio.

Piensa en esta guía como tu manual de instrucciones. Vamos a empezar por lo más básico y subiremos el nivel de seguridad gradualmente. Al final, te sentirás mucho más tranquilo sabiendo que tu web está protegida.

Paso 1: Elige un hosting confiable y seguro

Todo comienza desde la base. Si tu servidor de alojamiento web (hosting) es débil, por más plugins de seguridad que instales, tu sitio siempre estará en riesgo.

Busca un hosting que ofrezca:

Certificado SSL gratuito: Es el candado que ves en la barra de direcciones (https://). Cifra la información entre tu web y los visitantes.
Copias de seguridad automáticas: Asegúrate de que hagan backups diarios o semanales de tu sitio.
Cortafuegos (Firewall) a nivel de servidor: Una primera barrera que bloquea ataques antes de que lleguen a tu WordPress.
Soporte técnico rápido y experto: Por si tienes algún problema, que puedan ayudarte al instante.

[TIP] Si tu hosting usa Syspanel (antes conocido como HestiaCP), puedes acceder a su panel de control para gestionar tareas avanzadas. Normalmente, la dirección de acceso es tu-dominio.com:2106. Allí podrás ver tus backups, gestionar bases de datos y más.

Paso 2: Mantén todo actualizado

Esta es la regla de oro de la seguridad WordPress, y la más sencilla de cumplir. Los desarrolladores lanzan actualizaciones constantemente para tapar agujeros de seguridad que los hackers conocen y explotan.

¿Qué debes mantener actualizado?

El núcleo de WordPress: Cuando veas un aviso en el escritorio de que hay una nueva versión de WordPress, actualiza cuanto antes.
Los temas: Tanto el tema principal como cualquier tema hijo. Si no usas un tema, elimínalo.
Los plugins: Es el punto más crítico. Un plugin desactualizado es la puerta de entrada favorita de los atacantes. Elimina cualquier plugin que no estés utilizando.

[WARNING] Antes de cualquier actualización importante, siempre haz una copia de seguridad completa de tu sitio. Aunque es raro, a veces una actualización puede causar conflictos. Mejor prevenir que lamentar.

Paso 3: Usa contraseñas fuertes y únicas

«123456» y «admin» no son contraseñas, son invitaciones a que te hackeen. Usar contraseñas débiles es uno de los errores más comunes.

Para tu usuario administrador: Debe tener al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos. No uses tu nombre, el de tu empresa ni palabras del diccionario.
Para tu base de datos: La contraseña de la base de datos de WordPress también debe ser robusta. Si tu hosting usa Syspanel (puerto 2106), puedes generar una contraseña segura desde el panel de gestión de bases de datos.
Para tu cuenta de hosting: Igual de importante. No repitas la misma contraseña en todos lados.

[INFO] Usa un gestor de contraseñas (como LastPass, 1Password o Bitwarden) para crear y recordar todas tus contraseñas seguras. Solo tendrás que acordarte de una: la maestra.

Paso 4: Cambia el nombre de usuario «admin»

Por defecto, muchos sitios WordPress crean un usuario llamado «admin». Los hackers ya lo saben, así que ya tienen la mitad del trabajo hecho: saben cómo se llama tu usuario. Solo les falta la contraseña.

Cómo cambiarlo:

Ve a Usuarios > Añadir nuevo en tu escritorio de WordPress.
Crea un nuevo usuario con un nombre único (por ejemplo, tu nombre + unas siglas) y asígnale el rol de Administrador.
Ponle una contraseña muy segura.
Cierra sesión y vuelve a iniciar sesión con tu nuevo usuario.
Ahora, ve a Usuarios, sitúa el ratón sobre el antiguo usuario «admin» y haz clic en Eliminar. Cuando te pregunte qué hacer con sus contenidos, asígnaselos a tu nuevo usuario.

[WARNING] No elimines al usuario «admin» si es el único que tiene contenido (artículos, páginas). Siempre asigna ese contenido a otro usuario antes de borrarlo.

Paso 5: Limita los intentos de inicio de sesión

Por defecto, WordPress permite que un atacante intente adivinar tu contraseña miles de veces sin límite. Esto se llama «ataque de fuerza bruta». Para evitarlo, necesitas limitar los intentos de inicio de sesión.

Solución: Instala un plugin de seguridad que incluya esta función, como Limit Login Attempts Reloaded o Wordfence. Estos plugins bloquean automáticamente la IP de cualquier persona que falle la contraseña varias veces seguidas (por ejemplo, 3 o 4 intentos).

Paso 6: Instala un plugin de seguridad integral

Aunque los pasos manuales son muy importantes, un buen plugin de seguridad es como tener un guardia de seguridad 24/7 para tu web. Te recomiendo uno de estos dos (son los más populares y efectivos):

Wordfence: Incluye cortafuegos, escáner de malware, bloqueo de IPs y mucho más. La versión gratuita es excelente.
Sucuri Security: Otro gigante. Ofrece monitoreo de integridad de archivos, listas negras y auditoría de seguridad.

[TIP] No instales más de un plugin de seguridad de este tipo a la vez, porque pueden entrar en conflicto y ralentizar tu web. Elige uno y configúralo bien.

Paso 7: Configura copias de seguridad automáticas

Ninguna seguridad es 100% infalible. Si todo falla, tu copia de seguridad es tu salvavidas. Asegúrate de tener backups periódicos que puedas restaurar fácilmente.

¿Cómo hacerlo?

Desde tu hosting: Muchos paneles como Syspanel (accesible por el puerto 2106) permiten programar backups automáticos diarios o semanales.
Con un plugin: Instala un plugin como UpdraftPlus o BackWPup. Te permiten programar backups y guardarlos en la nube (Google Drive, Dropbox, etc.).

[INFO] Ten al menos dos copias de seguridad en lugares diferentes (por ejemplo, una en tu hosting y otra en la nube). Así, si tu servidor se cae, tienes la copia externa.

Paso 8: Protege el directorio wp-admin

El directorio /wp-admin/ es el corazón de tu WordPress. Añadir una capa extra de protección con contraseña (a nivel de servidor) es muy efectivo.

Método simple (con plugin): Algunos plugins de seguridad como Wordfence o iThemes Security ofrecen esta opción en su configuración.
Método manual (avanzado): Si tu hosting usa Syspanel, puedes ir a la sección de Protección por contraseña de directorios y proteger la carpeta wp-admin. Tendrás que crear un usuario y contraseña adicionales solo para acceder a esa carpeta.

Paso 9: Oculta la versión de WordPress

Mostrar la versión de WordPress que usas es como llevar un cartel que dice «Tengo la versión 5.8, que tiene una vulnerabilidad conocida». Los hackers escanean la web en busca de versiones antiguas.

Cómo ocultarla:

Con un plugin de seguridad (Wordfence o Sucuri suelen tener esta opción).
O añadiendo un pequeño código al archivo functions.php de tu tema hijo. Si no te sientes cómodo editando código, usa el plugin.

Paso 10: Usa un cortafuegos de aplicaciones web (WAF)

Un WAF es un filtro que se coloca entre tu web y el tráfico de internet. Analiza cada petición y bloquea las maliciosas (inyecciones SQL, cross-site scripting, etc.) antes de que lleguen a tu WordPress.

Opciones:

Cloudflare: Te ofrece un WAF gratuito y muy potente. Solo tienes que cambiar los servidores DNS de tu dominio a los de Cloudflare.
Sucuri: Su servicio de WAF es de pago, pero es uno de los mejores del mercado.
Plugins: Wordfence incluye un WAF a nivel de aplicación que también es muy bueno.

Preguntas Frecuentes (FAQ) sobre Seguridad en WordPress

¿Cada cuánto debo hacer una copia de seguridad?

Idealmente, a diario si actualizas contenido con frecuencia. Como mínimo, una vez a la semana. Programa las copias automáticas.

¿Es seguro usar la misma contraseña para todo?

No, rotundamente no. Si un hacker descubre tu contraseña de un foro, podría probarla en tu WordPress. Usa un gestor de contraseñas para tener una única para cada servicio.

¿Qué hago si mi sitio ya ha sido hackeado?

Lo primero, no entres en pánico. Cambia todas las contraseñas (WordPress, base de datos, hosting). Luego, restaura una copia de seguridad limpia de antes del ataque. Si no tienes, contacta con tu hosting o un experto en seguridad.

¿Necesito un plugin de seguridad si mi hosting ya es seguro?

Sí, un hosting seguro es la base, pero un plugin añade capas de protección específicas para WordPress que el hosting no siempre cubre (como el escaneo de archivos o la limitación de inicios de sesión).

¿Cómo sé si mi WordPress está actualizado?

En tu escritorio de WordPress, verás un banner en la parte superior si hay actualizaciones disponibles. También puedes ir a Escritorio > Actualizaciones para ver el estado de cada componente.

Conclusión: La seguridad es un proceso, no un destino

Proteger tu WordPress no es algo que se hace una vez y se olvida. Es un hábito, una rutina. Si sigues estos 10 pasos, habrás cerrado el 99% de las puertas por las que un atacante podría colarse.

Empieza hoy mismo con los pasos más sencillos: actualiza todo, cambia tu contraseña y configura las copias de seguridad. No dejes la seguridad de tu web para mañana. Un sitio WordPress seguro es un sitio que te da tranquilidad y que tus visitantes agradecerán. ¡Manos a la obra!