WordPress impulsa una gran parte de los sitios del mundo, y esa popularidad lo convierte en un objetivo atractivo para los atacantes. La buena noticia es que la mayoría de los ataques exitosos no se deben a debilidades técnicas avanzadas, sino a plugins sin actualizar, contraseñas débiles y sitios sin copias de seguridad. Dicho de otro modo, un sitio que aplica periódicamente las medidas básicas ya está protegido frente a la mayoría de los ataques.
En este artículo describimos primero las medidas básicas que no requieren ningún plugin y, después, explicamos qué hacen los plugins de seguridad y cómo elegir uno. Como las funciones de los plugins cambian de una versión a otra, consulta la documentación actual de cada producto para ver los detalles.
Primero, las medidas básicas
Un plugin de seguridad no sustituye una base que falta. Antes que nada, completa estos pasos:
- No retrases las actualizaciones. Las vulnerabilidades de seguridad del núcleo de WordPress, los temas y los plugins se cierran con las actualizaciones. Elimina los plugins y temas que no utilices.
- Usa contraseñas fuertes y únicas. Utiliza un gestor de contraseñas; no dejes «admin» como nombre de usuario del administrador.
- Activa la verificación en dos pasos. Al menos en las cuentas de administrador y editor.
- Haz copias de seguridad y prueba a restaurarlas. La copia de seguridad es el último recurso que te salvará después de un ataque.
- Usa HTTPS. En un sitio sin certificado SSL, los datos de inicio de sesión viajan sin cifrar.
- Limita los permisos de los usuarios. No des el rol de administrador a todo el mundo; sigue el principio de mínimo privilegio.
- Instala plugins y temas desde fuentes fiables. Los paquetes sin licencia o de origen poco claro conllevan un alto riesgo de puertas traseras.
¿Qué hacen los plugins de seguridad?
Los plugins de seguridad suelen ofrecer algunas de cuatro funciones: cortafuegos (WAF), análisis de software malicioso, protección del inicio de sesión y monitorización de cambios. No todos los plugins son igual de sólidos en todas estas áreas, así que primero debes aclarar qué necesitas.
- Cortafuegos: Bloquea las peticiones maliciosas antes de que lleguen al sitio o de que se ejecute el código de WordPress.
- Análisis: Busca en los archivos código sospechoso y archivos del núcleo modificados.
- Protección del inicio de sesión: Limita los ataques de fuerza bruta y añade la verificación en dos pasos.
- Monitorización: Registra quién cambió qué ajuste y cuándo.
Comparativa de los plugins de seguridad más populares
| Solución | Enfoque | Punto fuerte | Punto a vigilar |
|---|---|---|---|
| Wordfence | Cortafuegos y analizador que se ejecutan dentro del sitio | Versión gratuita amplia, análisis de software malicioso | Usa recursos del servidor; puede ralentizarse en un hosting débil |
| Sucuri | Cortafuegos en la nube y servicio de limpieza | Filtra el tráfico antes de que llegue al sitio, soporte de limpieza tras un ataque | Las funciones avanzadas dependen de un plan de pago |
| Solid Security (antes iThemes Security) | Centrado en el endurecimiento y la protección del inicio de sesión | Verificación en dos pasos, endurecimiento de ajustes, límites de inicio de sesión | El análisis puede no ser tan amplio como en otros |
| CleanTalk | Protección antispam en la nube | Bloquea los registros falsos en formularios y comentarios, sin necesidad de captcha | Centrado en el spam, no en la seguridad general; complementa otras capas |
En lugar de buscar en esta tabla «el único plugin correcto», piensa en combinaciones: uno para el cortafuegos y el análisis, y otro para la protección antispam. No ejecutes más de un plugin de cortafuegos en el mismo sitio; generan conflictos.
No descuides la protección contra spam y registros falsos
El tráfico de bots no solo produce spam; a través de los formularios de registro, los campos de comentarios y los formularios de contacto infla la base de datos, sobrecarga el servidor y en ocasiones distribuye enlaces maliciosos. Soluciones en la nube como CleanTalk filtran ese tráfico sin molestar a los visitantes. Esta capa es especialmente valiosa en tiendas WooCommerce y sitios de membresía, donde los intentos de crear cuentas falsas son frecuentes.
Copias de seguridad: el último eslabón de la seguridad
Incluso el sitio mejor protegido puede dañarse un día. Un error de actualización, un fallo del servidor, un plugin defectuoso o un ataque: en todos los casos, el remedio es volver a una copia de seguridad limpia. Las copias deben guardarse no en el servidor donde vive el sitio, sino en un lugar separado (almacenamiento en la nube, un servidor distinto). Plugins como WPvivid Backup Bundle ofrecen copias programadas, envío a almacenamiento externo y restauración con un clic. Tan importante como hacer la copia es comprobar una vez al mes que funciona, restaurándola en un sitio de pruebas.
¿Qué plugin elegir? Una guía breve
Si gestionas un solo blog y tu presupuesto es limitado, un plugin de seguridad gratuito dentro del sitio, una solución de copias de seguridad sólida y la protección antispam suelen formar un trío suficiente. Si diriges una tienda online que es un objetivo constante, tiene sentido añadir también un cortafuegos en la nube, porque el tráfico malicioso se filtra antes de llegar a tu servidor. Si eres una agencia que aloja sitios de clientes, la gestión centralizada y los informes de seguridad periódicos se vuelven más importantes para ti que las funciones de los plugins.
En todos los casos, tras instalar el plugin, supervisa los registros durante una semana. Es mejor relajar una regla que genera falsas alarmas que dejar pasar amenazas reales; pero también hay que comprobar que un sistema que nunca emite alertas funciona de verdad. Para ello puedes hacer un intento de inicio de sesión controlado y verificar que quedó registrado.
Gestionar varios sitios
Si eres una agencia que gestiona sitios de clientes, o alguien con varios proyectos, entrar en cada sitio por separado para actualizarlo consume tiempo y aumenta el riesgo de error. Herramientas de gestión centralizada como MainWP Pro te permiten supervisar las actualizaciones, las copias de seguridad y el estado de todos los sitios desde un único panel. Desde el punto de vista de la seguridad, esto reduce los retrasos en las actualizaciones.
Limpieza de la base de datos y de datos innecesarios
Las tablas que dejan los plugins abandonados, los borradores antiguos y los comentarios de spam no solo afectan al rendimiento; también amplían la superficie de ataque. Herramientas como Advanced Database Cleaner Pro ayudan a eliminar esos restos de forma segura. Antes de limpiar, haz siempre una copia de seguridad.
No olvides tu propio ordenador
Si el ordenador desde el que gestionas el sitio se infecta, tus datos de inicio de sesión pueden robarse. Ejecuta un software de protección actualizado en los dispositivos que usas como administrador; soluciones completas como Kaspersky Premium Total Security añaden una capa frente al phishing y el software malicioso. No inicies sesión en el panel de administración en redes Wi-Fi abiertas.
Endurecimiento a nivel de servidor y de archivos
Más allá de los plugins, unos pocos ajustes refuerzan notablemente tu sitio. Puedes hacerlos desde el panel de tu hosting o junto con el administrador de tu servidor:
- Versión actual de PHP: Las versiones de PHP que han llegado al fin de su soporte no reciben parches de seguridad. Pasa a la versión compatible más reciente desde el panel de tu hosting, probando antes su compatibilidad con tus plugins.
- Desactivar el editor de archivos: Desactivar el editor de archivos de temas y plugins en el panel de administración dificulta que una cuenta de administrador comprometida escriba código directamente.
- Permisos de archivos: No concedas permisos de escritura más amplios de lo necesario a archivos y carpetas; mantén el archivo de configuración (wp-config) fuera del alcance de accesos externos.
- Carpeta de subidas: Bloquea la ejecución de archivos PHP en la carpeta donde se guardan las subidas de los usuarios.
- XML-RPC: Si no lo usas, desactívalo; se explota con frecuencia en ataques de fuerza bruta.
- Prefijo de base de datos y enumeración de usuarios: Activa los ajustes que impiden que los nombres de usuario se listen desde el exterior.
Algunos de estos ajustes los pueden hacer los plugins de seguridad con un clic; aun así, asegúrate de que las herramientas de seguridad de tu proveedor de hosting no entren en conflicto con ellos.
Rutina de seguridad mensual
La seguridad no es un trabajo que se hace una vez y se deja; es un hábito pequeño pero regular. Dedica una hora al mes a revisar esta lista: ¿está actualizada la lista de cuentas de administrador y editor?, ¿se han eliminado los plugins que no se usan?, ¿se están creando realmente las copias de seguridad?, ¿hay un aumento inusual en los informes de intentos de inicio de sesión?, ¿se acerca la fecha de vencimiento del certificado SSL?, ¿hay alguna advertencia de seguridad en Search Console? Cuando estas comprobaciones se integran en una rutina con un recordatorio sencillo en el calendario, los problemas se detectan antes de crecer.
¿Cómo saber que han atacado tu sitio?
- Aparecen en los resultados de búsqueda páginas o titulares que no reconoces.
- Aparecen redirecciones inesperadas o ventanas emergentes en tu sitio.
- Aparecen cuentas de administrador que no reconoces.
- Tu proveedor de hosting envía una advertencia por uso excesivo de recursos o software malicioso.
- El sitio se ralentiza al abrirse y el navegador muestra una advertencia de seguridad.
En ese caso, primero pon el sitio en modo de mantenimiento, cambia las contraseñas, vuelve a una copia de seguridad limpia y no vuelvas a abrir el sitio antes de cerrar la vulnerabilidad. Si no puedes resolverlo tú mismo, consulta a un experto en seguridad.
Para tus necesidades de plugins y temas, puedes consultar la categoría de Plugins y Temas de WordPress; en LisansX la entrega es digital y las versiones con licencia reciben actualizaciones.
Preguntas frecuentes
¿Basta con un plugin de seguridad gratuito?
Para un blog pequeño, con frecuencia es suficiente. Para sitios que alojan comercio electrónico, membresías o datos de clientes, conviene valorar los planes de pago por sus funciones premium, el soporte y las reglas del cortafuegos.
¿Un plugin de seguridad ralentiza el sitio?
Los plugins que se ejecutan dentro del sitio consumen recursos del servidor y pueden notarse en un hosting débil. Las soluciones en la nube quitan esa carga del servidor. Repite la medición de velocidad después de instalarlo.
¿Sirve de algo cambiar la dirección de inicio de sesión de WordPress?
Reduce los bots simples, pero por sí solo no es una medida de seguridad. Una contraseña fuerte, la verificación en dos pasos y los límites de inicio de sesión son mucho más eficaces.
¿Con qué frecuencia debo hacer copias de seguridad?
En sitios con publicaciones diarias, una copia diaria, y en sitios que cambian poco, una semanal, son un punto de partida razonable. Las tiendas que reciben pedidos necesitan copiar la base de datos con más frecuencia.
