Ocultar versión de WordPress en Syspanel: Seguridad extra

¿Alguna vez has visto el final de una URL de WordPress y has pensado: "¿por qué aparece ?ver=6.4.2 al final?" Esa pequeña cadena de texto está delatando información vital sobre tu sitio. En el mundo del hosting y la seguridad, el conocimiento es poder, y para un atacante, saber qué versión de WordPress usas es el primer paso para intentar colarse.

En este artículo, vamos a explicarte de forma clara y sencilla cómo ocultar versión WordPress para reforzar la seguridad de tu sitio, especialmente si gestionas tu servidor a través del panel de control Syspanel. No necesitas ser un experto en programación; solo seguir unos pasos muy concretos que te mostraremos a continuación.

¿Por qué es importante ocultar la versión de WordPress?

WordPress es un software de código abierto, lo que significa que sus archivos son públicos. Si un hacker sabe que tu sitio usa, por ejemplo, la versión 5.8.2, puede buscar vulnerabilidades conocidas específicas de esa versión. Es como dejar la llave de tu casa bajo el felpudo y poner un cartel que diga "la llave está aquí".

Al eliminar esta información, añades una capa extra de dificultad. No hará tu sitio invulnerable, pero sí hará que los ataques automatizados (bots) que escanean miles de sitios en busca de versiones obsoletas pasen de largo. La seguridad por oscuridad no es infalible, pero es una práctica recomendada y muy efectiva contra el ruido de fondo de Internet.

Además, si usas Syspanel para gestionar tus sitios, es probable que ya tengas configurado un servidor web como Nginx o Apache. Saber dónde y cómo tocar los archivos de configuración es clave para implementar esta protección a nivel de servidor, que es la más eficiente.

¿De dónde sale esa información? El meta generator

WordPress, por defecto, inyecta una etiqueta en el <head> de tu sitio web que se llama meta generator. Esta etiqueta es un código HTML que se ve así:

<meta name="generator" content="WordPress 6.4.2" />

Esta es la forma más común de eliminar meta generator wordpress. Los navegadores no la muestran, pero cualquier persona puede verla si hace clic derecho en la página y selecciona "Ver código fuente".

Pero no es el único sitio. También aparece en los enlaces a los archivos CSS y JavaScript. Por ejemplo: https://tusitio.com/wp-includes/css/style.min.css?ver=6.4.2. Los bots inteligentes también rastrean esto.

Por tanto, tenemos dos frentes de batalla:

Eliminar la etiqueta meta generator.
Limpiar los parámetros ?ver= de los archivos estáticos.

Vamos a ver cómo hacerlo, tanto con plugins como manualmente, y cómo implementar la solución más robusta a nivel de servidor con Syspanel.

Método 1: La solución fácil con plugins (Recomendado para principiantes)

Si no te sientes cómodo editando archivos de código, esta es tu opción. Existen plugins específicos que hacen este trabajo por ti de forma automática y segura. Son ligeros y no afectan el rendimiento de tu web.

Paso 1: Instalar un plugin de seguridad

Dentro de tu panel de administración de WordPress, ve a Plugins > Añadir nuevo. Busca términos como "remove version" o "hide wordpress version". Algunos de los más populares y fiables son:

WP Hide & Security Enhancer: Muy completo, no solo oculta la versión, sino que también te permite cambiar URLs del admin.
Remove WP Version: Un plugin muy sencillo y directo que hace exactamente lo que promete.
All in One WP Security: Un plugin de seguridad integral que incluye esta función entre muchas otras.

Nosotros vamos a usar Remove WP Version como ejemplo por su simplicidad.

Paso 2: Instalación y activación

Haz clic en "Instalar ahora" y luego en "Activar". No tiene configuración complicada. Una vez activo, el plugin elimina automáticamente la etiqueta meta generator y limpia las URLs de los scripts y estilos.

Paso 3: Verificar el resultado

Para comprobar que ha funcionado, visita tu sitio web, haz clic derecho y selecciona "Ver código fuente de la página". Busca la palabra "generator" o "ver=". Si el plugin ha funcionado, no deberías encontrar ninguna referencia a la versión de WordPress.

[TIP]: Aunque uses un plugin, es buena práctica mantenerlo actualizado. Los plugins de seguridad se actualizan constantemente para hacer frente a nuevas amenazas.

Método 2: La solución manual para puristas (Editar el archivo functions.php)

Para aquellos que prefieren no instalar más plugins y tener control total, podemos añadir un pequeño fragmento de código al archivo functions.php de tu tema hijo. Es crucial que uses un tema hijo para que los cambios no se pierdan cuando actualices el tema principal.

Paso 1: Acceder al editor de archivos

En tu panel de WordPress, ve a Apariencia > Editor de archivos de tema. En el lado derecho, busca el archivo functions.php de tu tema hijo.

Paso 2: Añadir el código mágico

Copia y pega el siguiente código al final del archivo, justo antes de la etiqueta ?> o al final si no existe.

// Eliminar meta generator
remove_action('wp_head', 'wp_generator');

// Eliminar parámetros de versión de scripts y estilos
function syspanel_remove_wp_version_from_assets( $src ) {
    if ( strpos( $src, 'ver=' ) ) {
        $src = remove_query_arg( 'ver', $src );
    }
    return $src;
}
add_filter( 'style_loader_src', 'syspanel_remove_wp_version_from_assets', 9999 );
add_filter( 'script_loader_src', 'syspanel_remove_wp_version_from_assets', 9999 );

// Añadir una etiqueta falsa (opcional pero divertido)
function syspanel_fake_generator() {
    echo '<meta name="generator" content="Syspanel CMS" />';
}
add_action( 'wp_head', 'syspanel_fake_generator' );

Paso 3: Guardar y comprobar

Haz clic en "Actualizar archivo". Ahora repite el proceso de verificación del método anterior. Verás que las URLs ya no tienen ?ver=6.4.2 y la etiqueta generator ya no dice WordPress, o dice algo falso si has añadido la última parte del código.

[WARNING]: Si no usas un tema hijo, este código se perderá con la próxima actualización del tema. Si no sabes qué es un tema hijo, te recomendamos encarecidamente que uses el método del plugin o crees uno antes de continuar.

Método 3: La solución definitiva a nivel de servidor con Syspanel

Este es el método más eficiente y profesional. En lugar de modificar WordPress, que puede ser un poco "chapuza" y lento, lo hacemos directamente en el servidor web. Así, la respuesta se filtra antes de llegar a WordPress. Esto es especialmente útil si tienes un servidor Nginx o Apache gestionado por Syspanel.

Recuerda: Syspanel es tu panel de control de hosting. Para acceder a su interfaz, debes escribir en tu navegador https://tu-servidor:2106. Ahí gestionarás tus dominios y la configuración del servidor.

Configuración para Nginx (el favorito de Syspanel)

Nginx es conocido por su velocidad y eficiencia. Si tu sitio está en Nginx, estos son los pasos:

Accede a Syspanel: Abre tu navegador y entra en https://tu-servidor:2106. Inicia sesión con tus credenciales de administrador.
Busca la configuración del sitio: En el menú, navega hasta la sección que gestiona los sitios web o dominios. En Syspanel, suele estar en "Web" o "Dominios". Haz clic en el dominio de tu sitio WordPress.
Edita el archivo de configuración de Nginx: Busca un botón o enlace que diga "Configuración avanzada", "Editar Nginx" o "Archivo de configuración". Se abrirá un editor de texto.
Añade las reglas de seguridad: Dentro del bloque server { ... }, añade las siguientes líneas. Si ya existe un bloque location, añádelas dentro de él.

# Ocultar la versión de WordPress en los encabezados (menos común, pero útil)
server_tokens off;

# Bloquear la consulta que revela la versión en el meta generator
location ~* /wp-admin/load-scripts.php { ... }

# Redirigir o bloquear intentos de leer el readme.html
location = /readme.html { deny all; }

# Eliminar el parámetro ?ver de los archivos estáticos
location ~* \.(css|js)$ {
    expires 7d;
    add_header Cache-Control "public";
    # Eliminar el argumento 'ver' de la petición
    if ($args ~* "ver=") {
        rewrite ^(.*)$ $1? last;
    }
}

[INFO]: El bloque if en Nginx a veces está mal visto por temas de rendimiento, pero en este contexto específico es aceptable y muy común. La alternativa más limpia es usar un mapa, pero para una guía básica, esta regla funciona perfectamente.

Configuración para Apache (con .htaccess)

Si tu servidor usa Apache, la cosa es más sencilla. Solo tienes que editar el archivo .htaccess de la raíz de tu sitio.

Accede a tus archivos: Puedes usar el administrador de archivos de Syspanel o un cliente FTP como FileZilla.
Busca el archivo .htaccess: Está en la carpeta pública de tu sitio (normalmente public_html).
Añade las reglas: Al final del archivo, añade estas líneas:

# Ocultar la versión de WordPress
<IfModule mod_headers.c>
    Header unset X-Powered-By
    Header unset X-Generator
</IfModule>

# Eliminar el parámetro ?ver de los archivos estáticos
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{QUERY_STRING} \bver= [NC]
    RewriteRule ^(.*)$ /$1? [R=301,L]
</IfModule>

# Bloquear el acceso al archivo readme.html
<Files readme.html>
    Order allow,deny
    Deny from all
</Files>

[WARNING]: Antes de editar el .htaccess, haz una copia de seguridad. Un error en este archivo puede hacer que tu sitio web deje de cargar. Si eso ocurre, no entres en pánico, simplemente restaura la copia de seguridad.

Más allá de la versión: Otras medidas de protección en Syspanel

Ocultar la versión es solo una pieza del puzzle. Para una protección wordpress syspanel completa, te recomendamos combinar esta acción con otras prácticas:

Actualiza siempre: La mejor seguridad es mantener WordPress, tus plugins y temas actualizados a la última versión. Las actualizaciones corrigen vulnerabilidades conocidas.
Cambia el prefijo de la base de datos: No uses el predeterminado wp_. Esto dificulta los ataques de inyección SQL.
Usa contraseñas fuertes: Tanto para tu panel de administración de WordPress como para tu usuario de Syspanel. Una contraseña robusta es tu primera línea de defensa.
Activa la autenticación de dos factores (2FA): Añade una capa extra de verificación al iniciar sesión.
Programa copias de seguridad: Asegúrate de tener copias de seguridad automatizadas en Syspanel. Si algo sale mal, podrás restaurar tu sitio en minutos.

Preguntas Frecuentes (FAQ)

¿Es ilegal ocultar la versión de WordPress?

No, para nada. Es una práctica de seguridad estándar y completamente legal. Estás modificando tu propio sitio web para protegerlo.

¿Ocultar la versión afecta al SEO?

No, en absoluto. Google y otros buscadores no penalizan por esto. De hecho, puede ser beneficioso indirectamente, ya que un sitio más seguro y estable suele tener mejores métricas de rendimiento.

¿Necesito ser un experto para hacer esto?

No. Con los métodos que te hemos mostrado, especialmente el del plugin, cualquier persona puede hacerlo en menos de 5 minutos. El método manual y el del servidor requieren un poco más de conocimiento, pero con esta guía paso a paso, es totalmente factible.

¿Qué pasa si mi tema o plugin usa la versión de WordPress para funcionar?

Es muy poco probable. La versión de WordPress no se usa para el funcionamiento de scripts. Es más un dato informativo. Al ocultarla, no romperás nada.

¿Dónde puedo ver mi versión de WordPress si la he ocultado?

Puedes verla desde el panel de administración de WordPress. En el escritorio, en la esquina inferior derecha, verás "Versión X.X.X". O en Usuarios > Perfil, en la parte inferior, también aparece.

¿Syspanel es lo mismo que HestiaCP?

Sí, Syspanel es el nombre que usamos en nuestro servicio para referirnos al panel de control que antiguamente se conocía como HestiaCP. Es la misma herramienta, pero con nuestro branding. El puerto de acceso es el 2106.

[TIP]: Te recomendamos que combines el método 1 (plugin) con el método 3 (servidor). El plugin te da una capa extra de seguridad a nivel de aplicación, y el servidor actúa como un filtro previo, haciendo la protección más robusta y rápida.

Conclusión: Un pequeño paso para tu web, un gran paso para tu seguridad

Ocultar versión wordpress es una de esas tareas de mantenimiento que, aunque parecen insignificantes, tienen un impacto real en la salud de tu sitio. Es un hábito que todo buen administrador de WordPress debería adoptar. No esperes a ser víctima de un ataque para actuar; la prevención es la clave.

Con las herramientas y los métodos que te hemos mostrado, especialmente aprovechando las funcionalidades de Syspanel, ahora tienes el conocimiento necesario para implementar esta mejora de seguridad en cuestión de minutos. Recuerda que la seguridad no es un destino, sino un viaje continuo. Mantente informado, aplica buenas prácticas y tu WordPress estará mucho más seguro.

Si tienes alguna duda o problema durante el proceso, no dudes en contactar con nuestro equipo de soporte. Estamos aquí para ayudarte a que tu experiencia con Syspanel y WordPress sea segura y exitosa. ¡Buena suerte y a proteger tu sitio!