Ocultar versión de WordPress: Seguridad y buenas prácticas

¿Sabías que la gran mayoría de los ataques a sitios web WordPress son automatizados? Robots y scripts maliciosos escanean Internet constantemente en busca de sitios con vulnerabilidades conocidas. Una de las primeras cosas que buscan es la versión de WordPress que estás usando, así como otros detalles como la versión del tema o de los plugins. Si encuentran una versión antigua con fallos de seguridad conocidos, la atacan sin piedad.

La buena noticia es que ocultar versión WordPress y otros datos técnicos es una de las medidas de hardening WordPress más fáciles y efectivas que puedes implementar. No es una solución mágica, pero sí una barrera inicial que disuadirá a muchos atacantes automáticos. En este artículo, te enseñaré paso a paso cómo hacerlo, sin necesidad de ser un experto en programación.

¿Por qué es tan importante ocultar la versión de WordPress?

Imagina que tu casa tiene una alarma. El ladrón que pasa por la calle no sabe si la alarma está activada o no, pero si ve una pegatina en la ventana que dice "Alarma modelo X", puede buscar en Internet cómo desactivar ese modelo exacto. Ocultar la versión de WordPress es como quitar esa pegatina. No hace que tu casa sea impenetrable, pero elimina una pista valiosa para el atacante.

Estos son los principales riesgos de mostrar tu versión:

Ataques dirigidos a vulnerabilidades conocidas: Cada versión de WordPress, tema o plugin tiene parches de seguridad. Si un atacante sabe que usas la versión 6.0, buscará exploits específicos para esa versión.
Escaneo automatizado: Los bots rastrean millones de sitios y registran automáticamente la versión de WordPress. Cuanta menos información les des, menos probable es que te marquen como objetivo.
Ingeniería social: Un atacante podría llamar a tu soporte de hosting fingiendo ser un administrador y mencionar la versión exacta de tu WordPress para ganar credibilidad.

¿Dónde se esconden estos datos? Las huellas digitales

Antes de empezar a ocultar, necesitas saber dónde buscar. La versión de WordPress y otros detalles se muestran en varios lugares:

En el código fuente de tu web: Haz clic derecho en tu página y selecciona "Ver código fuente". Busca la etiqueta <meta name="generator" content="WordPress X.X.X">. Ahí está la versión.
En el pie de página (footer): A menudo, los temas muestran "Creado con WordPress" o "Theme Name v1.0" en el pie de página.
En el readme.html: Este archivo está en la raíz de tu instalación de WordPress y contiene la versión exacta. Es un clásico objetivo de los bots.
En los archivos rss y atom: Los feeds de tu blog también pueden incluir la versión de WordPress.
En los enlaces a archivos estáticos: La URL de tus archivos CSS o JavaScript a veces incluye la versión (ej: style.css?ver=6.0.1).

Métodos para ocultar versión WordPress (y otros detalles)

Vamos a lo importante. Aquí tienes varias estrategias, desde las más simples hasta las más técnicas. Elige la que mejor se adapte a tu nivel de comodidad.

1. La forma más fácil: Usar un plugin de seguridad

Si no quieres tocar código, esta es tu opción. Los plugins de seguridad hacen el trabajo pesado por ti. Son ideales para principiantes.

Wordfence: Uno de los más populares. Además de ocultar la versión, ofrece un cortafuegos (firewall) y escaneo de malware.
iThemes Security (anteriormente Better WP Security): Ofrece más de 30 medidas de seguridad, incluida la ocultación de la versión y el cambio de la URL de acceso.
All In One WP Security & Firewall: Una opción gratuita y muy completa que guía a los usuarios a través de un checklist de seguridad.

Cómo hacerlo con un plugin (ejemplo con Wordfence):

Ve a tu panel de administración de WordPress.
Ve a "Plugins" > "Añadir nuevo".
Busca "Wordfence" e instálalo y actívalo.
Ve al menú "Wordfence" en el panel lateral.
Entra en "All Options" (Todas las opciones).
Busca la sección "General WordPress" y verás una opción llamada "Disable XML-RPC" o similar. Para ocultar la versión, busca una opción llamada "Hide WordPress version" o "Remove WordPress version meta tag".
Actívala y guarda los cambios. ¡Listo!

2. El método manual: Editar el archivo `functions.php` de tu tema

Este método es más limpio y no requiere plugins adicionales, lo que puede mejorar la velocidad de tu web. Debes añadir un pequeño fragmento de código al archivo functions.php de tu tema hijo (recomendado) o del tema principal.

[WARNING] IMPORTANTE: Antes de editar cualquier archivo de tu tema, haz una copia de seguridad completa de tu sitio web. Un error en este archivo puede romper tu página. Si usas un tema hijo, edita el functions.php del tema hijo, no el del padre, para que los cambios no se pierdan al actualizar el tema.

¿Cómo añadir el código?

Ve a "Apariencia" > "Editor de archivos de tema" en tu panel de WordPress.
En el menú de la derecha, selecciona el archivo functions.php de tu tema hijo.
Añade el siguiente código al final del archivo:

// Eliminar la etiqueta meta generator
remove_action('wp_head', 'wp_generator');

// Eliminar la versión de WordPress de los archivos CSS y JS
function eliminar_version_wp($src) {
    if (strpos($src, 'ver=')) {
        $src = remove_query_arg('ver', $src);
    }
    return $src;
}
add_filter('style_loader_src', 'eliminar_version_wp', 9999);
add_filter('script_loader_src', 'eliminar_version_wp', 9999);

// Eliminar la versión de WordPress del RSS feed
function eliminar_version_rss() {
    return '';
}
add_filter('the_generator', 'eliminar_version_rss');

Haz clic en "Actualizar archivo".

Este código hace tres cosas: elimina la etiqueta <meta name="generator">, elimina el parámetro ?ver= de los archivos CSS y JS, y limpia la versión de los feeds RSS.

3. Ocultar la versión del tema y los plugins

WordPress también añade la versión de tu tema y plugins en el código fuente. Ocultarlas es igual de importante.

Para ocultar la versión del tema:

Añade este código al functions.php:

function ocultar_version_tema($src) {
    if (strpos($src, 'ver=') && strpos($src, 'themes')) {
        $src = remove_query_arg('ver', $src);
    }
    return $src;
}
add_filter('style_loader_src', 'ocultar_version_tema', 9999);

Para ocultar la versión de los plugins:

Añade este código al functions.php:

function ocultar_version_plugins($src) {
    if (strpos($src, 'ver=') && strpos($src, 'plugins')) {
        $src = remove_query_arg('ver', $src);
    }
    return $src;
}
add_filter('style_loader_src', 'ocultar_version_plugins', 9999);

4. Proteger el archivo `readme.html`

Este archivo es una mina de oro para los atacantes. La forma más sencilla de protegerlo es renombrarlo o eliminarlo. Puedes hacerlo a través de tu gestor de archivos (cPanel, FTP) o con un plugin de seguridad.

Cómo hacerlo desde Syspanel (anteriormente HestiaCP):

Si tu hosting utiliza Syspanel, el proceso es muy sencillo. Accede a Syspanel a través del puerto 2106 (ej: https://tu-dominio.com:2106).

Ve a la sección "Administrador de archivos".
Navega hasta la carpeta raíz de tu sitio web (normalmente public_html).
Busca el archivo readme.html.
Cámbiale el nombre a algo como readme-old.html o simplemente elimínalo. No afectará el funcionamiento de tu web.

[TIP] Otras medidas de hardening WordPress: Ocultar la versión es solo el primer paso. Combínalo con otras medidas como cambiar la URL de acceso (wp-admin), limitar los intentos de inicio de sesión, mantener todo actualizado y usar contraseñas robustas.

FAQ: Preguntas frecuentes sobre ocultar versión WordPress

Aquí te resuelvo las dudas más comunes que suelen tener los usuarios.

¿Es realmente efectivo ocultar la versión de WordPress?

Sí, es una capa de seguridad básica pero muy efectiva contra ataques automatizados. Los bots buscan vulnerabilidades específicas de versiones concretas. Al ocultar la versión, les quitas la información que necesitan para lanzar un ataque dirigido. No te protegerá de un atacante decidido que use métodos manuales, pero reduce significativamente el "ruido" y los ataques oportunistas.

¿Ocultar la versión afecta al SEO de mi web?

No, para nada. Ocultar la versión de WordPress no tiene ningún impacto negativo en el posicionamiento en buscadores. Google y otros buscadores no utilizan este dato para rankear tu sitio. Es un mito urbano. Lo que sí afecta al SEO es la velocidad, la calidad del contenido y la experiencia del usuario.

¿Puedo ocultar la versión de WordPress sin usar un plugin?

Absolutamente. Como te he mostrado, puedes hacerlo editando el archivo functions.php de tu tema. Es la forma más ligera y no añade código extra de plugins. Si no te sientes cómodo editando código, usa un plugin.

¿Qué más información debería ocultar o proteger?

Además de la versión, es recomendable proteger:

El archivo wp-config.php: Contiene credenciales de la base de datos. Debe estar fuera del directorio público o protegido a nivel de servidor.
El directorio wp-admin: Limita el acceso por IP o añade una capa extra de autenticación.
El archivo .htaccess: Asegúrate de que no sea legible desde el navegador.
Los directorios wp-content y wp-includes: Evita la ejecución de archivos PHP en directorios donde no es necesario.

Mi tema muestra "Creado con WordPress" en el footer. ¿Cómo lo elimino?

Eso es una funcionalidad del tema, no de WordPress en sí. Puedes eliminarlo de varias maneras:

Desde el personalizador: Algunos temas permiten ocultar o editar el footer desde "Apariencia" > "Personalizar".
Con un plugin: Plugins como "Remove Footer Credit" pueden hacerlo.
Editando el código del tema: Busca en el archivo footer.php de tu tema la línea que contiene ese texto y elimínala o modifínala.

[INFO] Un consejo extra sobre Syspanel: Si tu sitio está alojado en un servidor que usa Syspanel, recuerda que el acceso al panel de control se realiza a través del puerto 2106. Asegúrate de mantener también ese panel actualizado, ya que es la puerta de entrada a la gestión de tu servidor y su seguridad es fundamental.

Conclusión: Refuerza tu seguridad paso a paso

Ocultar la versión de WordPress es una medida sencilla, gratuita y muy recomendable dentro de una estrategia de seguridad WordPress más amplia. No lo veas como una solución única, sino como una pieza más del puzzle.

Empieza por lo básico: mantén tu WordPress, tus temas y tus plugins siempre actualizados. Usa contraseñas fuertes y únicas para tu panel de administración y tu base de datos. Y, por supuesto, aplica las técnicas que te he enseñado hoy para ocultar versión WordPress y otros detalles técnicos.

Al implementar estas prácticas de hardening WordPress, estarás construyendo una fortaleza mucho más sólida. Los atacantes buscarán siempre el camino más fácil; no les des las llaves de tu casa en bandeja de plata.

Resumen de acciones rápidas:

Instala un plugin de seguridad como Wordfence o iThemes Security.
O bien, añade los fragmentos de código al functions.php de tu tema hijo.
Elimina o renombra el archivo readme.html desde tu gestor de archivos (si usas Syspanel, recuerda el puerto 2106).
Mantén todo tu software actualizado.
Usa contraseñas robustas y cambia la URL de acceso a wp-admin.

Siguiendo estos pasos, tu sitio estará mucho más protegido contra los ataques automatizados que acechan en la red. No esperes a ser víctima de un ataque para tomar medidas; actúa hoy mismo y navega con la tranquilidad de haber blindado tu WordPress.