🎨 Sysprovider Code
Sysprovider LogoWiki
🇪🇸Hosting español para ecommerce

Cómo mejorar la seguridad de WordPress en cPanel (15 consejos prácticos)

Actualizado el 1 de febrero de 2026

Antes de empezar: ¿Por qué es tan importante proteger WordPress?

WordPress es el gestor de contenidos (CMS) más usado del mundo, y precisamente por eso es el blanco favorito de los atacantes. Cada día se registran miles de intentos de acceso no autorizado, inyección de malware o robo de datos en sitios basados en WordPress.

Si tienes tu web alojada en un hosting con cPanel, ya cuentas con una base sólida, pero la seguridad no es algo que se configure una vez y se olvide. Es un proceso continuo.

En esta guía práctica, te explicaré 15 consejos accionables para mejorar la seguridad de WordPress desde cPanel. No necesitas ser un experto en servidores: solo sigue los pasos y entenderás cada concepto con explicaciones sencillas.

Consejo 1: Mantén todo actualizado (WordPress, plugins y temas)

La regla de oro de la seguridad es la actualización constante. Los desarrolladores lanzan parches para corregir vulnerabilidades conocidas. Si usas versiones antiguas, dejas la puerta abierta.

Cómo hacerlo desde cPanel:

  1. Entra a cPanel y busca la sección "Administrador de archivos".
  2. Navega hasta public_html (o la carpeta donde esté instalado WordPress).
  3. Localiza el archivo wp-config.php y ábrelo con el editor.
  4. Añade estas líneas al final (antes de la línea que dice "That's all, stop editing"):
define('WP_AUTO_UPDATE_CORE', true);
add_filter('auto_update_plugin', '__return_true');
add_filter('auto_update_theme', '__return_true');

[INFO] Con este código, WordPress, los plugins y los temas se actualizarán automáticamente. Si prefieres control manual, omite este paso y actualiza desde el panel de administración de WordPress cada semana.

Consejo 2: Usa contraseñas fuertes y cambia las predeterminadas

Parece obvio, pero muchas webs siguen usando "admin" como usuario o contraseñas como "123456". Un atacante puede probar miles de combinaciones por minuto.

Buenas prácticas:

  • Usa un gestor de contraseñas (como Bitwarden o 1Password).
  • Crea contraseñas de al menos 12 caracteres con mayúsculas, números y símbolos.
  • Cambia la contraseña de tu cuenta cPanel y la de la base de datos MySQL cada 3-6 meses.

Para cambiar la contraseña de la base de datos desde cPanel:

  1. Ve a "Bases de datos MySQL".
  2. Localiza tu base de datos y haz clic en "Cambiar contraseña".
  3. Introduce una nueva contraseña segura y guarda.
  4. Actualiza el archivo wp-config.php con la nueva contraseña (línea DB_PASSWORD).

[WARNING] Si cambias la contraseña de la BD, tu web dejará de funcionar hasta que actualices wp-config.php. Hazlo inmediatamente después.

Consejo 3: Cambia el prefijo de las tablas de la base de datos

Por defecto, WordPress usa el prefijo wp_ para sus tablas. Esto facilita los ataques de inyección SQL, ya que el atacante conoce la estructura.

Pasos para cambiarlo:

  1. Haz una copia de seguridad completa (consejo 15).
  2. Accede a "Bases de datos MySQL" en cPanel.
  3. Entra en phpMyAdmin (icono en cPanel).
  4. Selecciona tu base de datos y haz clic en "SQL".
  5. Ejecuta este comando (reemplaza nuevoprefijo_ por lo que quieras):
RENAME TABLE wp_options TO nuevoprefijo_options;

[INFO] Este proceso es más complejo porque hay que renombrar todas las tablas. Una alternativa más sencilla es usar un plugin como "Change Table Prefix" que lo hace automáticamente.

Consejo 4: Protege el archivo wp-config.php

Este archivo contiene las claves de acceso a tu base de datos. Si alguien lo lee, tendrá acceso total.

Opciones de protección desde cPanel:

  1. En "Administrador de archivos", busca wp-config.php.
  2. Haz clic derecho y selecciona "Permisos".
  3. Cambia los permisos a 400 o 440.

[INFO] Los permisos de archivos en cPanel se expresan en números. El 4 significa solo lectura, 2 escritura y 1 ejecución. Para wp-config.php, lo ideal es 400 (solo lectura para el propietario). Esto impide que otros usuarios del servidor lo lean.

Consejo 5: Configura correctamente los permisos de archivos y carpetas

Los permisos incorrectos son una de las causas más comunes de vulnerabilidades en WordPress. Si las carpetas tienen permisos 777 (lectura, escritura y ejecución para todos), cualquiera puede subir archivos.

Configuración recomendada:

  • Carpetas (directorios): 755
  • Archivos: 644
  • wp-config.php: 400 o 440

Cómo cambiarlos en lote:

  1. En cPanel, abre "Administrador de archivos".
  2. Ve a public_html.
  3. Selecciona todos los archivos (Ctrl+A).
  4. Haz clic en "Permisos" y asigna 644 para archivos y 755 para carpetas.

[WARNING] No uses permisos 777 a menos que sea estrictamente necesario y solo temporalmente. Un servidor bien configurado nunca debería requerirlos.

Consejo 6: Desactiva la edición de archivos desde el panel de WordPress

Por defecto, WordPress permite editar archivos de temas y plugins desde el editor del panel. Si un atacante accede a tu panel, podría inyectar código malicioso.

Solución:

Añade esta línea a tu wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Esto desactiva el editor de archivos en el administrador de WordPress sin afectar tu capacidad de editar vía FTP o cPanel.

Consejo 7: Limita los intentos de inicio de sesión

Los ataques de fuerza bruta consisten en probar contraseñas una y otra vez. Limitar los intentos reduce drásticamente el riesgo.

Opciones:

  1. Instala un plugin como "Limit Login Attempts Reloaded".
  2. Configúralo para permitir máximo 3-5 intentos fallidos.
  3. Bloquea la IP durante 15-30 minutos tras superar el límite.

[TIP] Desde cPanel puedes agregar una regla en "Administrador de IP" o en "ModSecurity" para bloquear IPs sospechosas manualmente.

Consejo 8: Cambia la URL de inicio de sesión

La página de login por defecto (/wp-login.php) es el primer objetivo de los atacantes. Cambiarla añade una capa extra de seguridad por oscuridad.

Cómo hacerlo:

  1. Instala un plugin como "WPS Hide Login".
  2. Ve a Ajustes > WPS Hide Login.
  3. Define una nueva URL, por ejemplo: /mi-acceso-secreto.
  4. Guarda los cambios.

[INFO] Esto no es infalible, pero reduce significativamente los intentos automatizados.

Consejo 9: Activa la autenticación de dos factores (2FA)

La verificación en dos pasos añade una barrera extra: aunque roben tu contraseña, necesitarán el código de tu teléfono.

Plugin recomendado:

  • "WP 2FA" o "Google Authenticator".

Configura 2FA para todos los usuarios con rol de administrador. Desde cPanel, también puedes activar "Autenticación SSH" si tu hosting lo permite, pero eso es más avanzado.

Consejo 10: Usa un certificado SSL y fuerza HTTPS

Un certificado SSL cifra la comunicación entre el navegador del visitante y tu servidor. Sin él, los datos viajan en texto plano.

Desde cPanel:

  1. Busca "SSL/TLS Status" o "AutoSSL".
  2. Activa el certificado gratuito de Let's Encrypt.
  3. Fuerza HTTPS añadiendo estas reglas al archivo .htaccess:
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

[TIP] Si tu hosting usa Syspanel (HestiaCP), el puerto de acceso es el 2106 y también tiene opción de SSL automática. El proceso es similar.

Consejo 11: Activa la protección contra hotlinking y leeching

El hotlinking es cuando otros sitios usan tus imágenes o archivos sin permiso, consumiendo tu ancho de banda. Además, puede ralentizar tu web.

Reglas para .htaccess:

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?tudominio.com [NC]
RewriteRule \.(jpg|jpeg|png|gif|mp4|pdf)$ - [NC,F,L]

Reemplaza tudominio.com por tu dominio real.

Consejo 12: Desactiva la navegación de directorios

Si alguien accede a una carpeta sin índice, podría ver la lista de archivos. Esto revela información sensible.

Solución:

Crea un archivo .htaccess en la raíz con:

Options -Indexes

Si ya existe .htaccess, añade esa línea al inicio.

Consejo 13: Configura un firewall de aplicación web (WAF)

Un WAF filtra el tráfico malicioso antes de que llegue a tu sitio. cPanel tiene ModSecurity integrado.

Activación:

  1. En cPanel, busca "ModSecurity".
  2. Actívalo y elige el conjunto de reglas "OWASP CRS" (el más completo).
  3. Configura la política en "Detección solamente" primero para evitar falsos positivos.

[WARNING] ModSecurity puede bloquear acciones legítimas si las reglas son muy estrictas. Monitorea los registros de error durante unos días.

Consejo 14: Realiza copias de seguridad automáticas

La seguridad no es solo prevenir ataques, también es poder recuperarte rápido si algo falla.

Opciones desde cPanel:

  1. Usa "Copias de seguridad" para descargar un backup completo del sitio y la base de datos.
  2. Configura un plan automático con "Backup Wizard" o un plugin como "UpdraftPlus".
  3. Guarda las copias en un lugar externo (Google Drive, Dropbox, etc.).

[INFO] La frecuencia ideal es diaria si actualizas contenido a menudo, o semanal para sitios estáticos.

Consejo 15: Monitorea los registros de acceso y errores

Detectar actividad sospechosa a tiempo es clave. cPanel guarda registros de acceso y errores que puedes revisar.

Cómo hacerlo:

  1. En cPanel, busca "Registros de errores" o "Logs de acceso".
  2. Busca patrones como:
    • Múltiples intentos de login fallidos.
    • Solicitudes a archivos de configuración.
    • IPs desconocidas accediendo a wp-admin.
  3. Bloquea esas IPs desde "Administrador de IP" o añadiendo reglas al firewall.

Preguntas frecuentes (FAQ)

¿Es suficiente con estos consejos?

Estos 15 consejos cubren el 90% de las amenazas comunes. Para sitios con datos muy sensibles, considera además un servicio de seguridad gestionado.

¿Puedo romper mi web con los permisos de archivos?

Sí, si pones permisos demasiado restrictivos (como 400 en carpetas), WordPress podría no funcionar. Sigue las recomendaciones exactas: carpetas 755, archivos 644.

¿Qué hago si mi web ya está infectada?

  1. Restaura desde una copia de seguridad limpia.
  2. Cambia todas las contraseñas.
  3. Escanea con plugins como "Wordfence".
  4. Revisa los archivos modificados recientemente en cPanel.

¿cPanel y Syspanel son lo mismo?

No exactamente. Syspanel es el nombre del panel de control basado en HestiaCP que usamos en algunos de nuestros servidores. El puerto de acceso es el 2106. Los conceptos de seguridad son los mismos, pero la interfaz varía ligeramente.

Conclusión

Proteger WordPress desde cPanel no es complicado si sigues una rutina lógica: actualizar, endurecer permisos, limitar accesos y monitorizar. No necesitas aplicar todo en un día, pero empieza por los que te resulten más fáciles y ve avanzando.

La seguridad es un proceso, no un destino. Con estos consejos de seguridad para WordPress, tu sitio estará mucho mejor preparado frente a ataques comunes.

[TIP] Guarda esta guía y revísala cada 3 meses. Los ataques evolucionan, y tu configuración debe adaptarse.

Si tienes dudas, contacta con nuestro equipo de soporte: estaremos encantados de ayudarte a proteger WordPress en tu cPanel.

¿Necesitas ayuda?Son dos de nuestros técnicos, Agustín y Mikel, y están disponibles para resolver cualquier problema.

Hablar con ellos ahora
Agustín y Mikel