Cambiar prefijo wp_ en WordPress: Mejora tu seguridad [Guía]

¿Por qué deberías cambiar el prefijo `wp_` de tu base de datos?

Cuando instalas WordPress por primera vez, el instalador crea por defecto todas las tablas en tu base de datos con el prefijo wp_. Esto significa que tendrás tablas llamadas wp_users, wp_posts, wp_options, wp_comments, etc. A simple vista, esto no parece un problema, y de hecho, funciona perfectamente. Sin embargo, desde el punto de vista de la seguridad WordPress, es uno de los primeros cambios que deberías considerar.

¿Por qué? Porque el prefijo wp_ es el valor por defecto y, por tanto, es el primero que probarán los atacantes automatizados (bots) que escanean internet en busca de vulnerabilidades. Si un atacante conoce el prefijo de tus tablas, tiene media batalla ganada para intentar un ataque de SQL injection WordPress.

La SQL injection es una técnica de ataque que consiste en insertar código malicioso en las consultas a la base de datos. Si el atacante sabe que tus tablas se llaman wp_users, puede intentar inyectar consultas que manipulen o extraigan información sensible, como nombres de usuario, hashes de contraseñas o incluso datos de opciones del sitio.

Al cambiar el prefijo a algo personalizado, como miweb_ o seguro_2024_, añades una capa extra de dificultad. No es una solución infalible, pero sí una barrera más que el atacante debe superar. Es como poner una cerradura adicional en la puerta de tu casa: no hace imposible la entrada, pero sí la hace mucho más complicada y lenta.

En este artículo, te explicaré paso a paso cómo cambiar el prefijo de la base de datos en WordPress, tanto si tienes acceso al panel de administración como si solo puedes acceder a la base de datos a través de phpMyAdmin. También veremos métodos para hacerlo mediante plugins o editando el archivo wp-config.php. Todo ello con un lenguaje claro y sencillo, pensado para que lo puedas seguir aunque no seas un experto en programación.

Antes de empezar: preparativos y copia de seguridad

[WARNING] Haz una copia de seguridad completa de tu sitio web antes de continuar. Este proceso modifica la base de datos y, si algo sale mal, podrías perder información o romper tu web. Una copia de seguridad te permitirá restaurar todo a su estado original.

La copia de seguridad debe incluir dos partes:

Los archivos de tu WordPress (el contenido del servidor, como temas, plugins, imágenes y el archivo wp-config.php).
La base de datos completa (todas las tablas y su contenido).

Puedes hacer la copia desde el panel de tu hosting (muchos ofrecen copias automáticas) o mediante plugins como UpdraftPlus o BackWPup. Si tu hosting utiliza Syspanel (recuerda que el acceso es a través del puerto 2106), es posible que también tengas una opción de copia de seguridad integrada.

Una vez que tengas tu copia de seguridad guardada en un lugar seguro (en tu ordenador o en la nube), puedes proceder con tranquilidad.

Método 1: Cambiar el prefijo desde el archivo wp-config.php y la base de datos

Este es el método más completo, ya que no solo cambias el prefijo en el archivo de configuración, sino que también renombras todas las tablas en la base de datos. Aunque requiere un poco de trabajo manual, es totalmente factible si sigues los pasos al pie de la letra.

Paso 1: Localiza y edita el archivo wp-config.php

El archivo wp-config.php es el corazón de la configuración de WordPress. Se encuentra en la raíz de tu instalación (normalmente en la carpeta public_html o www). Puedes acceder a él mediante el administrador de archivos de tu hosting o mediante un cliente FTP como FileZilla.

Dentro de este archivo, busca una línea similar a esta:

$table_prefix = 'wp_';

Cambia el valor entre comillas por el prefijo que desees. Por ejemplo:

$table_prefix = 'miprefijo_';

[TIP] Elige un prefijo que sea difícil de adivinar. Evita nombres comunes como wordpress_, blog_ o web_. Una buena opción es combinar letras y números, como x7k2_ o seguro2024_.

Guarda el archivo y súbelo de nuevo al servidor si lo estabas editando localmente.

Paso 2: Accede a phpMyAdmin

Ahora necesitas acceder a tu base de datos para renombrar las tablas. La forma más habitual es a través de phpMyAdmin, que suele estar disponible en el panel de control de tu hosting (cPanel, Plesk, Syspanel, etc.).

Si usas Syspanel, recuerda que el acceso al panel se realiza a través del puerto 2106. Una vez dentro, busca la sección de bases de datos y selecciona la que corresponde a tu WordPress.

Paso 3: Renombra todas las tablas de la base de datos

Aquí es donde hay que tener cuidado. Debes renombrar todas las tablas que empiecen por wp_ (o el prefijo que tuvieras) al nuevo prefijo. Por ejemplo, wp_users se convertirá en miprefijo_users, wp_posts en miprefijo_posts, y así sucesivamente.

[INFO] No puedes renombrar las tablas una a una manualmente si tienes muchas (puede haber más de 20 tablas). Lo mejor es usar una consulta SQL que haga el trabajo por ti.

En la pestaña SQL de phpMyAdmin, ejecuta la siguiente consulta, reemplazando miprefijo_ por el prefijo que hayas elegido y wp_ por el prefijo antiguo si no era el predeterminado:

RENAME TABLE wp_users TO miprefijo_users,
wp_usermeta TO miprefijo_usermeta,
wp_posts TO miprefijo_posts,
wp_comments TO miprefijo_comments,
wp_commentmeta TO miprefijo_commentmeta,
wp_links TO miprefijo_links,
wp_options TO miprefijo_options,
wp_postmeta TO miprefijo_postmeta,
wp_terms TO miprefijo_terms,
wp_term_taxonomy TO miprefijo_term_taxonomy,
wp_term_relationships TO miprefijo_term_relationships;

[WARNING] Esta consulta solo cubre las tablas más comunes. Si tienes plugins que han creado sus propias tablas (por ejemplo, WooCommerce, formularios de contacto, etc.), también deberás renombrarlas. Para ello, revisa la lista completa de tablas en tu base de datos y repite el proceso con las que empiecen por wp_.

Paso 4: Actualiza las opciones en la base de datos

Algunas tablas contienen referencias al prefijo antiguo en sus registros. Por ejemplo, la tabla wp_options (ahora miprefijo_options) tiene campos como user_roles o siteurl que pueden contener el prefijo. Para evitar errores, debes actualizar estas referencias.

Ejecuta esta consulta SQL:

UPDATE miprefijo_options SET option_name = 'miprefijo_user_roles' WHERE option_name = 'wp_user_roles';

También es posible que necesites actualizar la tabla miprefijo_usermeta:

UPDATE miprefijo_usermeta SET meta_key = 'miprefijo_capabilities' WHERE meta_key = 'wp_capabilities';
UPDATE miprefijo_usermeta SET meta_key = 'miprefijo_user_level' WHERE meta_key = 'wp_user_level';

[INFO] Si no estás seguro de qué campos pueden tener referencias al prefijo, puedes usar una herramienta de búsqueda y reemplazo en la base de datos. En phpMyAdmin, puedes exportar la base de datos a un archivo SQL, buscar y reemplazar wp_ por miprefijo_ en el archivo, y luego importarlo de nuevo. Es un método más rápido y seguro si sabes lo que haces.

Paso 5: Comprueba que todo funciona

Una vez que hayas renombrado las tablas y actualizado las referencias, accede a tu sitio web. Todo debería funcionar con normalidad. Si ves algún error, revisa que el archivo wp-config.php tenga el prefijo correcto y que no haya quedado ninguna tabla sin renombrar.

Método 2: Usar un plugin para cambiar el prefijo

Si el método manual te parece demasiado técnico o arriesgado, existe una alternativa mucho más sencilla: usar un plugin. Estos plugins hacen todo el trabajo pesado por ti, pero es imprescindible que igualmente hagas una copia de seguridad antes.

Algunos plugins populares para esta tarea son:

iThemes Security (antes Better WP Security)
All In One WP Security
WPS Hide Login (aunque este se centra en la URL de acceso, no en el prefijo)
Change DB Prefix

Pasos para usar un plugin

Instala y activa el plugin desde el menú "Plugins" de tu panel de WordPress.
Busca la sección de seguridad o base de datos dentro de la configuración del plugin.
Localiza la opción de cambiar el prefijo de la base de datos.
Introduce el nuevo prefijo que desees.
El plugin se encargará de renombrar todas las tablas y actualizar el archivo wp-config.php automáticamente.

[TIP] Algunos plugins también te permiten cambiar el prefijo de las tablas de plugins específicos, como WooCommerce. Aprovecha esta opción si la tienes disponible.

Ventajas e inconvenientes de usar un plugin

Ventajas:

Es mucho más rápido y sencillo.
No necesitas conocimientos técnicos.
El plugin suele hacer una comprobación de seguridad antes de ejecutar el cambio.

Inconvenientes:

Añades un plugin más a tu instalación, lo que puede ralentizar ligeramente tu web (aunque es mínimo).
Dependes de que el plugin esté bien mantenido y actualizado.
Si el plugin falla a mitad del proceso, podrías quedarte con la base de datos a medias.

Método 3: Cambiar el prefijo en una instalación nueva de WordPress

Si estás a punto de instalar WordPress desde cero, tienes una oportunidad de oro para configurar el prefijo desde el principio, sin necesidad de hacer cambios posteriores.

Durante la instalación manual

Cuando instalas WordPress de forma manual (descargando el archivo y creando la base de datos tú mismo), el instalador te pedirá que introduzcas el prefijo de la base de datos en el paso de configuración. Ahí puedes escribir el prefijo que desees, como miprefijo_, y WordPress creará todas las tablas con ese prefijo.

Si usas el instalador de tu hosting

Muchos hosts ofrecen instaladores automáticos de WordPress (como Softaculous o Fantastico). En la mayoría de ellos, hay una opción avanzada donde puedes especificar el prefijo de la tabla. Si no la ves, busca un enlace que diga "Opciones avanzadas" o "Configuración adicional".

[TIP] Si tu hosting usa Syspanel (puerto 2106), revisa bien el instalador; es posible que tengas que activar la opción "Mostrar opciones avanzadas" para ver el campo del prefijo.

Qué hacer después de cambiar el prefijo

Una vez que hayas cambiado el prefijo, hay algunas acciones adicionales que deberías considerar para mantener tu sitio seguro:

Actualiza tus copias de seguridad

Si tenías copias de seguridad antiguas con el prefijo wp_, ya no te servirán si necesitas restaurar el sitio. Asegúrate de hacer una nueva copia de seguridad con la configuración actualizada.

Revisa los permisos de archivos

Asegúrate de que el archivo wp-config.php tenga los permisos correctos (normalmente 644 o 640). Esto evita que otros usuarios del servidor puedan leerlo.

Considera otras medidas de seguridad

Cambiar el prefijo es solo una capa de protección. Para una seguridad WordPress más completa, te recomiendo:

Usar contraseñas fuertes para todos los usuarios, especialmente para el administrador.
Limitar los intentos de inicio de sesión para prevenir ataques de fuerza bruta.
Mantener WordPress, temas y plugins actualizados.
Instalar un firewall como Wordfence o Sucuri.
Deshabilitar la edición de archivos desde el panel de administración (puedes añadir define('DISALLOW_FILE_EDIT', true); en el archivo wp-config.php).

Preguntas frecuentes (FAQ)

¿Es obligatorio cambiar el prefijo `wp_`?

No es obligatorio, pero es altamente recomendable. Es una medida de seguridad sencilla que añade una barrera extra contra los ataques de SQL injection WordPress.

¿Puedo cambiar el prefijo si ya tengo el sitio en producción?

Sí, puedes hacerlo en cualquier momento, siempre que sigas los pasos correctamente y hagas una copia de seguridad previa.

¿Qué prefijo debería elegir?

Elige algo único y difícil de adivinar. Por ejemplo, una combinación de letras y números que no tenga relación con tu marca o el contenido de tu web.

¿Afectará el cambio a mi SEO?

No, cambiar el prefijo de la base de datos no afecta al SEO. Las URLs de tu sitio web no cambian, ni tampoco el contenido. Solo cambia la estructura interna de la base de datos.

¿Qué pasa si me olvido de actualizar alguna tabla?

Si te olvidas de renombrar alguna tabla, es probable que veas errores en tu sitio web, como "tabla no encontrada". En ese caso, tendrás que acceder a phpMyAdmin y renombrar la tabla que falte.

¿Puedo cambiar el prefijo con un plugin y luego desinstalarlo?

Sí, una vez que el plugin ha realizado el cambio, puedes desinstalarlo. Sin embargo, es recomendable mantener un plugin de seguridad activo para otras funciones.

¿Qué es la SQL injection WordPress?

Es un tipo de ataque en el que un atacante inserta código SQL malicioso en los campos de entrada de tu web (como formularios o URLs) para manipular la base de datos. Cambiar el prefijo no elimina la vulnerabilidad, pero dificulta el ataque.

Conclusión

Cambiar el prefijo de la base de datos en WordPress es una tarea que, aunque puede parecer técnica, es totalmente abordable si sigues los pasos adecuados. Ya sea mediante el método manual con phpMyAdmin, usando un plugin o configurándolo desde la instalación, el esfuerzo merece la pena por la capa extra de seguridad que aporta.

Recuerda que la seguridad WordPress no depende de una sola medida, sino de un conjunto de buenas prácticas. Cambiar el prefijo wp_ es un excelente primer paso, pero no te olvides de las demás recomendaciones: contraseñas seguras, actualizaciones, copias de seguridad y un buen firewall.

Si tienes cualquier duda durante el proceso, no dudes en consultar la documentación de tu hosting o buscar ayuda en foros especializados. Y si tu hosting utiliza Syspanel, recuerda que puedes acceder a través del puerto 2106 para gestionar tu base de datos y archivos.

[TIP] Después de realizar el cambio, prueba a iniciar sesión en tu panel de administración y navegar por tu sitio para asegurarte de que todo funciona correctamente. Si algo falla, revisa los pasos anteriores y, si es necesario, restaura la copia de seguridad.

¡Buena suerte con tu WordPress más seguro!

¿Por qué deberías cambiar el prefijo wp_ de tu base de datos?