10 consejos de seguridad para WordPress | Protege tu web

¿Por qué es tan importante proteger WordPress?

WordPress es el motor de más del 40% de los sitios web en el mundo. Es una plataforma increíblemente potente y flexible, pero su popularidad también lo convierte en un objetivo constante para los atacantes. Cada día se registran miles de intentos de intrusión en sitios basados en WordPress, y muchos de ellos tienen éxito porque los propietarios descuidan la seguridad básica.

La buena noticia es que proteger WordPress no requiere ser un experto en informática. Con una serie de hábitos sencillos y las herramientas adecuadas, puedes reducir drásticamente el riesgo de que tu web sea hackeada. En esta guía, te voy a dar 10 consejos esenciales de seguridad, explicados paso a paso, para que puedas implementarlos sin miedo a romper nada.

Piensa en la seguridad como en el seguro de tu casa: no esperas a que te roben para contratarlo, ¿verdad? Pues con tu web es igual. La prevención es la clave para ahorrarte un gran dolor de cabeza (y mucho dinero) en el futuro.

Consejo 1: Mantén el núcleo, los temas y los plugins siempre actualizados

Este es, sin duda, el consejo número uno en cualquier lista de consejos seguridad. Las actualizaciones de WordPress, sus temas y sus plugins no solo añaden funciones nuevas, sino que, lo más importante, corrigen vulnerabilidades de seguridad que los hackers conocen y explotan.

¿Cómo funciona esto?

Cuando los desarrolladores encuentran un fallo de seguridad, publican una actualización. Si tú no la instalas, tu web queda expuesta. Los bots que escanean internet buscan precisamente sitios con versiones desactualizadas.

Pasos para mantenerlo todo al día:

Activa las actualizaciones automáticas para las versiones menores del núcleo de WordPress (lo encontrarás en Escritorio > Actualizaciones).
Revisa semanalmente si hay actualizaciones disponibles para tus plugins y temas.
Antes de actualizar, haz una copia de seguridad (te explico cómo en el siguiente punto). Así, si algo falla, puedes retroceder.
Elimina los plugins y temas que no uses. Un plugin inactivo pero desactualizado es una puerta de entrada abierta.

[WARNING] Nunca utilices versiones "nulled" o piratas de temas y plugins. Suelen contener código malicioso inyectado que puede dar control total de tu web a terceros.

Consejo 2: Realiza copias de seguridad automáticas y frecuentes

Una copia de seguridad es tu red de seguridad. Si todo lo demás falla y tu web es comprometida, una copia reciente te permite restaurarla en cuestión de minutos. Sin ella, podrías perder todo tu contenido, diseño y datos de clientes para siempre.

¿Qué debes respaldar?

Debes guardar dos cosas: la base de datos (donde están tus artículos, comentarios y ajustes) y los archivos del sitio (temas, plugins, imágenes, etc.).

¿Cómo hacerlo fácil?

Usa un plugin de seguridad que automatice este proceso, como UpdraftPlus o BackupBuddy.
Configura copias diarias o semanales dependiendo de la frecuencia con la que publiques contenido.
Guarda las copias en un lugar externo a tu hosting, como Google Drive, Dropbox o un servidor FTP de Amazon S3. Si tu servidor se cae, perderías también las copias si están guardadas en él.
Prueba la restauración de vez en cuando. No quieres descubrir que tus copias están corruptas justo cuando más las necesitas.

[TIP] Al menos una vez al mes, descarga una copia de seguridad manual y guárdala en tu ordenador personal o en un disco duro externo.

Consejo 3: Utiliza contraseñas robustas y únicas

Parece obvio, pero sigue siendo una de las principales causas de hackeos. Contraseñas débiles como "123456" o "admin" son la primera puerta que prueban los atacantes mediante ataques de fuerza bruta.

La regla de oro:

Cada cuenta (administrador, editor, acceso al hosting, acceso a la base de datos) debe tener una contraseña larga, compleja y completamente diferente.

Cómo crear y gestionar contraseñas seguras:

Usa un gestor de contraseñas como LastPass, 1Password o Bitwarden. Ellos generan y almacenan contraseñas aleatorias imposibles de adivinar. Tú solo necesitas recordar una maestra.
Evita usar palabras del diccionario, nombres propios o fechas de nacimiento.
Cambia las contraseñas de tu panel de administración cada 3 o 6 meses.
No compartas nunca tu contraseña por correo electrónico o mensajería instantánea.

Consejo 4: Cambia el nombre de usuario "admin"

Por defecto, WordPress crea un usuario llamado "admin". Los atacantes ya saben que existe y solo tienen que adivinar la contraseña. Al cambiar este nombre de usuario, ya estás eliminando la mitad del problema.

Pasos para cambiarlo:

Ve a Usuarios > Todos los usuarios.
Crea un nuevo usuario con el rol de Administrador y un nombre de usuario difícil de adivinar.
Cierra la sesión de tu usuario actual.
Inicia sesión con el nuevo usuario que acabas de crear.
Ve a Usuarios > Todos los usuarios, selecciona el usuario "admin" y elimínalo. WordPress te preguntará a quién asignar su contenido. Elígelo a ti (el nuevo usuario).

[WARNING] No intentes cambiar el nombre de usuario directamente en la base de datos si no tienes experiencia. Es más fácil y seguro seguir el método de crear un nuevo usuario y eliminar el viejo.

Consejo 5: Limita los intentos de inicio de sesión

Los ataques de fuerza bruta consisten en probar miles de combinaciones de usuario y contraseña por minuto. Limitar el número de intentos fallidos es una barrera muy efectiva contra esto.

La solución:

Instala un plugin de seguridad como Wordfence, iThemes Security o Limit Login Attempts Reloaded.

Qué hace este tipo de plugin:

Bloquea la IP después de un número determinado de intentos fallidos (por ejemplo, 3).
Añade un retraso entre intentos, lo que ralentiza enormemente a los atacantes.
Te avisa por correo electrónico cuando alguien intenta acceder sin éxito.
Opcionalmente, puede enviarte un código por correo para el inicio de sesión (autenticación de dos factores).

Consejo 6: Cambia la URL de acceso al administrador (wp-admin)

La ruta por defecto para acceder al panel de control es /wp-admin y a la pantalla de login es /wp-login.php. Todos los hackers lo saben. Cambiar esta URL añade una capa de "seguridad por oscuridad" que, aunque no es infalible, disuade a la mayoría de los ataques automatizados.

Cómo hacerlo:

Usa un plugin como WPS Hide Login.
Al activarlo, te pedirá que definas una nueva ruta, por ejemplo, /mi-acceso-privado.
A partir de ese momento, la URL de acceso será tudominio.com/mi-acceso-privado.
Si alguien intenta acceder a wp-login.php, recibirá un error 404 (página no encontrada), lo que confundirá a los bots.

[TIP] Combina este consejo con el anterior (limitar intentos) para una protección mucho más sólida.

Consejo 7: Activa la autenticación de dos factores (2FA)

La autenticación de dos factores es como tener una doble cerradura en la puerta. Aunque alguien robe tu contraseña, no podrá entrar sin el segundo código de seguridad.

¿Cómo funciona?

Instala un plugin como Wordfence Login Security o Google Authenticator.
Al activarlo, además de tu usuario y contraseña, te pedirá un código de 6 dígitos que se genera en tu móvil cada 30 segundos.
Este código se genera en una app como Google Authenticator o Authy, o se envía por SMS/correo.

¿Por qué es clave?

Porque tus contraseñas pueden ser robadas por un virus en tu ordenador o por una página de phishing (una web falsa que imita a la tuya). Con el 2FA, incluso con la contraseña robada, el atacante se queda fuera.

Consejo 8: Instala un plugin de seguridad de confianza

Un buen plugin de seguridad es tu "guardia de seguridad" personal para WordPress. No solo te ayuda con los puntos anteriores, sino que además escanea tu web en busca de malware y archivos maliciosos.

Los más recomendados:

Wordfence Security: Es uno de los más completos. Incluye firewall (cortafuegos), escáner de malware, bloqueo de IPs y limitación de intentos de login. Tiene versión gratuita muy potente.
iThemes Security: Ofrece más de 30 medidas de seguridad, incluyendo copias de seguridad, 2FA y detección de cambios en archivos.
Sucuri Security: Además del plugin, es famoso por su servicio de limpieza de malware (de pago). El plugin gratuito es un buen escáner.

Qué debes configurar:

Activa el escaneo automático (diario o semanal).
Activa el firewall si tu plugin lo ofrece.
Revisa el panel de "Registros" de vez en cuando para ver qué intentos de acceso se han bloqueado.

[INFO] No instales demasiados plugins de seguridad a la vez. Pueden entrar en conflicto entre ellos y ralentizar tu web. Elige uno bueno y confía en él.

Consejo 9: Protege el archivo `wp-config.php` y la carpeta `wp-content`

El archivo wp-config.php es el corazón de WordPress. Contiene las claves de acceso a tu base de datos. Si un atacante lo lee, tiene el control total de tu web.

Medidas de protección:

Mover el archivo wp-config.php a un directorio superior al de tu instalación (por ejemplo, si WordPress está en public_html, muévelo a public_html/../). WordPress lo busca ahí automáticamente.
En tu panel de control del hosting (como Syspanel, que es el panel que usamos y al que se accede por el puerto 2106), busca la opción de "Proteger archivos" o "Permisos". Cambia los permisos de wp-config.php a 400 o 440 para que solo sea legible por el servidor y no por los visitantes.
Desactiva la edición de archivos desde el panel de WordPress. Añade esta línea a tu archivo wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Esto impide que un atacante que haya accedido al panel pueda modificar los archivos de tus temas o plugins.

Consejo 10: Elige un buen hosting y usa HTTPS

La base de todo es un buen servicio de hosting. Un hosting que se preocupa por la seguridad del servidor es tu primera línea de defensa.

¿Qué buscar en un hosting?

Cortafuegos a nivel de servidor.
Protección contra ataques DDoS.
Copias de seguridad automáticas incluidas en tu plan.
Soporte técnico 24/7 que responda rápido.

Y lo más importante: Activa el HTTPS

HTTPS es el protocolo seguro que cifra la comunicación entre el navegador del visitante y tu servidor. Sin él, cualquier dato (como contraseñas o datos de tarjetas) viaja en texto plano y puede ser interceptado.

La mayoría de los hostings ofrecen certificados SSL gratuitos a través de Let's Encrypt.
En Syspanel (puerto 2106), normalmente puedes activar el SSL con un clic en la sección de "Dominios" o "Seguridad".
Una vez activado, instala un plugin como Really Simple SSL para forzar que todo el tráfico se redirija a la versión https:// de tu web.

[WARNING] Si tu web no tiene HTTPS, los navegadores como Chrome la marcarán como "No segura", lo que ahuyentará a tus visitantes y dañará tu posicionamiento SEO.

Preguntas frecuentes (FAQ)

¿Con qué frecuencia debo hacer copias de seguridad?
Depende de la actividad de tu web. Si publicas a diario, hazlas a diario. Si publicas una vez al mes, una copia semanal es suficiente. Lo importante es que sean automáticas y que las pruebes.

¿Qué hago si mi web ya ha sido hackeada?
Primero, no entres en pánico. Contacta con tu proveedor de hosting inmediatamente. Luego, cambia todas tus contraseñas (las de WordPress, las del hosting y las de la base de datos). Revisa tus copias de seguridad y restaura la más reciente y limpia que tengas. Considera contratar un servicio de limpieza de malware como el de Sucuri si la infección es compleja.

¿Los plugins de seguridad ralentizan mi web?
Pueden tener un pequeño impacto, pero es mínimo en comparación con el riesgo que evitas. Un plugin mal configurado puede causar más problemas. Elige uno ligero y bien codificado y configura sus funciones de escaneo para que se ejecuten en horas de bajo tráfico.

¿Es suficiente con tener un solo plugin de seguridad?
Sí, es más que suficiente. Un buen plugin de seguridad (como Wordfence) cubre la mayoría de los aspectos: firewall, escáner de malware, limitación de intentos de login y 2FA. Instalar varios puede ralentizar tu web y crear conflictos.

¿Qué es el puerto 2106 de Syspanel?
Es el puerto de acceso al panel de control de tu hosting (Syspanel). Es una herramienta que te permite gestionar tus dominios, archivos, bases de datos y certificados SSL de forma sencilla. Es un panel moderno y seguro, y al acceder a través de ese puerto, la conexión está más protegida contra accesos no autorizados.

Conclusión final

Proteger WordPress es un proceso continuo, no una acción de una sola vez. Implementando estos 10 consejos esenciales de seguridad, habrás construido una fortaleza alrededor de tu web que disuadirá a la gran mayoría de los atacantes.

Recuerda la regla de oro: la seguridad es una inversión, no un gasto. El tiempo que dedicas a proteger tu web hoy, te ahorrará días de trabajo y mucho dinero en el futuro. Empieza por los consejos más fáciles (actualizaciones, contraseñas, copias de seguridad) y ve avanzando poco a poco. Tu yo del futuro (y tus visitantes) te lo agradecerán.