WordPress mueve más del 40% de todos los sitios web del mundo. Eso lo convierte en el blanco favorito de atacantes automatizados que escanean internet constantemente buscando instalaciones con vulnerabilidades conocidas. No van a buscar tu web específicamente: simplemente lanzan ataques masivos y ven quién está desprotegido.

La buena noticia es que la mayoría de hackeos a WordPress son evitables. No requieren soluciones caras ni conocimientos de ciberseguridad avanzados. Requieren disciplina y unas cuantas configuraciones que muchos dueños de web nunca hacen porque nadie les explicó que eran necesarias.

Por dónde entran los atacantes

Antes de hablar de soluciones, vale entender cómo funcionan estos ataques en la práctica.

• Contraseñas débiles: muchos sitios aún tienen «admin» como usuario y una contraseña simple. Los bots prueban combinaciones conocidas de forma automática, miles de intentos por minuto.
• Plugins y temas desactualizados: cuando se descubre una vulnerabilidad en un plugin popular, se publica públicamente. Los atacantes automatizan la búsqueda de sitios que aún tienen esa versión.
• Temas o plugins de fuentes no oficiales: los temas «nulled» (versiones piratas de temas premium) suelen incluir código malicioso de fábrica.
• Hosting con seguridad deficiente: en servidores compartidos mal configurados, un sitio infectado puede afectar a otros en el mismo servidor.
• Acceso FTP sin cifrado: si las credenciales de acceso viajan sin cifrar, pueden ser interceptadas.

Medidas básicas que debes aplicar hoy

Cambia el usuario «admin»

Si creaste tu WordPress con el usuario «admin» y nunca lo cambiaste, ese es el primer paso. Crea un nuevo usuario con rol de administrador, con un nombre que no sea obvio, y elimina el usuario «admin». Los bots intentan entrar con «admin» porque saben que muchas instalaciones lo usan.

Contraseñas largas y únicas

Una contraseña de 16 caracteres con letras, números y símbolos es prácticamente imposible de adivinar por fuerza bruta. Usa un gestor de contraseñas como Bitwarden (gratuito) para no tener que memorizarlas. Y que la contraseña de WordPress no sea la misma que usas para el correo o para otros servicios.

Activa la autenticación en dos pasos

Con un plugin como WP 2FA o Google Authenticator, cada vez que alguien intente entrar al panel de WordPress desde un dispositivo nuevo, tendrá que introducir un código temporal que llega al celular. Aunque alguien robe la contraseña, no podrá entrar sin ese código.

Plugins de seguridad que valen la pena

No necesitas instalar diez plugins de seguridad. Con uno bueno y bien configurado es suficiente.

Wordfence Security es el más completo en su versión gratuita. Incluye un firewall de aplicación web, escaneo de malware y un sistema para limitar intentos de login fallidos. La versión premium añade actualizaciones de firmas en tiempo real, pero la gratuita ya da una protección muy aceptable.

iThemes Security tiene un enfoque más orientado a configuración de seguridad: cambia la URL del login, deshabilita XML-RPC si no lo usas, y aplica una lista de reglas de seguridad con pocos clics.

Lo importante es instalar uno, configurarlo bien y no dejarlo en modo predeterminado. La configuración por defecto nunca es la más segura.

Cambia la URL del panel de administración

Por defecto, el login de WordPress está en tudominio.com/wp-admin. Todos los atacantes lo saben, por eso es ahí donde concentran los intentos de acceso. Cambiar esa URL a algo como tudominio.com/entrada-privada reduce drásticamente esos intentos automáticos.

iThemes Security tiene esta función. También el plugin WPS Hide Login. Es un cambio de dos minutos que elimina una superficie de ataque importante.

Backups: el seguro de vida de tu web

Ninguna medida de seguridad es infalible. Si algo sale mal, necesitas poder restaurar tu web en horas. UpdraftPlus es gratuito, fácil de configurar y puede guardar copias diarias automáticas en Google Drive o Dropbox.

Hay dos reglas para los backups: deben ser automáticos (si dependen de que tú recuerdes hacerlos, no son confiables) y deben guardarse fuera del servidor (si el servidor es comprometido, los backups en ese mismo servidor también se pierden).

HTTPS: si aún no lo tienes, es urgente

Un sitio sin SSL (sin el candado verde y la «s» en https) transmite datos sin cifrar. Eso incluye los datos de formularios de contacto y, si vendes online, información de pago. Todos los hostings serios en Perú ofrecen certificados SSL gratuitos con Let’s Encrypt. Si tu web aún muestra «http» sin la «s», pide a tu proveedor de hosting que lo active hoy.

La seguridad de WordPress no es un tema que se resuelve una vez y se olvida. Es un conjunto de buenas prácticas que deben mantenerse con el tiempo. Actualizar, hacer backups, revisar accesos. Si lo conviertes en rutina, la probabilidad de un problema grave baja mucho. Y si a pesar de todo ocurre algo, tendrás las herramientas para recuperarte rápido.

Controla quién tiene acceso a tu WordPress

Cada persona que tiene credenciales de acceso a tu WordPress es un vector de riesgo potencial. No porque sean malas personas, sino porque si sus contraseñas se filtran o sus cuentas son comprometidas, tu web también lo está.

Revisa la lista de usuarios de tu WordPress y elimina los que ya no necesitan acceso. Si contrataste un desarrollador hace dos años y ya terminó el trabajo, ese usuario debería estar borrado. Si tienes redactores que solo publican contenido, dales rol de «Editor» o «Autor», no de «Administrador». El principio de mínimo privilegio aplica igual aquí que en cualquier sistema de seguridad.

También vale revisar los registros de actividad. Con un plugin como WP Activity Log puedes ver quién entró al panel, qué cambios hizo y desde qué dirección IP. Si ves accesos a horas extrañas o desde países donde no tienes clientes, es una señal de alerta.

El hosting también importa

Una configuración de seguridad perfecta en WordPress puede verse comprometida si el hosting donde está alojado tiene vulnerabilidades. No todos los hostings son iguales en este aspecto.

Busca un proveedor que ofrezca aislamiento entre cuentas en servidores compartidos, firewall a nivel de servidor, protección DDoS básica y monitoreo activo. En Perú hay opciones locales e internacionales. Algunos hostings internacionales como SiteGround o Cloudways tienen mejores herramientas de seguridad que muchas opciones locales, aunque a mayor costo. Evalúa según el valor de lo que tienes alojado.

Proteger WordPress no es una tarea de una tarde, pero tampoco es un proyecto imposible. Las medidas descritas aquí, aplicadas con disciplina, cubren el 90% de los vectores de ataque más comunes. El 10% restante requiere conocimientos más avanzados, y para eso existen agencias especializadas. Si manejas datos de clientes o procesas pagos online, esa inversión en seguridad avanzada se justifica sola.

Preguntas frecuentes

¿WordPress es inseguro por naturaleza?

No. WordPress tiene un equipo de seguridad activo y lanza parches con frecuencia. El problema no es la plataforma sino las instalaciones mal mantenidas: plugins desactualizados, contraseñas débiles y configuraciones predeterminadas que nunca se reforzaron. Con buenas prácticas, WordPress es una plataforma segura y confiable.

¿Cada cuánto debo escanear mi WordPress en busca de malware?

Un plugin como Wordfence puede programar escaneos automáticos semanales. Si notas algo extraño, como redireccionamientos inesperados, páginas nuevas que no creaste o caída en el rendimiento sin razón aparente, haz un escaneo inmediato. También conviene hacer uno después de cada actualización masiva de plugins.

¿Qué hago si mi web ya fue hackeada?

Primero, activa el modo de mantenimiento para que los visitantes no vean contenido malicioso. Luego, restaura desde el backup más reciente anterior al hackeo. Si no tienes backup, necesitarás limpiar el malware manualmente o contratar a alguien que lo haga. Después del incidente, cambia todas las contraseñas y revisa cómo entraron para cerrar esa puerta.

¿Los temas y plugins gratuitos de WordPress son seguros?

Los del repositorio oficial de wordpress.org pasan una revisión básica y se actualizan regularmente. El riesgo real está en los temas ‘nulled’, versiones piratas de temas premium descargadas de sitios no oficiales. Esos suelen incluir código malicioso desde el principio. Nunca uses software pirateado en tu web.

¿Vale la pena pagar por un plugin de seguridad premium?

Para la mayoría de pymes, la versión gratuita de Wordfence es suficiente. Las versiones premium aportan actualizaciones de firmas en tiempo real y soporte prioritario, lo que puede justificarse si la web maneja datos sensibles o tiene alto volumen de tráfico. Para una web informativa o una tienda pequeña, la versión gratuita cubre bien las amenazas más comunes.