Seguridad WordPress en Plesk - Preguntas frecuentes y soluciones

¿Te ha pasado que instalas WordPress en tu hosting con Plesk y de repente te entran las dudas? «¿Estará seguro?», «¿Qué hago si me hackean?», «¿Es necesario tanto plugin de seguridad?». Tranquilo, es más común de lo que crees. En este artículo vamos a resolver las dudas más frecuentes sobre la seguridad WordPress Plesk, explicadas paso a paso y en un lenguaje muy sencillo. Al final, te sentirás mucho más tranquilo y sabrás exactamente qué hacer para mantener tu web protegida.

¿Realmente necesito preocuparme por la seguridad en WordPress con Plesk?

Sí, pero sin alarmismo. WordPress es el CMS más usado del mundo, y precisamente por eso es un objetivo frecuente de ataques automatizados. Sin embargo, Plesk ya incluye muchas herramientas de serie que facilitan mucho la protección. La clave está en combinar las funciones nativas de Plesk con buenas prácticas en WordPress.

Piensa en ello como en una casa: Plesk te da la puerta blindada y las ventanas con rejas, pero tú debes recordar cerrar con llave y no dejar la puerta abierta. Con unos pocos ajustes, tu WordPress estará muy bien protegido.

[INFO] La mayoría de los ataques a WordPress no son dirigidos contra tu web en concreto, sino que son bots que buscan vulnerabilidades comunes. Por eso, las medidas básicas de seguridad suelen ser suficientes para desanimarlos.

Dudas frecuentes sobre seguridad WordPress Plesk (FAQ)

Aquí tienes las preguntas que más nos hacen nuestros clientes. Las hemos ordenado de las más básicas a las más técnicas para que vayas de menos a más.

1. ¿Plesk ya protege mi WordPress por defecto?

Sí, pero hasta cierto punto. Plesk ofrece una capa de seguridad a nivel de servidor que incluye:

Cortafuegos de aplicaciones web (mod_security).
Protección contra ataques de fuerza bruta (Fail2ban).
Aislamiento de sitios web (cada WordPress se ejecuta con su propio usuario del sistema).
Escaneos de seguridad integrados (Plesk Security Scanner).

Sin embargo, la seguridad a nivel de aplicación (WordPress) depende de ti. Plesk no actualiza automáticamente tus plugins o temas, ni cambia la contraseña del administrador por ti. Por eso, la combinación de Plesk WordPress seguro es: servidor protegido + buenas prácticas en WordPress.

2. ¿Cómo puedo proteger mi WordPress desde el panel de Plesk?

Plesk tiene un asistente de seguridad muy útil. Para acceder a él:

Inicia sesión en tu panel de Plesk.
Busca la sección «Seguridad» o el icono del escudo.
Haz clic en «Asistente de seguridad del servidor» o «Security Advisor».
Sigue los pasos que te recomiende. Normalmente te sugerirá:
- Cambiar la contraseña de administrador de Plesk por una más fuerte.
- Activar el cortafuegos (firewall).
- Configurar la detección de intrusiones (Fail2ban).
- Revisar los puertos abiertos.

Además, en la sección «WordPress Toolkit» (si está disponible en tu plan), puedes gestionar la seguridad de todas tus instalaciones de WordPress desde un solo lugar. Ahí puedes:

Ver el estado de seguridad de cada sitio (verde, amarillo o rojo).
Activar el modo de seguridad reforzada (hardening) con un solo clic.
Programar actualizaciones automáticas de WordPress, plugins y temas.
Cambiar la contraseña del administrador de WordPress sin entrar en el panel de WordPress.

[TIP] El WordPress Toolkit es una de las herramientas más potentes de Plesk para la seguridad. Si no lo ves, consulta con tu proveedor de hosting para que te lo active.

3. ¿Es necesario usar un plugin de seguridad en WordPress si ya tengo Plesk?

No es obligatorio, pero sí muy recomendable. Plesk protege el servidor, pero no todo lo que ocurre dentro de WordPress. Un buen plugin de seguridad (como Wordfence, Sucuri o iThemes Security) te ayudará a:

Escanear tu web en busca de malware y vulnerabilidades.
Bloquear IPs maliciosas en tiempo real.
Proteger el formulario de inicio de sesión contra ataques de fuerza bruta.
Hacer copias de seguridad (aunque Plesk también puede hacerlas).
Reforzar la seguridad de archivos y carpetas.

¿Cuál elegir? Para la mayoría de usuarios, Wordfence es una excelente opción gratuita. Si quieres algo más ligero, iThemes Security también funciona muy bien. Eso sí, no instales más de dos plugins de seguridad, porque pueden ralentizar tu web y entrar en conflicto entre ellos.

4. ¿Cómo sé si mi WordPress ha sido hackeado?

Es normal preocuparse, pero hay señales claras que te pueden alertar:

Tu web redirige a sitios extraños (especialmente desde móviles).
Aparecen anuncios o ventanas emergentes que no pusiste tú.
No puedes acceder al panel de administración (wp-admin) porque te pide una contraseña que no reconoces.
Recibes quejas de tus visitantes sobre enlaces sospechosos o contenido raro.
Tu web se vuelve muy lenta de repente (puede que esté enviando spam o minando criptomonedas).
Google te marca como «sitio no seguro» o «puede estar comprometido».

Si sospechas de un hackeo, no entres en pánico. Lo primero es cambiar todas las contraseñas (Plesk, WordPress, FTP, base de datos). Luego, escanea tu web con un plugin de seguridad o con la herramienta de escaneo de Plesk. Si el daño es grande, restaura una copia de seguridad limpia (por eso es vital tener copias recientes).

5. ¿Cómo hago una copia de seguridad de mi WordPress en Plesk?

Hacer copias de seguridad es la medida de seguridad más importante. Si algo sale mal, siempre puedes volver atrás. En Plesk tienes dos formas principales:

Opción A: Copia de seguridad desde Plesk (recomendada)

Ve a «Sitios web y dominios».
Selecciona tu dominio.
Busca la opción «Backup Manager» o «Administrador de copias de seguridad».
Haz clic en «Crear copia de seguridad».
Elige si quieres guardarla en el servidor (más rápido) o descargarla a tu ordenador (más seguro).
Programa copias automáticas (diarias o semanales) para no olvidarte.

Opción B: Copia de seguridad con un plugin de WordPress

Plugins como UpdraftPlus o BackupBuddy te permiten hacer copias y enviarlas a la nube (Google Drive, Dropbox, etc.) directamente desde WordPress.
Es una buena opción si no tienes acceso a la función de copias de Plesk o si quieres una capa extra de seguridad.

[WARNING] No confíes solo en las copias de seguridad del servidor. Si el servidor sufre un problema grave, podrías perderlas. Descarga una copia de seguridad a tu ordenador o a la nube al menos una vez al mes.

6. ¿Qué contraseñas debo usar para que mi WordPress sea seguro?

Esta es una de las dudas más habituales. La respuesta corta: contraseñas largas, únicas y complejas. Pero vamos al detalle:

Contraseña de administrador de WordPress: Debe tener al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos. No uses «admin» como nombre de usuario. Crea un usuario con un nombre único.
Contraseña de la base de datos: También debe ser fuerte. Plesk suele generarla automáticamente cuando creas la base de datos. No la cambies a menos que sea necesario.
Contraseña de FTP/SFTP: Igual de importante. Si alguien accede a tus archivos por FTP, puede inyectar código malicioso.
Contraseña de Plesk: La llave maestra. Debe ser extremadamente segura. Activa la autenticación de dos factores (2FA) en Plesk si está disponible.

¿Cómo crear contraseñas seguras sin volverte loco? Usa un gestor de contraseñas (como LastPass, Bitwarden o 1Password). Ellos generan y guardan contraseñas complejas por ti. Solo tendrás que recordar una contraseña maestra.

7. ¿Debo actualizar WordPress, plugins y temas siempre?

Sí, sin excusas. Las actualizaciones corrigen vulnerabilidades de seguridad conocidas. Si no actualizas, dejas la puerta abierta a los atacantes.

En Plesk, puedes automatizar esto desde el WordPress Toolkit:

Ve a WordPress Toolkit.
Selecciona tu sitio.
Haz clic en «Gestionar» o en el icono de ajustes.
Activa la opción «Actualizaciones automáticas» para el núcleo de WordPress, los plugins y los temas.

Si prefieres hacerlo manualmente, entra en tu panel de WordPress y verás un aviso cuando haya actualizaciones disponibles. No las pospongas más de unos días.

[INFO] Antes de actualizar, especialmente si es una actualización mayor (por ejemplo, de WordPress 5.x a 6.x), haz siempre una copia de seguridad. Aunque es raro, alguna actualización puede romper la compatibilidad con algún plugin o tema.

8. ¿Qué es el «hardening» de WordPress y cómo lo activo en Plesk?

El hardening (endurecimiento) es el proceso de aplicar configuraciones de seguridad adicionales para reducir la superficie de ataque. En Plesk, con el WordPress Toolkit, puedes activarlo con un solo clic.

Al activar el modo de seguridad reforzada, Plesk automáticamente:

Desactiva la edición de archivos desde el panel de WordPress (evita que un atacante modifique código si accede a tu admin).
Protege el archivo wp-config.php (el corazón de WordPress).
Desactiva la navegación por directorios (que alguien vea la lista de tus archivos).
Cambia los permisos de archivos y carpetas a valores seguros.

¿Cómo activarlo?

En WordPress Toolkit, selecciona tu sitio.
Busca la pestaña «Seguridad».
Haz clic en «Activar seguridad reforzada» o «Hardening».

Verás que el estado de seguridad de tu sitio cambia a verde. Es una de las medidas más efectivas y sencillas que puedes tomar.

9. ¿Puedo usar certificados SSL gratis con Plesk para proteger mi WordPress?

Sí, y además es muy recomendable. El SSL (el candado verde en la barra de direcciones) cifra la comunicación entre tu web y tus visitantes, protegiendo datos como contraseñas o información de tarjetas de crédito.

Plesk integra Let’s Encrypt, una autoridad que ofrece certificados SSL gratuitos. Para instalarlo:

Ve a «Sitios web y dominios».
Selecciona tu dominio.
Busca la opción «Let’s Encrypt» o «SSL/TLS».
Haz clic en «Añadir» o «Instalar».
Introduce tu correo electrónico y selecciona los dominios que quieres proteger.
Activa la renovación automática (para que no se caduque).

Una vez instalado, asegúrate de que tu WordPress fuerza el uso de HTTPS. Puedes hacerlo desde el panel de WordPress (Ajustes > Generales) o con un plugin como Really Simple SSL. Plesk también puede forzar la redirección automática desde el panel.

10. ¿Qué hago si recibo un aviso de seguridad de Plesk o de mi plugin?

No lo ignores. Los avisos de seguridad suelen indicar que hay una vulnerabilidad conocida o un comportamiento sospechoso.

Pasos a seguir:

Lee el aviso con calma. Entiende qué está pasando.
Actualiza todo (WordPress, plugins, temas) inmediatamente.
Cambia todas las contraseñas (especialmente la de administrador de WordPress y FTP).
Escanea tu web con un plugin de seguridad o con la herramienta de Plesk.
Revisa los usuarios de WordPress. Asegúrate de que no haya usuarios desconocidos con permisos de administrador.
Si el aviso persiste, contacta con el soporte técnico de tu hosting. Ellos pueden revisar los logs del servidor para detectar el origen del problema.

[TIP] La mayoría de los avisos de seguridad son por actualizaciones pendientes. Si mantienes todo al día, reducirás estos avisos en un 90%.

Consejos extra para mantener tu Plesk WordPress seguro

Además de resolver las dudas anteriores, aquí tienes algunos consejos prácticos que marcan la diferencia:

Elimina plugins y temas que no uses. Cada plugin inactivo es un posible agujero de seguridad.
Cambia el prefijo de la base de datos de wp_ a algo único (esto se hace al instalar WordPress, o con un plugin después).
Usa un tema de confianza. Los temas nulled (piratas) suelen incluir malware.
Limita los intentos de inicio de sesión. Un plugin como Limit Login Attempts Reloaded bloquea IPs después de varios intentos fallidos.
Activa la autenticación de dos factores (2FA) para el acceso a WordPress y a Plesk si es posible. Es una capa extra de seguridad muy eficaz.
Revisa los logs de acceso en Plesk de vez en cuando. Verás qué IPs intentan acceder a tu web y desde dónde.

Conclusión: La seguridad en WordPress con Plesk está en tus manos

Como has visto, las dudas sobre la seguridad WordPress Plesk tienen respuestas claras y acciones concretas. No necesitas ser un experto en ciberseguridad para mantener tu web protegida. Con las herramientas que te ofrece Plesk (WordPress Toolkit, SSL gratis, copias de seguridad, hardening) y siguiendo las buenas prácticas que hemos visto (contraseñas fuertes, actualizaciones, plugins de seguridad), tu WordPress estará en un excelente estado de salud.

Recuerda: la seguridad no es un destino, es un proceso. Dedica 10 minutos al mes a revisar tu web, actualizar lo necesario y hacer una copia de seguridad. Tu yo del futuro (y tus visitantes) te lo agradecerán.

Si en algún momento te surge una duda, no dudes en consultar la documentación de Plesk o contactar con el soporte de tu hosting. ¡Estamos aquí para ayudarte a mantener tu web segura y funcionando!