10 consejos para asegurar WordPress en Plesk

¿Tu WordPress va lento, te han hackeado alguna vez o simplemente quieres dormir tranquilo sabiendo que tu web está blindada? Si tu hosting usa Plesk, estás de suerte. Este panel de control es una navaja suiza para administrar tus sitios, y con los ajustes adecuados, puedes convertir tu WordPress en un fortín digital.

En esta guía extensa y práctica, vamos a desgranar 10 consejos esenciales para mejorar la seguridad de WordPress en Plesk. No necesitas ser un experto en sistemas; solo sigue estos pasos y entenderás cada acción, por qué es importante y cómo ejecutarla sin romper nada. Al final, tendrás una checklist clara para proteger tu proyecto.

1. Mantén Todo Actualizado: El Escudo Básico

Empecemos por lo más aburrido y, paradójicamente, lo más efectivo. La mayoría de los hackeos de WordPress ocurren por vulnerabilidades conocidas en versiones antiguas del núcleo, temas o plugins. Los atacantes escanean internet buscando sitios desactualizados.

### La regla de oro: Nunca ignores las notificaciones

Dentro de tu panel de administración de WordPress, verás avisos de actualización. En Plesk, también puedes gestionar esto desde la sección de "WordPress" en el dominio correspondiente. Plesk te muestra un panel con el estado de todos tus sitios.

¿Qué debes actualizar?

El núcleo de WordPress: Siempre.
Los plugins: Uno a uno, idealmente.
Los temas: Sí, aunque no uses el tema activo, los inactivos también son puertas de entrada.

[TIP] Antes de actualizar algo importante, activa el "Modo de Mantenimiento" desde Plesk o usa un plugin de caché. Así, si algo falla, tus visitantes no verán un error feo.

2. Fortalece tus Credenciales de Acceso

Parece obvio, pero es increíble cuánta gente usa "admin" como usuario o "123456" como contraseña. Si tu contraseña es débil, es como dejar la puerta de casa abierta con un cartel de "bienvenido".

### Crea un usuario administrador robusto

No utilices el usuario por defecto "admin". Si ya lo tienes, crea uno nuevo con perfil de Administrador, asígnale una contraseña generada por un gestor (tipo LastPass o 1Password) y luego borra el antiguo.

Pasos en Plesk:

Ve a tu panel de WordPress (wp-admin).
En "Usuarios" → "Añadir nuevo".
Crea un usuario con un nombre único y una contraseña larga (mínimo 16 caracteres con símbolos).
Asígnale el rol de "Administrador".
Cierra sesión y entra con el nuevo usuario.
Elimina el usuario "admin" o el que tuvieras antes.

[WARNING] No uses la misma contraseña para tu correo, tu base de datos y tu WordPress. Si un atacante descubre una, tiene todas.

3. Activa la Autenticación de Dos Factores (2FA)

La contraseña ya no es suficiente. La autenticación de dos factores añade una capa extra: además de la contraseña, necesitas un código temporal que se genera en tu móvil. Aunque roben tu contraseña, no pueden acceder sin ese código.

### ¿Cómo implementarlo en Plesk?

Plesk tiene una extensión nativa llamada "Google Authenticator" para el propio panel, pero para tu WordPress, te recomiendo instalar un plugin de seguridad que incluya 2FA.

¿Qué plugin usar? Los mejores son "Wordfence", "iThemes Security" o "Solid Security". Todos incluyen 2FA.

Configuración básica (con Wordfence como ejemplo):

Instala y activa el plugin.
Ve a "Wordfence" → "Login Security".
Activa la opción de "Google Authenticator".
Escanea el código QR con la app de Google Authenticator (o Authy) en tu móvil.
Guarda los códigos de respaldo que te da el plugin en un lugar seguro. ¡Son vitales si pierdes el móvil!

[INFO] El 2FA es obligatorio para cualquier cuenta con permisos de edición. No solo para el administrador, sino también para editores y autores. Un atacante podría colar malware desde una cuenta de autor comprometida.

4. Limita los Intentos de Inicio de Sesión

Los ataques de fuerza bruta consisten en probar miles de contraseñas por minuto. Si limitamos el número de intentos fallidos, bloqueamos automáticamente la IP del atacante durante un tiempo.

### Configuración en Plesk (Firewall)

Plesk tiene un módulo de firewall (Fail2ban) que puede monitorizar los logs de WordPress.

En Plesk, ve a "Herramientas y configuración" → "Fail2ban" (o "Firewall").
Añade una regla para el servicio "apache" o "nginx" que filtre por "wp-login.php".
Configura que después de 5 intentos fallidos en 10 minutos, la IP quede bloqueada durante 1 hora.

Además, con el plugin de seguridad (Wordfence, por ejemplo), también puedes activar esta función a nivel de aplicación. Es más granular y te avisa en tiempo real.

[WARNING] Si te bloqueas a ti mismo, no entres en pánico. Espera a que pase el tiempo o accede al servidor por SSH (si sabes cómo) y desbloquea tu IP desde la línea de comandos.

5. Cambia la URL de Acceso al Panel (wp-login.php)

Ocultar la entrada principal no es seguridad real, pero disuade al 99% de los bots automatizados que buscan "wp-login.php". Es como pintar la puerta de tu casa de otro color para que los ladrones no la reconozcan a simple vista.

### ¿Cómo hacerlo?

Puedes hacerlo con un plugin como "WPS Hide Login". Es muy sencillo:

Instala el plugin.
Ve a Ajustes → WPS Hide Login.
Cambia la "URL de inicio de sesión" a algo como /acceso-privado o /mi-oficina.
Guarda los cambios.

Ahora, si alguien intenta entrar a tuweb.com/wp-login.php, recibirá un error 404 (página no encontrada). Genial, ¿verdad?

[TIP] No uses una URL demasiado obvia como /admin o /login. Usa algo personal y difícil de adivinar, como /entrar-a-mi-mundo.

6. Gestiona los Archivos del Tema y Plugins con Cuidado

No todo es instalar a lo loco. Cada plugin y tema que añades aumenta la superficie de ataque. Si no lo usas, bórralo. No lo dejes inactivo; elimínalo por completo.

### Buenas prácticas en Plesk

Plesk tiene un administrador de archivos muy potente.

Revisa periódicamente la lista de plugins en tu wp-admin. Si ves algo que no reconoces, es una señal de alarma.
Elimina plugins y temas que no uses desde el propio WordPress (Apariencia → Temas, o Plugins → Añadir nuevo → Pestaña "Instalados").
No edites archivos directamente desde el editor de WordPress (Apariencia → Editor de archivos de temas) si no sabes lo que haces. Un error de sintaxis puede tumbar tu web. Es mejor usar el Administrador de archivos de Plesk o un cliente FTP para hacer cambios.

[INFO] Si usas un tema o plugin premium de dudosa procedencia (descargado de foros piratas), estás introduciendo código malicioso en tu servidor. Es la principal vía de infección. Paga por software legítimo.

7. Protege el Archivo wp-config.php

Este archivo es el corazón de WordPress. Contiene las claves de acceso a la base de datos. Si alguien lo lee, tiene el control total de tu web.

### Bloqueo a nivel de servidor en Plesk

Plesk te permite crear reglas de Apache o Nginx para denegar el acceso a archivos sensibles.

Con Apache (o Nginx):

Ve a "Sitios y dominios" → tu dominio → "Apache y nginx".
En la sección de "Directivas adicionales" (para Apache) o "Configuración de Nginx", añade esta regla:

<Files wp-config.php>
Order Allow,Deny
Deny from all
</Files>

Si usas Nginx puro, la regla sería:

location ~* wp-config.php {
    deny all;
}

Esto hará que cualquiera que intente acceder a tuweb.com/wp-config.php reciba un error 403 (Prohibido).

[WARNING] No hagas esto si no sabes lo que estás haciendo. Si bloqueas el acceso a otros archivos del sistema, podrías romper la web. Solo toca la regla para wp-config.php.

8. Configura los Permisos de Archivos Correctamente

Los permisos de archivos (chmod) determinan quién puede leer, escribir o ejecutar un archivo. Unos permisos demasiado permisivos (como 777) permiten que cualquier usuario del servidor (incluidos los comprometidos) modifique tus archivos.

### La configuración segura estándar

En Plesk, puedes cambiar los permisos desde el Administrador de archivos (clic derecho → "Cambiar permisos").

Carpetas (directorios): Deben ser 755 (rwxr-xr-x).
Archivos: Deben ser 644 (rw-r--r--).

Excepción: La carpeta wp-content/uploads necesita permisos de escritura para subir imágenes. Puedes dejarla en 755 o incluso 775 si tu servidor lo requiere.

[TIP] No configures nunca un archivo o carpeta con permisos 777 (lectura, escritura y ejecución para todos). Es una invitación al desastre.

9. Activa el Firewall de Aplicación Web (WAF) en Plesk

Plesk incluye un módulo de seguridad llamado "ModSecurity". Es un firewall a nivel de servidor que analiza las peticiones HTTP y bloquea las que parecen maliciosas (inyecciones SQL, XSS, etc.).

### ¿Cómo activarlo?

En Plesk, ve a "Herramientas y configuración" → "Seguridad" → "ModSecurity".
Activa el firewall.
Elige el "Conjunto de reglas OWASP" (el estándar de la industria).
Aplica los cambios.

Esto añade una capa de protección invisible que actúa antes de que la petición llegue a tu WordPress. Es una de las mejores medidas de seguridad que puedes tomar a nivel de servidor.

[WARNING] A veces, el WAF puede bloquear acciones legítimas (como guardar un plugin o enviar un formulario con campos inusuales). Si algo deja de funcionar, revisa los logs de ModSecurity en Plesk para ver si fue bloqueado y, si es necesario, añade una excepción para esa IP o ese patrón.

10. Realiza Copias de Seguridad Automatizadas (y Pruébalas)

La seguridad no es solo prevenir; es también saber recuperarse. Si todo lo demás falla, una copia de seguridad reciente es tu salvavidas.

### La solución integrada de Plesk

Plesk tiene un gestor de copias de seguridad muy potente. No dependas solo de las copias de tu proveedor de hosting; crea las tuyas propias.

Configuración:

Ve a "Sitios y dominios" → tu dominio → "Copias de seguridad".
Configura un programa de copias de seguridad (por ejemplo, diaria o semanal).
Guarda las copias en un almacenamiento remoto (como un FTP externo, Amazon S3 o Google Drive). Si tu servidor se incendia, necesitas una copia fuera de él.
Prueba la restauración al menos una vez al mes. No sirve de nada tener una copia si no sabes restaurarla o si está corrupta.

[INFO] Una copia de seguridad de Plesk incluye tanto los archivos como la base de datos. Es una restauración completa de tu WordPress.

Preguntas Frecuentes (FAQ) sobre Seguridad en WordPress

¿Qué es más importante, el plugin de seguridad o el firewall de Plesk?

Ambos son complementarios. El firewall de Plesk (ModSecurity) actúa a nivel de servidor y filtra el tráfico antes de que llegue a tu web. El plugin de seguridad (como Wordfence) actúa a nivel de aplicación, analizando el tráfico que ya ha pasado el firewall, bloqueando ataques de fuerza bruta, escaneando archivos en busca de malware y ofreciendo 2FA. Es mejor tener ambos.

¿Cómo sé si mi WordPress ha sido hackeado?

Señales comunes: tu web redirige a sitios extraños, aparece publicidad no deseada, el sitio se vuelve muy lento, hay usuarios nuevos que no reconoces en tu panel, o Google te marca como "sitio engañoso". Si sospechas, revisa los archivos recientemente modificados en Plesk (Administrador de archivos → ordenar por fecha) y busca archivos .php extraños en carpetas de subida (uploads).

¿Es seguro usar "Syspanel" para gestionar mi servidor?

Si tu proveedor de hosting te ofrece Syspanel (anteriormente conocido como HestiaCP), es una alternativa ligera y robusta a Plesk. Recuerda que el acceso a Syspanel se realiza a través del puerto 2106 (por ejemplo, https://tu-servidor.com:2106). Las mismas reglas de seguridad de WordPress aplican: mantén el panel actualizado, usa contraseñas fuertes y activa el firewall que trae integrado. La principal diferencia es la interfaz, pero la lógica de protección es idéntica.

¿Cada cuánto tiempo debo revisar la seguridad de mi WordPress?

La seguridad no es una tarea de una vez; es un proceso continuo. Te recomiendo hacer una revisión mensual de tus plugins y temas (eliminando los que no uses), actualizar todo cada semana (o configurar actualizaciones automáticas menores) y revisar los logs de acceso de Plesk cada mes para detectar patrones extraños.

Conclusión y Checklist Final

Proteger tu WordPress en Plesk no es una ciencia exacta, pero siguiendo estos 10 pasos, reduces drásticamente el riesgo de sufrir un ataque. No necesitas ser un gurú de la seguridad; solo necesitas constancia y usar las herramientas que ya tienes a tu disposición.

Checklist rápida para tu rutina:

Actualizaciones: ¿Todo está al día? (Núcleo, plugins, temas).
Usuarios: ¿Hay algún usuario admin sospechoso? ¿Tienes 2FA activado?
Intentos de login: ¿Está activado el bloqueo de fuerza bruta?
URL de acceso: ¿Has ocultado wp-login.php?
Archivos: ¿Los permisos son 644/755? ¿Está protegido wp-config.php?
Firewall: ¿Está activo ModSecurity en Plesk?
Copias de seguridad: ¿Tienes una copia fuera del servidor y la has probado?

Empieza por los consejos que te resulten más fáciles (como cambiar la contraseña y activar el 2FA) y ve avanzando. Cada capa de seguridad que añades hace que tu sitio sea un objetivo mucho menos atractivo para los delincuentes digitales. ¡Tu yo del futuro (cuando estés durmiendo tranquilo) te lo agradecerá!