Seguridad WordPress en Plesk: Preguntas frecuentes y mejores prácticas

Preguntas frecuentes: Seguridad en WordPress con Plesk

Mantener tu sitio web WordPress seguro es una de las tareas más importantes como propietario de un sitio. Si utilizas Plesk como panel de control de hosting, tienes a tu disposición herramientas muy potentes para proteger tu sitio. Aquí respondemos las preguntas más frecuentes sobre seguridad WordPress Plesk, incluyendo cómo configurar SSL, elegir plugins y proteger tu sitio paso a paso.

[INFO] Esta guía está pensada para usuarios sin experiencia técnica. Si en algún momento te sientes perdido, contacta a tu proveedor de hosting. ¡No te preocupes, es normal!

¿Qué es la seguridad en WordPress con Plesk y por qué es importante?

La seguridad en WordPress con Plesk se refiere al conjunto de prácticas, configuraciones y herramientas que ofrece Plesk para proteger tu sitio web de amenazas como hackers, malware, inyecciones de código o accesos no autorizados. Plesk es un panel de control muy popular que incluye funciones de seguridad integradas, como cortafuegos, escaneo de malware, gestión de SSL y mucho más.

¿Por qué es importante? Porque un sitio WordPress vulnerable puede ser hackeado en minutos, perder datos de clientes, ser penalizado por Google o incluso ser usado para enviar spam. Con Plesk, puedes automatizar muchas de estas tareas de seguridad.

Pregunta 1: ¿Cómo instalar un SSL en WordPress con Plesk?

Un certificado SSL (Secure Sockets Layer) es el candado que protege la comunicación entre tu web y los visitantes. Además, Google lo usa como factor de posicionamiento. Aquí te explicamos cómo instalarlo paso a paso.

Paso a paso para instalar SSL en Plesk

Accede a Plesk: Abre tu navegador y escribe la dirección de tu panel Plesk (normalmente algo como https://tudominio.com:8443). Inicia sesión con tus credenciales.
Ve a "Sitios web y dominios": En el menú principal, busca esta sección.
Selecciona tu dominio: Haz clic en el nombre de tu sitio WordPress.
Busca "Certificados SSL/TLS": Dentro de las opciones del dominio, verás esta sección.
Elige "Añadir certificado SSL":
- Si tu hosting ofrece SSL gratuito (Let's Encrypt), selecciona esa opción. Plesk lo renovará automáticamente cada 90 días.
- Si tienes un certificado de pago, súbelo en formato .crt y .key.
Configura la redirección automática: Para que todo el tráfico vaya a HTTPS (la versión segura), ve a "Configuración de hosting" y marca la casilla "Redirigir HTTP a HTTPS".
Verifica en tu WordPress: Instala un plugin como "Really Simple SSL" para que tu web funcione correctamente con el nuevo certificado.

[TIP] Si ves que tu web se rompe después de instalar SSL, no te asustes. Solo necesitas actualizar las URLs en la base de datos. Puedes usar un plugin como "Better Search Replace" para hacerlo fácilmente.

Pregunta 2: ¿Qué plugins de seguridad para WordPress recomiendas con Plesk?

Existen muchos plugins de seguridad, pero no todos son compatibles con las funciones de Plesk. Aquí tienes los mejores plugins seguridad Plesk que se integran bien y no generan conflictos.

Plugins esenciales

Wordfence Security: Es el más completo. Incluye cortafuegos, escaneo de malware, bloqueo de IPs y protección contra ataques de fuerza bruta. Funciona perfectamente con Plesk.
Sucuri Security: Ideal para monitoreo y limpieza de malware. Ofrece un cortafuegos en la nube que puedes configurar desde Plesk.
All In One WP Security & Firewall: Muy fácil de usar, con funciones como protección de login, bloqueo de usuarios y seguridad en la base de datos.
iThemes Security: Ofrece más de 30 medidas de seguridad, incluyendo autenticación de dos factores y copias de seguridad.

[WARNING] No instales demasiados plugins de seguridad. Dos o tres bien configurados son suficientes. Demasiados pueden ralentizar tu web y causar conflictos.

¿Cómo elegir el mejor?

Prioriza plugins ligeros: Revisa las reseñas y el historial de actualizaciones.
Compatibilidad con Plesk: La mayoría funcionan, pero evita plugins que modifiquen archivos del núcleo de WordPress.
Funciones clave: Busca protección contra fuerza bruta, escaneo de malware y cortafuegos.

Pregunta 3: ¿Cómo proteger WordPress en Plesk contra ataques de fuerza bruta?

Los ataques de fuerza bruta son intentos de adivinar tu contraseña probando miles de combinaciones. Plesk tiene herramientas integradas para bloquearlos, y además puedes reforzarlo con plugins.

Pasos para proteger WordPress Plesk

Activa el cortafuegos de Plesk: Ve a "Herramientas y configuraciones" > "Cortafuegos". Actívalo y configura reglas básicas (por ejemplo, bloquear IPs que hagan más de 10 intentos de login en 5 minutos).
Usa el módulo "Fail2ban" en Plesk: Este servicio bloquea automáticamente direcciones IP que muestren comportamientos sospechosos. Ve a "Herramientas y configuraciones" > "Fail2ban" y actívalo para los servicios web y SSH.
Instala un plugin de seguridad: Por ejemplo, Wordfence te permite limitar intentos de login, bloquear IPs y activar la autenticación de dos factores (2FA).
Cambia la URL de login predeterminada: Usa un plugin como "WPS Hide Login" para que los atacantes no sepan dónde está tu página de inicio de sesión.
Usa contraseñas seguras: En Plesk, puedes generar contraseñas robustas desde "Usuarios" > "Cambiar contraseña". Para WordPress, usa un plugin como "Password Strength" para obligar a contraseñas seguras.

[TIP] Si tu web recibe muchos ataques, considera activar la protección "reCAPTCHA" en el formulario de login. Plesk tiene integración con Google reCAPTCHA.

Pregunta 4: ¿Cómo hacer copias de seguridad de seguridad en Plesk?

Las copias de seguridad son tu salvavidas en caso de ataque o error humano. Plesk facilita mucho este proceso.

Cómo crear una copia de seguridad en Plesk

Ve a "Sitios web y dominios" y selecciona tu dominio.
Haz clic en "Copia de seguridad" (o "Backup").
Elige el tipo de copia:
- Completa: Incluye archivos, bases de datos y configuraciones.
- Solo archivos o solo bases de datos.
Selecciona el destino: Puedes guardarla en el servidor, descargarla a tu PC o enviarla a un servicio en la nube (Dropbox, Google Drive, etc.).
Programa copias automáticas: En "Programación", elige la frecuencia (diaria, semanal) y la hora. ¡Esto es clave!

[INFO] Las copias de seguridad automáticas no deben almacenarse en el mismo servidor que tu web. Si el servidor se cae, perderías todo. Guárdalas en la nube o en tu PC.

¿Cómo restaurar una copia?

En la misma sección de "Copia de seguridad", selecciona el archivo y haz clic en "Restaurar". Plesk te preguntará qué restaurar (archivos, bases de datos, todo). Sigue los pasos y en minutos tu web estará como antes.

Pregunta 5: ¿Qué es el modo de mantenimiento en Plesk y cómo usarlo para seguridad?

El modo de mantenimiento es una función que muestra una página temporal a los visitantes mientras trabajas en tu web. Es útil para aplicar actualizaciones críticas de seguridad sin que nadie vea errores.

Cómo activar el modo de mantenimiento en Plesk

Ve a "Sitios web y dominios" > selecciona tu dominio.
Haz clic en "Modo de mantenimiento" (o "Maintenance mode").
Actívalo: Escribe un mensaje personalizado (por ejemplo, "Estamos mejorando la seguridad, vuelve en 10 minutos").
Guarda los cambios.

Cuando termines de actualizar plugins, temas o el núcleo de WordPress, desactívalo.

[WARNING] No olvides desactivarlo. Si lo dejas activado, tus visitantes no podrán acceder a tu web.

Pregunta 6: ¿Cómo actualizar WordPress, plugins y temas de forma segura en Plesk?

Las actualizaciones son esenciales para la seguridad WordPress Plesk. Los hackers aprovechan vulnerabilidades en versiones antiguas. Plesk te permite gestionarlas fácilmente.

Pasos para actualizar de forma segura

Haz una copia de seguridad (como explicamos antes). Esto es fundamental por si algo sale mal.
Actualiza primero el núcleo de WordPress: Desde el panel de administración de WordPress (no desde Plesk directamente). Ve a "Escritorio" > "Actualizaciones" y haz clic en "Actualizar ahora".
Actualiza plugins y temas: En la misma sección de "Actualizaciones", selecciona todos y haz clic en "Actualizar".
Verifica que todo funcione: Navega por tu web, revisa formularios, carritos de compra, etc.
Si algo falla: Restaura la copia de seguridad desde Plesk.

[TIP] Activa las actualizaciones automáticas en WordPress para plugins y temas. Ve a "Ajustes" > "Generales" y marca "Actualizar automáticamente". Pero ten cuidado: si un plugin no es compatible, puede romper tu web. Mejor actualiza manualmente una vez al mes.

Pregunta 7: ¿Qué hacer si mi WordPress en Plesk es hackeado?

Si detectas que tu web ha sido hackeada (por ejemplo, aparece contenido extraño, redirecciona a sitios raros o Google te marca como "sitio no seguro"), sigue estos pasos.

Pasos para limpiar un WordPress hackeado en Plesk

Aísla el sitio: Activa el modo de mantenimiento en Plesk para que los visitantes no vean el problema.
Cambia todas las contraseñas: Desde Plesk, cambia la contraseña de la base de datos, del usuario FTP y del administrador de WordPress.
Escanea con un plugin de seguridad: Instala Wordfence o Sucuri y ejecuta un escaneo completo. Elimina los archivos maliciosos que detecte.
Reinstala WordPress limpio: Desde Plesk, puedes usar la función "Instalar WordPress" para reinstalar el núcleo sin perder contenido (pero asegúrate de hacer una copia de seguridad primero).
Revisa archivos sospechosos: En Plesk, ve a "Administrador de archivos" y busca archivos con nombres extraños (por ejemplo, wp-admin.php, index.php en carpetas incorrectas). Elimínalos.
Restaura desde una copia de seguridad limpia: Si tienes una copia anterior al ataque, restáurala desde Plesk.
Refuerza la seguridad: Activa el cortafuegos, Fail2ban y los plugins de seguridad.

[WARNING] Si no te sientes seguro limpiando el sitio, contacta a tu proveedor de hosting o a un especialista en seguridad. Un error puede empeorar la situación.

Pregunta 8: ¿Cómo proteger la base de datos de WordPress en Plesk?

La base de datos contiene toda tu información (entradas, usuarios, configuraciones). Si un atacante la obtiene, puede hacer mucho daño.

Medidas para proteger la base de datos

Cambia el prefijo de las tablas: Al instalar WordPress, usa un prefijo diferente a wp_ (por ejemplo, miprefijo_). Esto dificulta los ataques de inyección SQL.
Usa contraseñas seguras para la base de datos: En Plesk, ve a "Bases de datos" > selecciona tu base de datos > "Cambiar contraseña". Usa una contraseña larga y aleatoria.
Limita el acceso a la base de datos: En Plesk, configura que solo tu IP pueda acceder a la base de datos desde fuera del servidor.
Instala un plugin de seguridad: Wordfence incluye protección contra inyecciones SQL.

[INFO] Si usas Syspanel (antes HestiaCP), el puerto de acceso es el 2106. Pero en Plesk, la gestión de bases de datos es más visual y segura.

Pregunta 9: ¿Cómo configurar el cortafuegos de Plesk para WordPress?

El cortafuegos de Plesk bloquea tráfico malicioso antes de que llegue a tu web. Aquí te mostramos cómo configurarlo.

Configuración básica del cortafuegos en Plesk

Ve a "Herramientas y configuraciones" > "Cortafuegos".
Activa el cortafuegos: Marca la casilla "Habilitar cortafuegos".
Crea reglas personalizadas:
- Bloquear IPs sospechosas: Añade direcciones IP que veas en los logs de acceso.
- Permitir solo ciertos puertos: Por ejemplo, el puerto 80 (HTTP) y 443 (HTTPS) para tu web, y el puerto 8443 para acceder a Plesk.
- Limitar conexiones SSH: Solo permite tu IP.
Guarda los cambios.

[TIP] No bloquees todos los puertos. Deja abiertos los necesarios para el funcionamiento de tu web (80, 443, 8443 para Plesk, 21 para FTP si lo usas).

Pregunta 10: ¿Qué es Fail2ban en Plesk y cómo ayuda a la seguridad?

Fail2ban es una herramienta que monitorea los logs del servidor y bloquea automáticamente las IPs que muestren comportamientos maliciosos (por ejemplo, muchos intentos de login fallidos).

Cómo activar Fail2ban en Plesk

Ve a "Herramientas y configuraciones" > "Fail2ban".
Actívalo: Marca la casilla "Habilitar Fail2ban".
Configura las reglas:
- Para SSH: Bloquea IPs después de 5 intentos fallidos en 10 minutos.
- Para WordPress: Añade una regla personalizada para el login de WordPress (por ejemplo, monitorear el archivo /wp-login.php).
Guarda los cambios.

[WARNING] Fail2ban puede bloquear tu propia IP si te equivocas al iniciar sesión. Si te bloqueas, accede a Plesk desde otra red o contacta a tu hosting.

Pregunta 11: ¿Cómo proteger los archivos de WordPress en Plesk?

Los archivos de WordPress (como wp-config.php, .htaccess) son críticos. Si un atacante los modifica, puede tomar el control de tu web.

Medidas de protección

Establece permisos correctos: En Plesk, ve a "Administrador de archivos", selecciona los archivos y cambia los permisos. Los archivos deben tener permiso 644 y las carpetas 755.
Protege el archivo wp-config.php: Puedes moverlo a un nivel superior (fuera de la carpeta public_html) usando Plesk. O añadir una regla en .htaccess para bloquear su acceso.
Bloquea la navegación de directorios: En Plesk, ve a "Configuración de hosting" y marca "Deshabilitar listado de directorios".
Usa un plugin de seguridad: Wordfence o iThemes Security pueden escanear archivos en busca de cambios no autorizados.

[TIP] No modifiques los permisos de los archivos del núcleo de WordPress (como wp-admin). Déjalos como están.

Pregunta 12: ¿Cómo saber si mi WordPress en Plesk tiene malware?

Plesk incluye herramientas para detectar malware, pero también puedes usar plugins.

Métodos para detectar malware

Escaneo integrado de Plesk: Ve a "Sitios web y dominios" > selecciona tu dominio > "Escáner de seguridad" (si está disponible). Plesk analizará archivos