Seguridad WordPress en Plesk: mejores prácticas

¿Por qué es importante la seguridad en WordPress alojado en Plesk?

Si tienes un sitio web en WordPress, sabes que es una plataforma increíblemente potente y flexible. Sin embargo, esa misma popularidad la convierte en un objetivo constante para ataques. Cuando tu sitio está alojado en un panel de control como Plesk, tienes herramientas adicionales a tu disposición para proteger WordPress en Plesk de forma efectiva. No necesitas ser un experto en seguridad para aplicar estos consejos; solo un poco de atención y seguir unos pasos sencillos.

Plesk es un panel de hosting muy robusto que ofrece funcionalidades nativas para gestionar la seguridad de tus sitios web. Combinar estas herramientas con buenas prácticas específicas de WordPress es la mejor receta para mantener tu web a salvo de hackers, malware y accesos no autorizados.

A continuación, te compartimos una guía completa con consejos de seguridad para WordPress que puedes implementar hoy mismo. Vamos paso a paso, como si estuviéramos sentados frente a tu ordenador.

## 1. Mantén todo actualizado: la regla de oro

El primer y más básico consejo de seguridad WordPress es la actualización constante. Los desarrolladores de WordPress, de los temas y de los plugins lanzan parches de seguridad periódicamente para corregir vulnerabilidades. Ignorar estas actualizaciones es como dejar la puerta de tu casa abierta.

### Actualiza el núcleo de WordPress

Desde el panel de administración de WordPress (wp-admin), verás notificaciones cuando haya una nueva versión. No las pospongas. Las actualizaciones menores (como de la 6.4 a la 6.4.1) suelen ser solo de seguridad y son muy seguras.

### Actualiza temas y plugins

Los temas y plugins son una de las principales puertas de entrada para los atacantes. Muchos ataques automatizados buscan versiones desactualizadas de plugins populares.

[WARNING] Nunca uses temas o plugins nulled (versiones pirateadas). Suelen contener código malicioso oculto que compromete tu seguridad desde el primer momento.

### Activa las actualizaciones automáticas (con cuidado)

En Plesk, puedes habilitar las actualizaciones automáticas para WordPress desde la extensión "WordPress Toolkit". Ve a tu sitio en Plesk, busca la sección de WordPress y activa las actualizaciones automáticas para el núcleo. Para plugins y temas, es recomendable hacerlo manualmente o activarlo solo para aquellos que sean de confianza.

## 2. Fortalece el acceso a tu panel de administración

El acceso a /wp-admin es la puerta principal de tu sitio. Si un atacante consigue las credenciales, puede hacer cualquier cosa. Por eso, proteger WordPress en Plesk implica blindar este acceso.

### Cambia el nombre de usuario "admin"

Por defecto, muchos sitios usan el usuario "admin". Este es el primer intento de cualquier ataque de fuerza bruta. Crea un usuario nuevo con permisos de administrador y un nombre único (por ejemplo, "tuNombreWeb2024") y luego elimina o desactiva el usuario "admin".

### Usa contraseñas fuertes y únicas

Parece obvio, pero aún se ven contraseñas como "123456" o "password". Usa un gestor de contraseñas (como LastPass, Bitwarden o 1Password) para generar y almacenar contraseñas complejas. Una buena contraseña debe tener al menos 12 caracteres, con mayúsculas, minúsculas, números y símbolos.

### Limita los intentos de inicio de sesión

Los ataques de fuerza bruta prueban miles de combinaciones de usuario y contraseña por minuto. Instala un plugin de seguridad (como Limit Login Attempts Reloaded o WPS Limit Login) o, mejor aún, configura esta opción desde Plesk si tu plan lo permite. Esto bloqueará temporalmente una IP después de varios intentos fallidos.

### Activa la autenticación de dos factores (2FA)

Añadir una capa extra de seguridad es una de las mejores decisiones que puedes tomar. Con 2FA, incluso si alguien obtiene tu contraseña, necesitará un código adicional de tu teléfono para acceder. Hay plugins gratuitos como Google Authenticator o WP 2FA que lo hacen muy fácil.

[TIP] Combina 2FA con un plugin que envíe alertas por correo cada vez que alguien inicie sesión. Así estarás al tanto de cualquier acceso sospechoso.

## 3. Aprovecha las herramientas de seguridad nativas de Plesk

Plesk no es solo un panel para gestionar archivos y bases de datos; incluye funcionalidades de seguridad muy potentes. Aquí te mostramos cómo usarlas para WordPress seguridad hosting.

### Activa el cortafuegos de aplicaciones web (WAF)

El WAF de Plesk (basado en ModSecurity) filtra el tráfico entrante y bloquea peticiones maliciosas antes de que lleguen a tu WordPress. Ve a Herramientas y configuraciones > Seguridad > Cortafuegos de aplicaciones web y actívalo para tu dominio. Puedes elegir el conjunto de reglas OWASP, que es el estándar de la industria.

### Habilita el Fail2Ban

Fail2Ban es un sistema que monitorea los logs del servidor y bloquea automáticamente las IPs que muestran comportamientos sospechosos (como múltiples intentos fallidos de inicio de sesión). En Plesk, puedes activarlo desde Herramientas y configuraciones > Seguridad > Fail2Ban. Asegúrate de que la regla para "WordPress" esté habilitada.

### Usa el WordPress Toolkit de Plesk

Esta extensión es una joya. Te permite gestionar la seguridad de múltiples sitios WordPress desde un solo lugar. Desde ahí puedes:

Activar el modo de mantenimiento de forma segura.
Escaneo de seguridad: Plesk puede analizar tu instalación en busca de archivos maliciosos o cambios no autorizados.
Proteger el directorio wp-admin con una contraseña adicional (autenticación HTTP básica). Esto añade una barrera extra incluso antes de llegar al login de WordPress.

[INFO] Si usas Syspanel (el panel basado en HestiaCP), recuerda que el puerto de acceso es el 2106. Aunque no es Plesk, muchos de los consejos de seguridad aplican igual: actualizaciones, contraseñas fuertes y plugins de seguridad.

## 4. Configura correctamente los permisos de archivos y la base de datos

Una mala configuración de permisos puede permitir que un atacante suba archivos maliciosos o modifique tu sitio.

### Permisos de archivos y carpetas

En Plesk, puedes ver y modificar los permisos desde el Administrador de archivos. La regla general es:

Carpetas: 755 (el propietario puede escribir, los demás solo leer y ejecutar).
Archivos: 644 (el propietario puede escribir, los demás solo leer).
Archivo wp-config.php: 600 o 640 (muy restrictivo, ya que contiene credenciales de la base de datos).

No dejes nunca archivos con permisos 777 (escritura para todos).

### Protege el archivo wp-config.php

Este archivo contiene las claves de acceso a tu base de datos y las salts de seguridad. Además de los permisos, puedes moverlo un nivel por encima de la raíz de WordPress (en Plesk, la raíz del dominio suele ser httpdocs). WordPress buscará automáticamente el archivo en el directorio superior.

### Cambia el prefijo de las tablas de la base de datos

Por defecto, las tablas de WordPress empiezan con wp_. Esto facilita los ataques de inyección SQL. Durante la instalación, puedes cambiarlo a algo como miweb_ o blog2024_. Si ya tienes el sitio instalado, existen plugins que te ayudan a hacer este cambio de forma segura (como Change Table Prefix o similar).

## 5. Elige plugins de seguridad con cabeza y elimina lo que no uses

Los plugins son fantásticos, pero cada uno añade código que puede ser vulnerable. Menos es más.

### Instala solo los plugins necesarios

Revisa tu lista de plugins y elimina aquellos que no estés usando activamente. Un plugin desactualizado pero instalado sigue siendo un riesgo.

### Elige plugins de fuentes confiables

Descarga plugins solo del repositorio oficial de WordPress o de desarrolladores reconocidos. Lee las reseñas, la frecuencia de actualizaciones y el número de instalaciones activas.

### Plugins de seguridad recomendados (ligeros y eficaces)

Wordfence Security: Muy completo, con firewall, escáner de malware y bloqueo de IPs.
Sucuri Security: Excelente para monitoreo y hardening.
iThemes Security (Better WP Security): Ofrece más de 30 medidas de seguridad, incluyendo cambio de prefijo de tablas y protección contra fuerza bruta.

[WARNING] No instales varios plugins de seguridad que hagan lo mismo (por ejemplo, dos firewalls). Pueden entrar en conflicto y ralentizar tu sitio.

## 6. Implementa un firewall a nivel de aplicación

Además del WAF de Plesk, puedes añadir una capa extra con un firewall a nivel de WordPress.

### Cloudflare o servicios similares

Usar un CDN como Cloudflare no solo mejora la velocidad, sino que también ofrece un firewall (WAF) en su plan gratuito. Oculta tu IP real, filtra tráfico malicioso y mitiga ataques DDoS.

### Reglas en el archivo .htaccess

Si tu servidor usa Apache (lo más común en Plesk), puedes añadir reglas manuales al archivo .htaccess para bloquear direcciones IP sospechosas, deshabilitar la navegación de directorios o proteger archivos sensibles. Por ejemplo, para bloquear el acceso a wp-includes:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/(.*) - [F]
</IfModule>

[TIP] Siempre haz una copia de seguridad de tu .htaccess antes de modificarlo. Un error puede dejar tu sitio inaccesible.

## 7. Realiza copias de seguridad periódicas (y pruébalas)

Ningún sistema es 100% seguro. Por eso, las copias de seguridad son tu salvavidas.

### Copias de seguridad en Plesk

Plesk permite programar copias de seguridad automáticas de todo tu sitio (archivos, bases de datos, configuraciones de correo, etc.). Ve a Herramientas y configuraciones > Copia de seguridad y configura una tarea recurrente (diaria o semanal, según la frecuencia de actualización de tu contenido).

### Copias de seguridad con plugins de WordPress

Además de las de Plesk, usa un plugin como UpdraftPlus o BackWPup para tener una copia externa (por ejemplo, en Google Drive, Dropbox o un servidor FTP). Esto te protege incluso si el servidor falla por completo.

### Prueba tus copias de seguridad

No basta con hacerlas; debes asegurarte de que funcionan. Restaura una copia en un entorno de pruebas (o en un subdominio) cada cierto tiempo para verificar que todo está en orden.

## 8. Monitorea tu sitio regularmente

La seguridad no es un evento único, es un proceso continuo.

### Escaneos de malware con Plesk

Usa la herramienta de escaneo de seguridad incluida en el WordPress Toolkit de Plesk. Ejecuta un escaneo completo al menos una vez al mes.

### Monitorea el tráfico y los logs

Plesk ofrece estadísticas de acceso y logs de errores. Revisa periódicamente si hay picos de tráfico extraños o intentos de acceso a archivos que no existen (esto podría indicar un escaneo de vulnerabilidades).

### Servicios de monitoreo externo

Usa herramientas como UptimeRobot o Pingdom para saber si tu sitio está caído. Si se cae repentinamente, podría ser señal de un ataque.

## Preguntas frecuentes (FAQ)

P: ¿Es seguro usar Plesk para WordPress?
R: Sí, Plesk es uno de los paneles de hosting más seguros del mercado. Ofrece herramientas nativas como WAF, Fail2Ban y WordPress Toolkit que facilitan mucho la tarea de proteger tu sitio.

P: ¿Qué hago si mi sitio ya ha sido hackeado?
R: Lo primero, no entres en pánico. Restaura una copia de seguridad limpia (anterior al ataque). Luego, cambia todas las contraseñas (WordPress, FTP, base de datos, Plesk). Escanea tu ordenador en busca de malware (podría haber sido infectado desde tu equipo). Finalmente, revisa los consejos de esta guía para evitar que vuelva a ocurrir.

P: ¿Necesito un plugin de seguridad si ya uso Plesk?
R: No es obligatorio, pero es muy recomendable. Plesk protege el servidor, pero los plugins de seguridad se centran en la aplicación WordPress (protegen el login, escanean archivos, bloquean IPs maliciosas). Lo ideal es combinar ambos.

P: ¿Cada cuánto debo actualizar WordPress?
R: En cuanto esté disponible la actualización. No esperes más de una semana. Activa las actualizaciones automáticas del núcleo en Plesk para no olvidarlo.

P: ¿El hosting compartido en Plesk es seguro para WordPress?
R: Sí, siempre que el proveedor de hosting tenga buenas prácticas de aislamiento entre cuentas. Plesk ofrece características como "modo de aislamiento" para evitar que un sitio vulnerable afecte a otros en el mismo servidor.

## Conclusión

Proteger tu sitio WordPress alojado en Plesk no tiene por qué ser complicado. Siguiendo estos consejos de seguridad para WordPress —actualizaciones constantes, contraseñas fuertes, aprovechar las herramientas de Plesk, elegir buenos plugins y hacer copias de seguridad— reducirás drásticamente el riesgo de sufrir un ataque.

Recuerda que la seguridad es una inversión, no un gasto. Un sitio comprometido puede dañar tu reputación, perder clientes y costarte tiempo y dinero. Dedica una hora al mes a revisar estos puntos y dormirás tranquilo.

Si tienes dudas, no dudes en contactar con el soporte de tu hosting. ¡Estamos aquí para ayudarte a mantener tu web segura!