Seguridad en WordPress: checklist de 15 puntos para 2026
Un sitio hackeado puede redirigir a tus clientes a estafas, enviar spam con tu dominio y desaparecer de Google en días. La buena noticia: casi todos los ataques se evitan con prácticas básicas. Estas son las que aplicamos en cada proyecto.
En resumen
- La mayoría de las vulnerabilidades de WordPress están en plugins y temas, no en el núcleo.
- Las tres defensas que más protegen: actualizar, usar 2FA y tener copias de seguridad fuera del servidor.
- Si manejas formularios con datos personales en Colombia, también aplica la Ley 1581 de 2012 de protección de datos.
Por qué atacan sitios pequeños
Los atacantes no eligen tu web a mano: usan robots que recorren millones de sitios buscando versiones vulnerables de plugins conocidos o contraseñas débiles. Si tu sitio tiene el hueco, cae, sin importar que sea una pequeña empresa de Manizales. Según los informes anuales de empresas como Patchstack y Wordfence, más del 90 % de las vulnerabilidades reportadas en el ecosistema WordPress están en plugins.
Actualizaciones y software
1. Mantén todo actualizado
Núcleo, plugins y temas. Activa las actualizaciones automáticas al menos para versiones menores y para plugins de confianza. Revisa el panel una vez por semana.
2. Elimina lo que no uses
Un plugin desactivado sigue teniendo archivos en el servidor que pueden ser vulnerables. Si no lo usas, bórralo. Lo mismo con temas: deja solo el activo y uno por defecto como respaldo.
3. Nunca uses plugins o temas «nulled»
Las versiones piratas de plugins premium casi siempre traen puertas traseras. Lo que ahorras en la licencia lo pagas multiplicado limpiando el sitio.
4. Usa una versión de PHP con soporte
Las versiones antiguas de PHP dejan de recibir parches de seguridad. Usa PHP 8.3 o superior y comprueba la compatibilidad en un entorno de pruebas antes de cambiar.
Accesos y usuarios
5. Contraseñas únicas y verificación en dos pasos (2FA)
WordPress no incluye 2FA de serie: actívalo con un plugin de seguridad o de autenticación, como mínimo para administradores y editores. Usa un gestor de contraseñas.
6. Limita los intentos de inicio de sesión
Bloquea IPs tras varios intentos fallidos y añade un CAPTCHA o una protección contra bots en el formulario de acceso.
7. Mínimos privilegios
No uses el usuario «admin». Da a cada persona solo el rol que necesita: un redactor no necesita ser administrador. Elimina los usuarios de exempleados y de proveedores que ya no trabajan contigo.
Servidor y configuración
8. HTTPS en todo el sitio
Certificado SSL (gratuito con Let's Encrypt en la mayoría de hostings), redirección de HTTP a HTTPS y cabecera HSTS cuando todo funcione bien.
9. Desactiva el editor de archivos
Si alguien roba una cuenta de administrador, el editor de temas y plugins le permite inyectar código en segundos. Desactívalo en wp-config.php:
// wp-config.php
define( 'DISALLOW_FILE_EDIT', true );
define( 'FORCE_SSL_ADMIN', true );10. Permisos de archivos correctos
Carpetas en 755, archivos en 644 y wp-config.php en 640 o 600. Nunca 777.
11. Desactiva XML-RPC si no lo usas
Es un objetivo frecuente de ataques de fuerza bruta. Si no usas la app móvil de WordPress ni servicios que lo requieran, bloquéalo en el servidor:
# .htaccess
<Files xmlrpc.php>
Require all denied
</Files>12. Cabeceras de seguridad HTTP
Añade al menos X-Content-Type-Options: nosniff, Referrer-Policy, Permissions-Policy y protección contra iframes (X-Frame-Options o frame-ancestors en CSP). Puedes revisar tu sitio en securityheaders.com.
Respaldo y monitoreo
13. Copias de seguridad 3-2-1
Tres copias, en dos medios distintos, una fuera del servidor (Google Drive, Dropbox, S3). Las copias que solo viven en el mismo hosting desaparecen junto con él. Y lo más importante: prueba restaurar una copia al menos una vez.
14. Firewall y escaneo de malware
Un firewall de aplicación (WAF) bloquea ataques conocidos antes de que lleguen a WordPress. Puede estar en un plugin (Wordfence, Solid Security), en tu hosting (ver cómo elegir hosting) o en un servicio como Cloudflare. Complementa con escaneos periódicos de archivos.
15. Monitorea y registra
Monitor de disponibilidad (te avisa si la web cae), registro de actividad de usuarios y alertas de Google Search Console, que te notifica si detecta malware o contenido hackeado.
Datos personales: si tu web recoge nombres, correos o teléfonos, en Colombia debes tener una política de tratamiento de datos, pedir autorización expresa en los formularios y proteger esa información, según la Ley 1581 de 2012.
¿Y si ya te hackearon?
- No borres nada todavía. Pon el sitio en mantenimiento y haz una copia del estado actual para analizarlo.
- Cambia todas las contraseñas: WordPress, hosting, FTP/SFTP, base de datos y correo. Regenera las claves de seguridad en
wp-config.php. - Restaura una copia limpia anterior al ataque o, si no tienes, reinstala el núcleo y los plugins desde fuentes oficiales y limpia la base de datos.
- Encuentra el origen (plugin vulnerable, contraseña filtrada) y ciérralo; si no, el ataque se repite.
- Pide revisión en Search Console si Google marcó tu sitio como peligroso.
Preguntas frecuentes
¿WordPress es inseguro?
No. El núcleo de WordPress tiene un equipo de seguridad dedicado y recibe parches rápidos. La gran mayoría de los hackeos vienen de plugins y temas desactualizados, contraseñas débiles y hostings mal configurados.
¿Necesito un plugin de seguridad?
Es recomendable para tener firewall, límite de intentos de acceso, 2FA y escaneo de archivos en un solo lugar. Pero ningún plugin compensa no actualizar ni tener copias de seguridad.
¿Cada cuánto debo hacer copias de seguridad?
Para un sitio corporativo, una copia semanal suele bastar. Para tiendas en línea o sitios con contenido diario, copias diarias de la base de datos. Guarda siempre al menos una copia fuera del servidor.
Conclusión
La seguridad en WordPress no es un producto que se instala una vez, sino un hábito. Si hoy solo puedes hacer tres cosas, que sean estas: actualiza todo, activa 2FA para los administradores y configura copias de seguridad automáticas fuera del servidor. Con eso ya estás por delante de la mayoría de sitios que atacan los robots.
