Cómo proteger tu WordPress de vulnerabilidades y ataques

La seguridad de WordPress no es opcional. Miles de sitios son atacados diariamente y muchos podrían haberse protegido con medidas básicas.

Vulnerabilidades más comunes

• Ataques de fuerza bruta al login
• Plugins y temas desactualizados
• Inyección SQL
• Cross-Site Scripting (XSS)
• Backdoors ocultos
• Usuarios con contraseñas débiles

Medidas de seguridad esenciales

1. Actualiza TODO

• WordPress core
• Temas
• Plugins
• PHP del servidor

2. Contraseñas fuertes

• Mínimo 12 caracteres
• Letras, números, símbolos
• Generador aleatorio
• No reutilices contraseñas

3. Limita intentos de login

• Limit Login Attempts Reloaded
• Wordfence Security
• Bloquea IPs sospechosas

4. Autenticación de dos factores (2FA)

• Google Authenticator
• WP 2FA
• Añade capa extra de seguridad

5. SSL/HTTPS obligatorio

• Certificado SSL instalado
• Redirecciona HTTP a HTTPS
• Contenido mixto solucionado

6. Oculta información sensible

• Versión de WordPress
• Usuario admin (no uses «admin»)
• Estructura de directorios

7. Backups automáticos

• UpdraftPlus
• BackWPup
• Al menos semanal
• Guarda fuera del servidor

8. Firewall de aplicación web (WAF)

• Cloudflare
• Sucuri
• Wordfence

9. Deshabilita edición de archivos

En wp-config.php:

define('DISALLOW_FILE_EDIT', true);

10. Permisos de archivos correctos

• Directorios: 755
• Archivos: 644
• wp-config.php: 440 o 400

Señales de que te han atacado

• Web redirige a sitios extraños
• Archivos desconocidos en el servidor
• Usuarios admin que no creaste
• Alertas de Google Safe Browsing
• Rendimiento deteriorado
• Páginas o posts spam

Qué hacer si te atacan

1. Aisla el sitio (modo mantenimiento)
2. Cambia TODAS las contraseñas
3. Escanea con Wordfence o Sucuri
4. Limpia archivos maliciosos
5. Restaura desde backup limpio si es necesario
6. Actualiza todo
7. Implementa medidas de seguridad

¿Tu WordPress necesita un audit de seguridad? Reviso y protejo tu web.