Cómo proteger una web WordPress de ataques básicos sin ser técnico
Guía práctica para proteger tu WordPress de los ataques más comunes sin necesidad de saber programar. Pasos concretos, plugins recomendados y hábitos que marcan la diferencia.
La mayoría de los hackeos a webs WordPress no vienen de un ataque sofisticado, sino de contraseñas débiles, plugins sin actualizar o un usuario llamado "admin". La buena noticia es que, con media hora de trabajo, puedes cerrar casi todas esas puertas. Esto es lo que puedes hacer tú mismo, aunque no toques código.
Por qué atacan tanto a WordPress
WordPress es el gestor de contenidos más usado del mundo, y eso lo convierte en objetivo prioritario de bots automáticos que rastrean webs buscando versiones viejas o contraseñas fáciles. No te atacan a ti personalmente: te atacan porque estás, y porque un script prueba miles de webs cada hora.
La mayoría de intentos buscan colar spam, redirigir visitas a webs fraudulentas o usar tu hosting para enviar correos masivos. No hace falta tener una web importante para ser víctima.
Lo mínimo que debes hacer, de un vistazo
Antes de entrar en detalle, esto es lo que hay que tener cubierto en cualquier WordPress:
| Acción | Prioridad | Tiempo estimado |
|---|---|---|
| Actualizar WordPress, plugins y tema | Alta | 10 min |
| Contraseña fuerte y usuario distinto de "admin" | Alta | 5 min |
| Activar 2FA en el login | Alta | 10 min |
| Instalar un plugin de seguridad | Alta | 15 min |
| Copias de seguridad automáticas | Alta | 15 min |
| Certificado SSL activo (https) | Alta | 5 min |
1. Mantén WordPress, plugins y tema al día
La vía de entrada más habitual son plugins desactualizados con vulnerabilidades conocidas y publicadas. Cuando se descubre un fallo, los bots empiezan a buscar webs que no hayan actualizado ese mismo día.
Entra en tu escritorio de WordPress una vez a la semana y revisa el apartado "Actualizaciones". Si usas plugins que ya no reciben mantenimiento (sin actualizar en más de un año), busca una alternativa activa.
2. Cambia el usuario "admin" y usa una contraseña seria
Los ataques de fuerza bruta prueban combinaciones como admin/123456 miles de veces por minuto. Si tu usuario se llama "admin", ya les has dado la mitad.
Crea un usuario administrador nuevo con un nombre que no sea obvio, dale permisos de administrador, inicia sesión con él y borra el antiguo "admin" (asignando sus contenidos al nuevo). Para la contraseña, 16 caracteres o más, mezclando mayúsculas, minúsculas, números y símbolos. Un gestor como Bitwarden o 1Password te la genera y la guarda.
3. Activa la verificación en dos pasos
El doble factor (2FA) añade un código temporal, generalmente desde una app como Google Authenticator o Authy, además de la contraseña. Aunque alguien adivine tu clave, no puede entrar sin tu móvil.
Plugins como Wordfence Login Security o Two-Factor (el oficial del equipo de WordPress) lo activan en cinco minutos. Es, probablemente, la medida que más riesgo elimina con menos esfuerzo.
4. Instala un plugin de seguridad
Un plugin de seguridad hace de portero: bloquea IPs con muchos intentos fallidos, avisa de cambios sospechosos en archivos y limita el acceso al login. No sustituye a lo anterior, lo complementa.
Las opciones más usadas y con buena reputación:
| Plugin | Versión gratuita | Fuerte en |
|---|---|---|
| Wordfence | Sí | Firewall y escaneo de malware |
| Solid Security (antes iThemes) | Sí | Endurecimiento del login |
| Sucuri Security | Sí | Monitorización y limpieza |
Con uno basta. Instalar varios a la vez da conflictos y ralentiza la web.
5. Haz copias de seguridad automáticas (y pruébalas)
Una copia de seguridad no evita el ataque, pero te permite volver atrás si pasa algo. Es la red que te salva cuando falla todo lo demás.
Plugins como UpdraftPlus o la copia del propio hosting sirven. Lo importante es que las copias se guarden fuera del servidor (en Google Drive, Dropbox o similar) y que, al menos una vez, pruebes a restaurar una para comprobar que funciona. Una copia que no se puede restaurar no es una copia.
6. Asegúrate de que la web va por https
El certificado SSL cifra la comunicación entre el visitante y tu web. Hoy es gratuito en prácticamente cualquier hosting mediante Let's Encrypt, y Google penaliza en posicionamiento las webs sin él.
Mira la barra del navegador: si aparece el candado y la dirección empieza por https, lo tienes. Si no, pídeselo a tu hosting; suele activarse con un clic.
7. Limita los intentos de acceso al login
Por defecto, WordPress deja intentar entrar las veces que quieras. Un plugin como Limit Login Attempts Reloaded (o la función equivalente dentro de Wordfence o Solid Security) bloquea una IP tras varios fallos.
Pon un límite razonable: 5 intentos y bloqueo de 20 minutos es un buen punto de partida. Frena en seco los ataques automatizados sin molestar a usuarios reales que se equivocan al teclear.
8. Elige un hosting que se tome la seguridad en serio
Un hosting barato que no actualiza PHP, no aísla cuentas y no ofrece copias ni cortafuegos es un riesgo en sí mismo. Hostings como SiteGround, Raiola Networks o Webempresa incluyen protecciones a nivel de servidor que te quitan muchos problemas de encima.
No hace falta pagar una fortuna, pero sí evitar los planes de 1 € al mes sin soporte en español ni mantenimiento.
Señales de que algo va mal
Hay síntomas típicos que delatan una web comprometida: aparecen redirecciones raras a otras páginas al abrirla, Google marca tu web como insegura en los resultados, se publican entradas o usuarios que no has creado, o la web va mucho más lenta sin razón aparente.
Si ves algo así, cambia todas las contraseñas, contacta con tu hosting y usa el escáner del plugin de seguridad. Si no quieres meterte, servicios como Sucuri hacen limpieza profesional.
Preguntas frecuentes
¿Es seguro WordPress?
Sí, el núcleo de WordPress está bien mantenido y recibe actualizaciones de seguridad frecuentes. La mayoría de problemas vienen de plugins viejos, contraseñas débiles o hosting mal configurado, no del propio WordPress.
¿Necesito un plugin de pago para estar protegido?
No. Las versiones gratuitas de Wordfence, Solid Security o Sucuri cubren lo esencial para una web pequeña o mediana. Las de pago añaden firewall en la nube y respuesta más rápida ante nuevas amenazas, útiles si manejas datos sensibles o tienes mucho tráfico.
¿Cada cuánto debo revisar la seguridad?
Las actualizaciones, semanalmente. Las copias de seguridad, que corran automáticas y probar una restauración cada tres o seis meses. Las contraseñas de administrador, al menos una vez al año o si sospechas que alguien ha podido verlas.
¿Qué hago si ya me han hackeado?
Avisa a tu hosting, restaura una copia de seguridad anterior al problema, cambia todas las contraseñas (WordPress, hosting, FTP y base de datos) y, antes de volver a publicar, pasa un escáner de malware. Si no te ves capaz, hay servicios especializados en limpieza por entre 150 y 400 €.
Si prefieres que lo llevemos nosotros
En el mantenimiento mensual de BlogSolutions (99 € el primer año junto con hosting y dominio) nos encargamos de actualizar WordPress, plugins y tema, mantener las copias de seguridad y revisar que la web esté sana. Si ya tienes web con otro proveedor y quieres que le echemos un vistazo, también lo hacemos. Si prefieres gestionarlo tú con esta guía, perfecto: lo importante es que esté hecho.
