WordPress es uno de los sistemas de gestión de contenidos más utilizados para crear páginas web corporativas, blogs y tiendas online. Su flexibilidad y su amplio ecosistema de temas y plugins lo convierten en una solución muy interesante para empresas, autónomos y profesionales.
Sin embargo, como ocurre con cualquier aplicación conectada a Internet, una instalación de WordPress necesita medidas de seguridad adecuadas para reducir el riesgo de ataques, accesos no autorizados y pérdida de información.
Una página web comprometida puede mostrar contenido fraudulento, distribuir archivos maliciosos, redirigir a los visitantes a sitios peligrosos o dejar de funcionar. En una tienda online, un incidente también puede afectar a las ventas, la reputación del negocio y la confianza de los clientes.
La buena noticia es que existen medidas preventivas que permiten reducir considerablemente los riesgos.
En esta guía de LINCETIC aprenderás cómo proteger una página web WordPress mediante actualizaciones, contraseñas seguras, autenticación multifactor, copias de seguridad, configuración del servidor, protección del acceso administrativo y monitorización.
También explicaremos qué hacer si sospechas que tu web ha sido comprometida.
Importante: ninguna medida garantiza una protección absoluta. La seguridad debe entenderse como un proceso continuo que combina prevención, detección, mantenimiento y capacidad de recuperación.
1. ¿Por qué es importante proteger WordPress?
WordPress es un software ampliamente utilizado y extensible mediante plugins y temas. Esta flexibilidad permite crear páginas web con funcionalidades muy diferentes, pero también hace necesario mantener todos sus componentes correctamente actualizados.
Los problemas de seguridad pueden aparecer por diferentes motivos:
- Contraseñas débiles o reutilizadas.
- Plugins o temas vulnerables.
- Versiones de software sin actualizar.
- Cuentas administrativas comprometidas.
- Permisos de archivos incorrectos.
- Configuraciones inseguras del servidor.
- Copias de seguridad inexistentes o inutilizables.
- Vulnerabilidades en servicios externos o componentes de terceros.
No todos los incidentes se producen por un fallo de WordPress. En ocasiones, el origen está en el alojamiento, las credenciales de acceso, el equipo desde el que se administra la web o una aplicación conectada.
Por eso, proteger una página web exige revisar tanto WordPress como el entorno que lo ejecuta.
¿Qué puede ocurrir si una web es comprometida?
Las consecuencias dependen del tipo de incidente y de los permisos que haya conseguido el atacante.
Entre los problemas más habituales se encuentran:
Inyección de contenido malicioso. Pueden añadirse enlaces, páginas o scripts que no pertenecen al propietario de la web.
Redirecciones fraudulentas. Los visitantes pueden ser enviados a páginas externas que intentan engañarlos.
Robo de cuentas. Un atacante puede intentar obtener acceso a cuentas administrativas o a información disponible en la aplicación.
Distribución de malware. Una página comprometida puede utilizarse para distribuir archivos maliciosos o contenido peligroso.
Interrupción del servicio. La web puede dejar de funcionar debido a modificaciones, consumo excesivo de recursos o cambios en la configuración.
Daño reputacional. Los visitantes pueden perder la confianza en el negocio, especialmente si se trata de una tienda online o una web que gestiona datos personales.
La prevención es importante, pero también lo es disponer de un procedimiento para detectar y resolver los incidentes.
2. Mantén WordPress, los plugins y los temas actualizados
Una de las medidas más importantes consiste en mantener todos los componentes actualizados.
Las actualizaciones pueden corregir vulnerabilidades, resolver errores y mejorar la compatibilidad con otros componentes.
Una instalación desactualizada puede continuar funcionando durante meses, pero eso no significa que sea segura.
2.1. Actualiza el núcleo de WordPress
El núcleo de WordPress es el conjunto de archivos que proporciona las funciones principales del sistema.
Desde el panel de administración puedes consultar las actualizaciones disponibles en la sección correspondiente.
Antes de actualizar una web importante, conviene comprobar la compatibilidad de los componentes y disponer de una copia de seguridad reciente.
En una instalación de producción, las actualizaciones deben planificarse de manera que se reduzca el riesgo de interrupciones.
2.2. Actualiza los plugins
Los plugins amplían las funcionalidades de WordPress, pero cada componente adicional introduce código que debe mantenerse.
Revisa periódicamente los plugins instalados y actualízalos cuando corresponda.
Si un plugin ya no se utiliza, lo recomendable es eliminarlo después de comprobar que ninguna funcionalidad depende de él.
Desactivarlo no siempre es suficiente: sus archivos pueden seguir presentes en el servidor.
También conviene investigar los componentes que llevan mucho tiempo sin recibir mantenimiento o cuyos responsables no publican correcciones de seguridad.
2.3. Mantén los temas actualizados
Los temas controlan buena parte de la presentación visual de WordPress y pueden incorporar funcionalidades adicionales.
Mantén actualizado el tema activo y revisa los temas instalados que no se utilizan.
Si empleas un tema hijo, comprueba también cómo afectan las actualizaciones del tema principal a tu configuración.
2.4. Comprueba la versión de PHP
WordPress se ejecuta sobre PHP, por lo que también es importante utilizar una versión que siga recibiendo soporte de seguridad y sea compatible con la instalación.
Antes de cambiar de versión, revisa los requisitos de WordPress, del tema y de los plugins.
No actualices PHP directamente en una web de producción sin realizar las comprobaciones necesarias. Una incompatibilidad puede provocar errores o dejar funcionalidades fuera de servicio.
Buena práctica: establece un procedimiento de mantenimiento que incluya inventario de componentes, copias de seguridad, actualización, pruebas y comprobación posterior.
3. Utiliza contraseñas seguras y protege las cuentas administrativas
Las cuentas administrativas permiten modificar la configuración de WordPress, instalar componentes y gestionar usuarios.
Si un atacante obtiene acceso a una cuenta con privilegios elevados, puede tener capacidad para alterar una parte importante de la web.
Por eso, proteger estas cuentas debe ser una prioridad.
3.1. Utiliza contraseñas únicas
Cada cuenta administrativa debería tener una contraseña larga, única y difícil de adivinar.
Evita utilizar contraseñas basadas en nombres de empresas, fechas, nombres personales o patrones previsibles.
No reutilices la contraseña de WordPress en el correo electrónico, el panel del hosting o cualquier otro servicio.
Un gestor de contraseñas puede ayudarte a generar y almacenar credenciales diferentes para cada plataforma.
3.2. Activa la autenticación multifactor
La autenticación multifactor, conocida como MFA, añade una segunda comprobación al proceso de inicio de sesión.
Dependiendo de la solución utilizada, puede basarse en una aplicación de autenticación, una llave de seguridad u otro mecanismo compatible.
De este modo, una contraseña robada no tiene por qué ser suficiente para acceder a la cuenta.
Es recomendable aplicar MFA a las cuentas administrativas y, cuando proceda, a las cuentas de otros usuarios con privilegios elevados.
3.3. Asigna a cada usuario los permisos necesarios
WordPress dispone de diferentes roles para limitar las operaciones que puede realizar cada usuario.
Por ejemplo, una persona que solo necesita redactar artículos no debería tener privilegios administrativos completos.
Revisa periódicamente los usuarios y elimina las cuentas que ya no sean necesarias.
También conviene comprobar que las cuentas de colaboradores externos tienen los permisos adecuados y que sus accesos se revocan cuando termina la relación profesional.
3.4. Protege el acceso administrativo
La ruta habitual de acceso al panel de WordPress es conocida, por lo que los intentos automatizados de inicio de sesión pueden dirigirse a ella.
Puedes aplicar medidas como:
- Limitar los intentos de autenticación cuando la solución utilizada lo permita.
- Utilizar autenticación multifactor.
- Activar mecanismos de detección de accesos sospechosos.
- Aplicar controles adicionales desde el alojamiento o un servicio de protección compatible.
- Restringir el acceso por IP cuando exista una necesidad real y sea viable operativamente.
Cambiar la dirección de acceso al panel puede reducir parte del ruido automatizado, pero no sustituye a las medidas de autenticación y control de acceso.
4. Instala únicamente plugins y temas de confianza
El ecosistema de WordPress ofrece miles de extensiones, pero no todas tienen el mismo nivel de mantenimiento, calidad o seguridad.
Antes de instalar un plugin o tema, investiga su procedencia y comprueba si continúa recibiendo actualizaciones.
¿Qué debes comprobar?
Procedencia. Descarga los componentes desde fuentes oficiales o distribuidores autorizados.
Mantenimiento. Comprueba si existen actualizaciones recientes y si el proyecto continúa activo.
Compatibilidad. Revisa los requisitos de WordPress y PHP.
Reputación. Consulta la documentación y las incidencias de seguridad conocidas.
Necesidad real. Instala únicamente los componentes que aporten una funcionalidad necesaria.
Evita utilizar versiones modificadas de plugins o temas comerciales obtenidas de fuentes desconocidas. Además de los riesgos legales, estos archivos pueden incorporar código malicioso.
Reduce la complejidad de la instalación
No existe un número mágico de plugins que garantice una web segura.
Una instalación con pocos plugins mal mantenidos puede ser más vulnerable que otra con más extensiones correctamente desarrolladas y actualizadas.
La recomendación es mantener un inventario, revisar las dependencias y eliminar los componentes innecesarios.
Cuanto mejor conozcas el software que ejecuta tu web, más sencillo será evaluar sus riesgos.
5. Protege el servidor y utiliza HTTPS
La seguridad de WordPress no depende únicamente del panel de administración.
También es necesario proteger el servidor que aloja la aplicación y las comunicaciones entre el navegador y la web.
5.1. Utiliza HTTPS con un certificado TLS válido
HTTPS permite proteger las comunicaciones mediante TLS.
Esto ayuda a evitar que terceros puedan leer o modificar fácilmente los datos transmitidos durante la conexión, siempre que la conexión y el certificado estén correctamente configurados.
Comprueba que la web utiliza HTTPS y que el certificado es válido.
También debes revisar que los recursos de la página no se carguen de forma insegura y que las redirecciones hacia HTTPS funcionen correctamente.
Un certificado TLS no elimina las vulnerabilidades de WordPress ni protege por sí solo las cuentas administrativas.
5.2. Mantén el servidor actualizado
Si administras directamente un servidor VPS, debes mantener actualizado el sistema operativo y los servicios que ejecuta.
Esto incluye, según la configuración:
- Servidor web.
- PHP.
- Base de datos.
- Bibliotecas y dependencias.
- Servicios de administración remota.
Si utilizas un hosting administrado, comprueba qué tareas corresponden al proveedor y cuáles siguen siendo responsabilidad tuya.
5.3. Configura correctamente los permisos de archivos
Los permisos deben permitir que WordPress funcione sin conceder más acceso del necesario.
Una configuración incorrecta puede permitir que usuarios o procesos no autorizados modifiquen archivos importantes.
No existe un único conjunto de permisos válido para todas las instalaciones. Depende del usuario con el que se ejecuta PHP, del servidor web y del método utilizado para actualizar WordPress.
Por eso, antes de cambiar los permisos, comprueba cómo está configurado el alojamiento.
Como orientación, evita conceder permisos de escritura indiscriminados y no utilices permisos como 777 para intentar solucionar problemas de acceso.
Si no puedes escribir en un directorio, investiga primero qué usuario necesita acceder a él y por qué.
6. Configura medidas de seguridad adicionales en WordPress
WordPress permite aplicar determinadas medidas de protección mediante su configuración y el entorno de alojamiento.
Una de ellas consiste en impedir que el editor de archivos del panel administrativo modifique directamente los archivos de temas y plugins.
Para ello, WordPress permite definir la constante DISALLOW_FILE_EDIT en el archivo wp-config.php.
Por ejemplo:
define( 'DISALLOW_FILE_EDIT', true );
Esta línea debe añadirse una sola vez, dentro de la sección de configuración apropiada y antes del comentario final que indica que se deje de editar el archivo.
La constante desactiva los editores de archivos integrados en el panel de administración.
Importante: no sustituye a los permisos del sistema de archivos, no bloquea todas las modificaciones de código y no impide por sí sola que un administrador con suficientes privilegios instale componentes.
Antes de modificar wp-config.php, guarda una copia del archivo y comprueba que la instalación continúa funcionando correctamente.
Protege la información de configuración
El archivo wp-config.php contiene datos importantes para el funcionamiento de WordPress, como la configuración de acceso a la base de datos y determinadas claves de seguridad.
Comprueba que el servidor está configurado para no servir ese archivo como contenido descargable y evita publicar copias de seguridad de archivos de configuración dentro de directorios accesibles desde Internet.
Si tu alojamiento permite almacenar secretos fuera del directorio público, valora esa opción según las recomendaciones del proveedor y la arquitectura utilizada.
No publiques contraseñas, claves privadas ni datos de conexión en repositorios públicos o capturas de pantalla.
7. Utiliza un firewall y protección frente a ataques automatizados
Un firewall permite controlar qué comunicaciones pueden llegar a determinados servicios.
En el contexto de una web WordPress, la protección puede aplicarse en diferentes niveles:
- Firewall de red del proveedor.
- Firewall del sistema operativo.
- Firewall de aplicaciones web, conocido como WAF.
- Reglas de seguridad implementadas por el alojamiento o por un servicio especializado.
Un WAF puede ayudar a identificar o bloquear determinadas peticiones maliciosas dirigidas a la aplicación web.
Sin embargo, no reemplaza las actualizaciones, el control de acceso ni la corrección de vulnerabilidades.
¿Qué medidas puedes aplicar?
Si administras un VPS, limita los puertos expuestos a los que realmente necesita tu infraestructura.
En una instalación web convencional suelen ser necesarios los puertos de HTTP y HTTPS. El acceso administrativo debe configurarse según las necesidades del entorno.
También puedes valorar un servicio de protección que incluya filtrado de tráfico y mitigación de determinados ataques.
Si utilizas hosting compartido, consulta las opciones de seguridad que ofrece el proveedor antes de instalar soluciones adicionales que puedan entrar en conflicto con las existentes.
8. Realiza copias de seguridad y comprueba que puedes restaurarlas
Las copias de seguridad son una parte esencial de la estrategia de seguridad.
Si una web sufre un ataque, una actualización incompatible o un error humano, disponer de una copia recuperable puede reducir el tiempo de interrupción y la pérdida de información.
Sin embargo, hacer copias no es suficiente. También debes comprobar que contienen los datos necesarios y que pueden restaurarse correctamente.
8.1. ¿Qué debes incluir en las copias?
Una copia de seguridad completa de WordPress suele necesitar:
Archivos de WordPress. Incluye los archivos de la aplicación y los componentes que deban conservarse.
Directorio de contenido. Es especialmente importante conservar las imágenes, los documentos y los componentes propios almacenados en wp-content.
Base de datos. Contiene entradas, páginas, configuraciones, usuarios y otros datos de la aplicación.
Configuración necesaria. Conserva de forma segura los archivos y la información necesarios para reconstruir el entorno.
El alcance exacto depende de cómo esté desplegada la web y de qué elementos puedan regenerarse.
8.2. Mantén copias independientes
Siempre que sea posible, guarda las copias en una ubicación independiente del servidor principal.
Si todas las copias están almacenadas en la misma máquina, un fallo del disco, un incidente de seguridad o una eliminación accidental puede afectar a la web y a sus respaldos.
Para proyectos importantes, considera utilizar almacenamiento externo con controles de acceso y, cuando sea viable, mecanismos de protección frente a modificaciones o borrados.
8.3. Establece una frecuencia adecuada
La frecuencia depende de cuánto cambia la información.
Una web corporativa que se actualiza ocasionalmente puede necesitar una política diferente de una tienda online que registra pedidos continuamente.
Como orientación, puedes plantearte estas preguntas:
- ¿Cuántos datos puedes permitirte perder?
- ¿Cuánto tiempo puede estar la web sin funcionar?
- ¿Con qué frecuencia cambian los contenidos?
- ¿Qué información debe recuperarse primero?
- ¿Cuánto tiempo se conservarán las copias?
Estas respuestas ayudan a definir los objetivos de recuperación y la política de retención.
8.4. Prueba la restauración
Una copia de seguridad que nunca se ha probado puede fallar precisamente cuando más se necesita.
Realiza restauraciones de prueba en un entorno separado y verifica que la web, la base de datos y las funcionalidades esenciales funcionan correctamente.
Documenta el procedimiento y mide cuánto tiempo se necesita para recuperar el servicio.
9. Monitoriza los accesos y los cambios en la web
La monitorización permite detectar comportamientos anómalos y facilita la investigación cuando ocurre un incidente.
Según la infraestructura y las herramientas disponibles, puedes supervisar:
- Intentos fallidos de inicio de sesión.
- Creación inesperada de usuarios.
- Cambios en archivos importantes.
- Instalación de plugins desconocidos.
- Cambios en la configuración.
- Consumo anormal de recursos.
- Errores del servidor web.
- Alertas de seguridad del alojamiento.
No todas las alertas indican un ataque, pero los cambios inesperados deben investigarse.
Comprueba periódicamente las cuentas
Revisa los usuarios de WordPress y confirma que cada cuenta pertenece a una persona autorizada.
Si encuentras una cuenta desconocida, no te limites a eliminarla sin investigar. Primero debes valorar si existen otros indicadores de compromiso y conservar la información necesaria para analizar lo ocurrido.
Revisa los registros del servidor
Si administras un VPS Linux, los registros del servidor web y del sistema pueden proporcionar información útil sobre errores, peticiones y actividad sospechosa.
La ubicación y el formato de los registros dependen del software y de la configuración.
En un entorno con Nginx o Apache, por ejemplo, puedes revisar los registros de acceso y errores para investigar peticiones inusuales.
Es importante recordar que una petición extraña no demuestra por sí sola que haya existido una intrusión. Los registros deben interpretarse en su contexto.
10. ¿Conviene instalar un plugin de seguridad?
Un plugin de seguridad puede facilitar algunas tareas de protección y supervisión de WordPress.
Según la solución, puede ofrecer funciones como:
- Detección de cambios en archivos.
- Supervisión de intentos de acceso.
- Reglas para limitar determinadas peticiones.
- Alertas de seguridad.
- Comprobaciones de configuración.
- Integración con servicios externos.
Sin embargo, las funciones disponibles varían entre productos y versiones.
Antes de instalar una herramienta, revisa su procedencia, mantenimiento, compatibilidad y efecto sobre el rendimiento.
También debes comprobar si el alojamiento ya proporciona funciones equivalentes.
¿Un plugin de seguridad es suficiente?
No.
Un plugin no puede compensar una política de actualizaciones deficiente, una contraseña comprometida o la ausencia de copias de seguridad.
Además, una vulnerabilidad del propio plugin podría convertirse en un problema si no se mantiene actualizado.
La mejor estrategia combina distintas capas de protección y evita depender de una sola herramienta.
11. Lista de comprobación para proteger WordPress
Esta lista puede utilizarse como revisión inicial de seguridad.
| Comprobación | Acción recomendada |
|---|---|
| WordPress actualizado | Revisar e instalar las actualizaciones apropiadas |
| Plugins actualizados | Comprobar versiones y retirar extensiones innecesarias |
| Temas actualizados | Mantener el tema activo y revisar los demás |
| PHP compatible | Utilizar una versión mantenida y compatible |
| Contraseñas seguras | Evitar credenciales débiles o reutilizadas |
| MFA | Proteger las cuentas administrativas |
| Usuarios | Revisar roles, cuentas y permisos |
| HTTPS | Comprobar el certificado y la configuración |
| Permisos | Evitar accesos de escritura innecesarios |
| Firewall | Limitar el tráfico según las necesidades |
| Copias de seguridad | Verificar su frecuencia y ubicación |
| Restauración | Realizar pruebas periódicas |
| Monitorización | Revisar alertas, registros y cambios |
| Plugins de confianza | Instalar solo componentes necesarios y mantenidos |
| Mantenimiento | Definir un procedimiento periódico de revisión |
Esta lista no sustituye a una auditoría profesional, pero ayuda a identificar carencias comunes y establecer prioridades.
12. ¿Qué hacer si sospechas que tu WordPress ha sido comprometido?
Si observas redirecciones extrañas, usuarios desconocidos, archivos sospechosos o cambios que no has realizado, evita asumir que basta con instalar un plugin de seguridad.
Es importante actuar de manera ordenada.
Paso 1. Evalúa el alcance del incidente
Comprueba qué ha ocurrido y qué servicios pueden estar afectados.
Si existen indicios de que la web distribuye malware o perjudica a los visitantes, valora limitar temporalmente el acceso público mediante un procedimiento controlado.
En una tienda online o una aplicación empresarial, ten en cuenta las consecuencias operativas antes de interrumpir el servicio.
Paso 2. Contacta con el proveedor de alojamiento
Si utilizas un hosting administrado, informa al proveedor y solicita ayuda para revisar el entorno.
Si administras un VPS, valora solicitar asistencia especializada cuando no dispongas de los conocimientos necesarios para investigar el incidente.
Paso 3. Conserva la información relevante
Siempre que sea posible, conserva registros, alertas y evidencias antes de realizar cambios que puedan destruir información útil.
Esto puede ayudar a determinar cómo se produjo el acceso y qué componentes están afectados.
Paso 4. Identifica y corrige el origen
No basta con eliminar los archivos visibles o cambiar la apariencia de la web.
Es necesario investigar cómo se produjo el incidente, revisar los componentes vulnerables y determinar si existen accesos persistentes o cuentas comprometidas.
Paso 5. Cambia las credenciales afectadas
Desde un entorno considerado seguro, cambia las contraseñas que puedan haberse visto comprometidas.
Esto puede incluir WordPress, el panel del alojamiento, SSH, FTP/SFTP, la base de datos y otros servicios relacionados.
Si existe sospecha de que las claves de configuración se han expuesto, puede ser necesario renovarlas siguiendo un procedimiento controlado.
Paso 6. Restaura una versión limpia si procede
En función del alcance del incidente, puede resultar necesario reconstruir la web a partir de una versión conocida como limpia.
Antes de restaurar una copia antigua, comprueba que no contiene el mismo problema y que se ha corregido la vulnerabilidad que permitió el acceso.
Paso 7. Verifica el funcionamiento
Una vez recuperado el servicio, revisa los accesos, los archivos, las cuentas, los registros y las funcionalidades esenciales.
Mantén una supervisión reforzada durante el periodo posterior a la recuperación.
Si el incidente afecta a datos personales, también debes evaluar las obligaciones de notificación y las medidas exigibles según la normativa aplicable.
13. Conclusión: la seguridad de WordPress requiere mantenimiento continuo
Proteger una página web WordPress no consiste en instalar un único plugin ni en activar un certificado HTTPS.
La seguridad depende de un conjunto de medidas que deben mantenerse a lo largo del tiempo.
Actualizar WordPress y sus componentes, proteger las cuentas administrativas, utilizar HTTPS, configurar correctamente el servidor, limitar los accesos y disponer de copias de seguridad recuperables son acciones fundamentales.
También es importante supervisar los cambios, investigar las alertas y disponer de un procedimiento de respuesta ante incidentes.
Si administras una web empresarial, incorpora estas tareas a un plan de mantenimiento y revisa periódicamente que las medidas continúan funcionando.
Una página web segura no es una página que nunca recibe intentos de ataque, sino una página cuyo entorno se mantiene correctamente, cuyos riesgos se gestionan y que dispone de procedimientos para recuperarse cuando ocurre un incidente.
¿Necesitas ayuda con el mantenimiento de tu página web?
Mantener WordPress actualizado, revisar sus componentes y comprobar las copias de seguridad requiere tiempo y conocimientos técnicos.
En LINCETIC puedes consultar los servicios disponibles de desarrollo web, alojamiento y mantenimiento para valorar qué solución se adapta mejor a las necesidades de tu proyecto.
Visita LINCETIC para obtener más información.
