Proteger WordPress: hardening, actualiza­ciones, plugins y copias

WordPress se protege de forma duradera con seis pilares: reducir la superficie de ataque, proteger los accesos con permisos mínimos y autenticación en dos factores, elegir los plugins con cuidado, instalar actualizaciones con un ritmo fijo, probar las copias y vigilar las anomalías. Las actualizaciones son la palanca mayor: las vulnerabilidades conocidas afectan sobre todo a plugins y temas, no al núcleo de WordPress.

Por qué incluso las pequeñas empresas deben proteger WordPress

“Somos demasiado pequeños para ser interesantes”: lo oímos a menudo. El problema es que la mayoría de los ataques no son dirigidos. Los bots rastrean la red las 24 horas en busca de vulnerabilidades conocidas en plugins y temas y atacan allí donde hay una brecha abierta. Da igual que detrás haya un grupo empresarial o un taller artesano.

Las consecuencias se notan: páginas de spam inyectadas, redirecciones a ofertas ajenas, avisos en el navegador, datos de formularios sustraídos o un sitio inaccesible. Si hay datos personales afectados, puede surgir además una obligación de notificar a la autoridad de protección de datos; el RGPD prevé para ello, por regla general, 72 horas desde que se tiene conocimiento.

Reducir la superficie de ataque y proteger los accesos

Limpiar y configurar

Cada línea de código de su servidor es potencialmente atacable. Por eso el hardening más eficaz empieza por prescindir de cosas: elimine por completo los temas y plugins que no use. Incluso las extensiones desactivadas siguen en el servidor y sus archivos pueden, en ciertos casos, invocarse directamente. Lo mismo vale para los antiguos temas por defecto instalados solo “por si acaso”.

A ello se suman ajustes a nivel de servidor y de WordPress que limitan el daño si algo se cuela:

Medida	Efecto	Nota
Desactivar el editor de archivos del backend (DISALLOW_FILE_EDIT en wp-config.php)	Quien consiga acceso al backend no puede modificar código desde allí.	La instalación de plugins sigue siendo posible.
Bloquear la ejecución de PHP en la carpeta de subidas	Los archivos inyectados no pueden ejecutarse.	Mediante la configuración del servidor, no mediante plugin.
Fijar permisos de archivo restrictivos y proteger especialmente wp-config.php	Las credenciales de la base de datos y las claves no son legibles para otros procesos.	Los valores adecuados dependen del alojamiento.
Desactivar XML-RPC si no se necesita	Se elimina una vía de entrada para intentos de acceso automatizados.	Algunos plugins y apps usan XML-RPC.
Salida de depuración y listado de directorios desactivados en producción	Los visitantes no ven rutas, detalles de errores ni listas de archivos.	Depuración solo en staging.

Proteger los accesos

• Cuentas individuales: cada persona tiene su propia cuenta; los accesos compartidos como “admin” para todo el equipo impiden rastrear los cambios.
• Roles según la tarea: quien escribe entradas no necesita derechos de administrador; las cuentas antiguas se eliminan con regularidad.
• Credenciales robustas y autenticación en dos factores: contraseñas largas e individuales de un gestor de contraseñas y 2FA para todos los administradores, mediante un plugin mantenido o un acceso centralizado.
• Contraseñas de aplicación para integraciones: las interfaces y automatizaciones reciben credenciales propias y revocables en lugar de la contraseña principal.
• Protección del acceso: limitación de tasa o bloqueo tras intentos fallidos repetidos para que los ataques de fuerza bruta no lleguen a ninguna parte.

Elegir plugins y temas con criterio

Cada plugin es código ajeno con amplio acceso a su sitio web. Antes de instalar uno nuevo conviene una comprobación rápida:

• Mantenimiento: ¿se actualiza con regularidad y es compatible con su versión de WordPress y PHP? Tome en serio los avisos del directorio de plugins sobre extensiones sin actualizar desde hace mucho.
• Proveedor: ¿hay detrás un desarrollador identificable que responda a los avisos de seguridad?
• Alcance: ¿necesita el paquete completo si solo usa una función? Dos plugins para la misma tarea aumentan la carga y el riesgo de conflictos.
• Origen: nada de copias “gratuitas” de plugins premium de fuentes no oficiales; es una conocida puerta de entrada de código malicioso.

Para necesidades recurrentes, una extensión ligera y desarrollada a medida suele ser mejor opción que un plugin universal. Es uno de los focos de nuestro desarrollo WordPress.

Actualiza­ciones: ritmo, prioridad y staging

Las actualizaciones son la medida individual más importante y la que más a menudo se queda sin hacer en el día a día. Un ritmo fijo saca el asunto del terreno de la intuición. WordPress instala por defecto de forma automática las actualizaciones menores del núcleo de seguridad y mantenimiento; en plugins y temas se pueden activar las actualizaciones automáticas por elemento.

Categoría	Ejemplo	Orientación
Fallo de seguridad crítico o explotado activamente	el fabricante notifica un ataque en circulación o un riesgo alto	de inmediato, como máximo en 72 horas; hasta entonces desactivar el plugin o protegerlo con un cortafuegos
Actualizaciones de seguridad y mantenimiento	versión de parche del núcleo o de un plugin	semanal o automática, con copia de seguridad y monitorización disponibles
Actualizaciones de funciones	nuevas funciones de un plugin	en una ventana de mantenimiento fija; los plugins grandes antes en staging
Actualizaciones mayores	nueva versión mayor de WordPress, versión de WooCommerce, cambio de PHP	probar primero en staging y aplicar después en una ventana planificada

Probar las actualiza­ciones mayores en el entorno de staging

Los saltos de versión mayores de WordPress, WooCommerce o plugins centrales los probamos primero en un entorno de staging, una copia del sitio en producción. En tiendas WooCommerce complejas con muchas extensiones solemos prever de uno a dos sprints de antelación. Así los conflictos en la compra o en las interfaces salen a la luz antes de que los noten los clientes.

Copias de seguridad que realmente se pueden restaurar

Antes de cada actualización hay una copia actual de archivos y base de datos, almacenada fuera del servidor web. Lo decisivo no es que existan copias, sino que la restauración se pruebe con regularidad; de lo contrario, en caso de emergencia descubrirá que la copia está incompleta.

Cuando se conoce una vulnerabi­lidad: el procedi­miento

1. Comprobar si el plugin o tema afectado está realmente instalado y activo y qué versión se ejecuta.
2. Comprobar si el fabricante ofrece un parche y cuál es la gravedad.
3. Lanzar una copia de seguridad y, si hace falta, probar brevemente la actualización en staging.
4. Instalar la actualización. Si no hay parche: desactivar la extensión, sustituirla o protegerla con una regla de cortafuegos.
5. Revisar registros y cambios de archivos en busca de indicios de un ataque previo, incluidas nuevas cuentas de administrador.

Alojamiento y monitoriza­ción: la segunda línea de defensa

Los sitios aislados evitan que un proyecto comprometido arrastre a otros del mismo servidor. Un cortafuegos de aplicaciones web filtra los patrones de ataque típicos antes de que lleguen a WordPress. A ello se suman HTTPS en todo el sitio, cabeceras de seguridad como HSTS y X-Content-Type-Options (una Content-Security-Policy estricta solo tras pruebas exhaustivas, porque puede romper temas y plugins) y una versión de PHP con soporte vigente: PHP 8.1 y anteriores ya no reciben actualizaciones de seguridad y PHP 8.2 termina a finales de 2026. Menos plugins y un PHP actual hacen además el sitio más rápido; más en el artículo Core Web Vitals en la práctica.

El hardening no es un proyecto puntual. Una monitorización ligera hace visibles las anomalías pronto:

• disponibilidad del sitio y fecha de caducidad del certificado SSL
• cambios en archivos del núcleo, temas y plugins
• acumulación de intentos de acceso fallidos
• cuentas de administrador recién creadas
• avisos de seguridad en Google Search Console

Ejemplo práctico y lista de control

Empresa artesana con un sitio web crecido

Supongamos que una empresa artesana lleva años con un sitio WordPress con unos 30 plugins, dos temas inactivos, un acceso “admin” compartido y solo la copia nocturna del proveedor de alojamiento. Una hoja de ruta razonable:

1. Copia de seguridad completa, copia de staging e inventario de todos los plugins con versión, finalidad y estado de mantenimiento.
2. Limpiar: eliminar temas inactivos y plugins sin uso o duplicados y sustituir las extensiones abandonadas.
3. Actualizaciones primero en staging y después en producción; actualizar la versión de PHP.
4. Reorganizar los accesos: cuentas personales, roles adecuados y 2FA para administradores.
5. Configurar hardening, cortafuegos y protección del acceso, copia externa con prueba de restauración y monitorización.

Efecto secundario: con menos plugins y un PHP actual, el sitio suele volverse notablemente más rápido.

Lista de control: proteger WordPress en diez pasos

1. Eliminar por completo los temas y plugins sin uso.
2. Fijar permisos de archivo restrictivos y desactivar el editor de archivos del backend.
3. Asignar roles de usuario según las tareas y eliminar las cuentas antiguas.
4. Activar 2FA para todos los administradores.
5. Revisar los plugins según mantenimiento, proveedor y utilidad.
6. Instalar las actualizaciones críticas de seguridad en 72 horas.
7. Probar las actualizaciones mayores primero en staging.
8. Usar una versión de PHP con soporte vigente.
9. Guardar las copias fuera del servidor y probar la restauración.
10. Configurar monitorización de disponibilidad, cambios de archivos y accesos.

Para aplicaciones web desarrolladas a medida más allá de WordPress encontrará más puntos de partida en la lista de control OWASP para seguridad web.

Cómo le apoya Nano Concepts

¿No quiere vigilar usted mismo este asunto? En el marco del mantenimiento de WordPress nos encargamos de actualizaciones, copias de seguridad y monitorización de su sitio; el hardening de su instalación lo realizamos como protección de WordPress. En la primera consulta gratuita aclaramos el estado actual y qué hay que hacer primero. Este artículo no sustituye el asesoramiento jurídico.