La seguridad de WordPress no es opcional. Miles de sitios son atacados diariamente y muchos podrían haberse protegido con medidas básicas.
Vulnerabilidades más comunes
- Ataques de fuerza bruta al login
- Plugins y temas desactualizados
- Inyección SQL
- Cross-Site Scripting (XSS)
- Backdoors ocultos
- Usuarios con contraseñas débiles
Medidas de seguridad esenciales
1. Actualiza TODO
- WordPress core
- Temas
- Plugins
- PHP del servidor
2. Contraseñas fuertes
- Mínimo 12 caracteres
- Letras, números, símbolos
- Generador aleatorio
- No reutilices contraseñas
3. Limita intentos de login
- Limit Login Attempts Reloaded
- Wordfence Security
- Bloquea IPs sospechosas
4. Autenticación de dos factores (2FA)
- Google Authenticator
- WP 2FA
- Añade capa extra de seguridad
5. SSL/HTTPS obligatorio
- Certificado SSL instalado
- Redirecciona HTTP a HTTPS
- Contenido mixto solucionado
6. Oculta información sensible
- Versión de WordPress
- Usuario admin (no uses «admin»)
- Estructura de directorios
7. Backups automáticos
- UpdraftPlus
- BackWPup
- Al menos semanal
- Guarda fuera del servidor
8. Firewall de aplicación web (WAF)
- Cloudflare
- Sucuri
- Wordfence
9. Deshabilita edición de archivos
En wp-config.php:
define('DISALLOW_FILE_EDIT', true);10. Permisos de archivos correctos
- Directorios: 755
- Archivos: 644
- wp-config.php: 440 o 400
Señales de que te han atacado
- Web redirige a sitios extraños
- Archivos desconocidos en el servidor
- Usuarios admin que no creaste
- Alertas de Google Safe Browsing
- Rendimiento deteriorado
- Páginas o posts spam
Qué hacer si te atacan
- Aisla el sitio (modo mantenimiento)
- Cambia TODAS las contraseñas
- Escanea con Wordfence o Sucuri
- Limpia archivos maliciosos
- Restaura desde backup limpio si es necesario
- Actualiza todo
- Implementa medidas de seguridad
¿Tu WordPress necesita un audit de seguridad? Reviso y protejo tu web.