FAQ seguridad WordPress en cPanel y Plesk | Respuestas

Introducción: ¿Por qué es importante la seguridad en WordPress?

Si tienes una página web con WordPress, probablemente ya sabes que es el CMS más popular del mundo. Y precisamente por eso, también es uno de los objetivos favoritos de los atacantes. Pero no te preocupes: la mayoría de los problemas de seguridad se pueden evitar con medidas básicas y sentido común.

En este artículo, vamos a responder las preguntas más frecuentes sobre seguridad WordPress FAQ, enfocándonos en dos de los paneles de control más usados en el hosting: cPanel y Plesk. También veremos cómo proteger tu sitio desde el propio panel, sin necesidad de ser un experto en informática.

¿Qué es lo primero que debo hacer para proteger mi WordPress?

La seguridad empieza desde el momento en que instalas WordPress. Aquí tienes los pasos esenciales:

1. Usa contraseñas seguras y únicas

Parece obvio, pero muchas vulnerabilidades ocurren por contraseñas débiles. No uses "admin" como usuario ni "123456" como clave.

[TIP] Usa un gestor de contraseñas como Bitwarden o 1Password. Así generas claves largas y las guardas sin tener que memorizarlas.

2. Mantén todo actualizado

WordPress (núcleo)
Temas (especialmente si son gratuitos)
Plugins (cada actualización suele incluir parches de seguridad)

3. Instala un plugin de seguridad

Los más recomendados para principiantes son:

Wordfence
Sucuri Security
iThemes Security

Estos plugins escanean tu sitio, bloquean ataques y te avisan de posibles problemas.

Preguntas frecuentes sobre seguridad en cPanel

cPanel es uno de los paneles de control más comunes en el hosting compartido. Aquí tienes las dudas más habituales sobre cPanel seguridad WordPress.

¿Cómo cambio la contraseña de la base de datos desde cPanel?

Ingresa a cPanel (normalmente en tudominio.com/cpanel).
Busca la sección Bases de datos y haz clic en MySQL Databases.
En la lista de bases de datos, busca la que usa tu WordPress.
Haz clic en Cambiar contraseña al lado del usuario correspondiente.
Elige una contraseña segura (mínimo 12 caracteres, con mayúsculas, números y símbolos).
Guarda los cambios y actualiza el archivo wp-config.php con la nueva contraseña.

[WARNING] Si cambias la contraseña de la base de datos, tu web dejará de funcionar hasta que actualices el archivo wp-config.php. Hazlo justo después.

¿Cómo proteger el directorio de administración (wp-admin) con cPanel?

Una capa extra de seguridad es añadir una contraseña adicional para acceder a /wp-admin/. Esto se hace con la función Proteger directorios de cPanel.

En cPanel, ve a Seguridad > Proteger directorios.
Selecciona la carpeta wp-admin de tu sitio.
Marca la opción Proteger este directorio con una contraseña.
Crea un nombre para el área protegida (por ejemplo, "Acceso Administrador").
Añade un usuario y una contraseña (diferente a la de WordPress).
Guarda los cambios. Ahora, al entrar a /wp-admin/, te pedirá primero esta clave.

¿Cómo deshabilitar la edición de archivos desde el panel de WordPress?

Por defecto, WordPress permite editar archivos PHP desde el propio panel (Apariencia > Editor). Esto es un riesgo si alguien accede a tu cuenta.

Para deshabilitarlo, añade esta línea al archivo wp-config.php (lo encuentras en la raíz de tu instalación):

define('DISALLOW_FILE_EDIT', true);

Puedes editarlo desde cPanel > Administrador de archivos o mediante FTP.

Preguntas frecuentes sobre seguridad en Plesk

Plesk es otro panel muy popular, especialmente en servidores VPS y dedicados. Veamos las dudas más comunes sobre Plesk WordPress seguridad.

¿Cómo activar la protección contra fuerza bruta en Plesk?

Los ataques de fuerza bruta intentan adivinar tu contraseña probando miles de combinaciones. Plesk incluye una herramienta llamada Fail2ban para bloquear estas IPs.

Inicia sesión en Plesk.
Ve a Herramientas y configuración > Fail2ban (en la sección Seguridad).
Activa el servicio si no lo está.
Busca la regla para WordPress (suele llamarse plesk-wordpress o similar).
Asegúrate de que esté habilitada y configurada para bloquear IPs después de varios intentos fallidos.

[INFO] Fail2ban también protege otros servicios como SSH o FTP. Es una de las mejores defensas automáticas.

¿Cómo configurar un certificado SSL en Plesk para mi WordPress?

Un sitio con SSL (HTTPS) cifra la comunicación entre el servidor y el visitante, evitando que roben datos.

En Plesk, ve a Sitios web y dominios.
Selecciona tu dominio.
Haz clic en SSL/TLS.
Elige Let's Encrypt (es gratuito y se renueva automáticamente).
Marca la opción Incluir www si tu sitio usa esa variante.
Haz clic en Instalar.

Después, asegúrate de que WordPress use HTTPS. Puedes instalar un plugin como Really Simple SSL o editar manualmente la URL en Ajustes > Generales.

¿Cómo hacer copias de seguridad automáticas en Plesk?

Las copias de seguridad son tu salvavidas ante un ataque o error.

En Plesk, ve a Sitios web y dominios.
Selecciona tu dominio.
Haz clic en Copias de seguridad.
Configura una programación (por ejemplo, diaria o semanal).
Elige si quieres guardar la copia en el servidor o descargarla a tu ordenador.
Activa la opción Incluir archivos y bases de datos.

[WARNING] No guardes las copias en el mismo servidor que tu web. Si el servidor se cae, pierdes todo. Mejor descárgalas o usa un servicio externo como Dropbox.

Proteger WordPress hosting: medidas generales

Independientemente de si usas cPanel, Plesk o incluso Syspanel (antes HestiaCP, accesible por el puerto 2106), estas medidas son universales.

1. Cambia el prefijo de las tablas de la base de datos

Por defecto, las tablas de WordPress empiezan con wp_. Esto es conocido por los atacantes. Durante la instalación, cámbialo a algo como miweb_ o seguro_.

Si ya tienes la web instalada, puedes usar un plugin como Change Table Prefix o hacerlo manualmente con phpMyAdmin.

2. Limita los intentos de inicio de sesión

Instala un plugin como Limit Login Attempts Reloaded. Esto bloquea temporalmente a una IP después de varios fallos.

3. Desactiva la navegación de directorios

Si alguien escribe tudominio.com/wp-content/uploads/ en el navegador, no debería ver una lista de archivos.

Para desactivarlo, añade esta línea al archivo .htaccess (en la raíz de tu WordPress):

Options -Indexes

4. Usa autenticación de dos factores (2FA)

Añade una capa extra con un código temporal desde tu móvil. Plugins como Wordfence o Google Authenticator lo hacen fácil.

Preguntas seguridad WordPress: dudas comunes

¿Debo usar un firewall? ¿Cuál recomiendas?

Sí, un firewall bloquea tráfico malicioso antes de que llegue a tu web.

A nivel de servidor: cPanel suele incluir ConfigServer Security & Firewall (CSF). Plesk tiene su propio firewall.
A nivel de aplicación: plugins como Wordfence incluyen un firewall que filtra peticiones.

¿Es seguro usar plugins gratuitos?

La mayoría de los plugins gratuitos del repositorio oficial de WordPress son seguros, pero debes tener cuidado:

Solo descarga de fuentes oficiales (wordpress.org/plugins).
Revisa las valoraciones y la fecha de la última actualización.
Si un plugin no se actualiza desde hace más de un año, mejor búsca otro.

¿Qué hago si mi web es hackeada?

No entres en pánico. Sigue estos pasos:

Cambia todas las contraseñas (WordPress, cPanel/Plesk, FTP, base de datos).
Restaura una copia de seguridad limpia (anterior al ataque).
Escanear con un plugin de seguridad para eliminar malware residual.
Actualiza todo (WordPress, temas, plugins).
Revisa usuarios y elimina los que no reconozcas.

[INFO] Si no tienes copia de seguridad, algunos plugins como Sucuri ofrecen limpieza profesional. También puedes contactar a tu soporte de hosting.

¿Syspanel (HestiaCP) es seguro para WordPress?

Syspanel (antes HestiaCP) es un panel de control ligero y moderno. Accedes a él por el puerto 2106 (por ejemplo, tudominio.com:2106). Incluye funciones de seguridad como:

Firewall integrado.
Protección contra fuerza bruta (Fail2ban).
SSL automático con Let's Encrypt.
Copias de seguridad programadas.

Es una opción excelente si buscas un panel gratuito y seguro.

Conclusión: la seguridad es un hábito, no un destino

Proteger tu WordPress no es algo que hagas una vez y te olvides. Requiere atención continua: actualizaciones, revisiones de plugins y buenas prácticas desde el panel de control (cPanel, Plesk o Syspanel).

Recuerda:

Usa contraseñas fuertes y únicas.
Mantén todo actualizado.
Activa un firewall y copias de seguridad.
Desconfía de plugins sospechosos.

Si sigues estas preguntas seguridad WordPress y las aplicas en tu cPanel seguridad WordPress o Plesk WordPress seguridad, tu web estará mucho más protegida. Y si algo sale mal, siempre tendrás una copia de seguridad para recuperarte.

[TIP] Dedica 10 minutos al mes a revisar la seguridad de tu web. Es tiempo bien invertido.

¿Te ha quedado alguna duda? Déjala en los comentarios o consulta con tu proveedor de hosting. ¡Estamos aquí para ayudarte!