Pocas pymes se toman en serio la seguridad en WordPress hasta que les pasa a ellas. Y es raro, porque la mayoría confía en esta plataforma para lo que más le importa: la web corporativa, la tienda online, las landings de captación. WordPress alimenta más del 40 % de internet, y esa popularidad tiene una cara incómoda: se ha convertido en el objetivo favorito de los atacantes. No porque sea inseguro en sí, sino porque su enorme base de usuarios permite automatizar ataques masivos.
En Grupo Novalca gestionamos cientos de instalaciones WordPress entre España y México, y lo que veo en soporte se repite una y otra vez. Casi todo se habría evitado con un hardening básico. Una hora de trabajo, quizá menos. Aquí te dejo los 7 pasos que aplicamos con nuestros clientes, divididos en dos partes para que puedas ponerlos en práctica sin complicaciones técnicas.
Por qué las pymes son objetivo frecuente de ataques
Hay un mito que escucho constantemente en reuniones con pequeños empresarios: «mi web es pequeña, nadie va a atacarme». Falso. Los ataques actuales no son personalizados; son bots que rastrean millones de sitios buscando vulnerabilidades conocidas, de forma automática y sin descanso. Para ellos da igual si tu web tiene 10 visitas al día o 10.000.
¿Por qué las pymes resultan especialmente atractivas? Por lo siguiente:
- Menor inversión en seguridad: muchos negocios instalan WordPress y lo olvidan durante años. Sin actualizaciones, sin copias de seguridad.
- Datos valiosos: formularios con datos de clientes, pasarelas de pago, correos corporativos que los atacantes pueden secuestrar para enviar spam o phishing.
- Servidor como trampolín: una web comprometida se usa para atacar a terceros, minar criptomonedas o infectar visitantes con malware. Y ojo, porque Google puede acabar marcando tu dominio como peligroso.
Un caso real que me marcó: una empresa textil de Guadalajara (México) nos contactó tras descubrir redirecciones extrañas en su web. El culpable era un plugin desactualizado hacía tres años. Dos semanas de limpieza, y las posiciones en Google que perdieron tardaron meses en recuperarse. Dos semanas. Por un plugin.
Dato clave: la inmensa mayoría de los ataques exitosos a WordPress explotan vulnerabilidades ya conocidas y parcheadas. Mantener el software al día es, por sí solo, la medida más efectiva que existe.
Paso 1-3: actualizaciones, usuarios y contraseñas seguras
Paso 1: mantén todo actualizado
Núcleo de WordPress, tema y plugins. Todo en su última versión estable. Las actualizaciones no solo aportan funcionalidades: parchean fallos de seguridad que ya son públicos y, por tanto, explotables por cualquiera.
- Activa las actualizaciones automáticas menores del núcleo.
- Revisa semanalmente el apartado de actualizaciones del panel.
- Elimina plugins y temas que no uses; un plugin inactivo pero desactualizado sigue siendo un riesgo.
- Antes de actualizar en producción, realiza una copia de seguridad completa.
Si tu web depende de plugins críticos (WooCommerce, por ejemplo), valora un entorno de staging para probar las actualizaciones antes de aplicarlas. Duerme mejor, te lo aseguro.
Paso 2: audita tus usuarios
Revisa periódicamente la lista de usuarios en tu panel. Elimina cuentas antiguas de colaboradores o de proveedores que ya no trabajan contigo, y asigna a cada persona el rol mínimo necesario. No todo el mundo necesita ser administrador, ni mucho menos. El error más común que encuentro: el desarrollador original de la web conservando acceso de administrador años después de terminar el proyecto. Nadie se acuerda de pedirle que lo quite.
Paso 3: refuerza las contraseñas
Exige contraseñas largas y únicas para todos los usuarios con permisos de publicación. Yo recomiendo gestores como Bitwarden o 1Password, junto con la autenticación en dos pasos (2FA) mediante un plugin como Wordfence o WP 2FA. Y otra cosa: evita el usuario «admin». Es el primero que prueban los bots en sus ataques de fuerza bruta. Suena obvio, pero sigue habiendo miles de webs con ese usuario.
Paso 4-5: limitar intentos de acceso y proteger el panel de administración
Paso 4: limita los intentos de inicio de sesión
Por defecto, WordPress permite infinitos intentos de contraseña. Eso facilita muchísimo los ataques de fuerza bruta. Con un plugin como Limit Login Attempts Reloaded puedes bloquear temporalmente una IP tras 3-5 intentos fallidos. Cinco minutos de configuración que eliminan la práctica totalidad de estos ataques automatizados.
Tip práctico: complementa el limitador con un timeout de sesión corto en la pantalla de login, y revisa los registros de intentos fallidos. Verás en tiempo real el volumen de ataques que tu web recibe a diario. Suele sorprender, y no para bien.
Paso 5: protege el panel de administración
La página de acceso (wp-login.php) y el directorio wp-admin son la puerta de entrada principal. Algunas medidas que funcionan:
- Cambia la URL de acceso con plugins como WPS Hide Login, pasando de /wp-login.php a una ruta personalizada.
- Restringe el acceso por IP desde el servidor si tu equipo trabaja desde ubicaciones fijas.
- Añade una capa HTTP adicional de autenticación básica en wp-admin. Un doble cerrojo que los bots no suelen superar.
- Desactiva el editor de archivos del panel añadiendo la constante correspondiente en wp-config.php, de modo que un atacante con acceso no pueda ejecutar código.
Con estos cinco primeros pasos ya tienes cubiertas las vulnerabilidades más explotadas en la práctica. En la segunda parte del artículo completamos el hardening con dos pasos igual de importantes: las copias de seguridad automatizadas y la protección de archivos sensibles del servidor.
Paso 6-7: copias de seguridad y certificado SSL
Imagina esta escena: llevas meses blindando tu WordPress y un día, por un fallo del servidor, un plugin que no se llevaba bien con otro o un atacante con paciencia, lo pierdes casi todo. Sin copia, no hay marcha atrás. Por eso las copias de seguridad automatizadas son, para mí, la red de seguridad más importante de todas. En Grupo Novalca manejamos una regla que no admite excepciones: toda copia debe ser automática, diaria y guardada fuera del servidor. Una copia que vive en el mismo hosting que la web no protege de prácticamente nada.
- Frecuencia diaria si tienes tienda online o publicas contenido a menudo; semanal como mínimo en webs corporativas estáticas.
- Retención de al menos 30 días. Suena excesivo hasta que detectas un problema semanas después de que ocurriera.
- Prueba de restauración periódica. Y ojo con esto: una copia que nunca se ha restaurado es una copia en la que no puedes confiar. Punto.
El paso 7, el certificado SSL, debería ser obvio ya en 2024. Pues sigue habiendo webs sin él (las sigo encontrando más de las que me gustaría). Instala el certificado, fuerza la redirección de HTTP a HTTPS desde el .htaccess y activa HSTS. Además del cifrado del tráfico, SSL influye en el posicionamiento en Google y es requisito imprescindible para pasarelas de pago como Stripe o Redsys. Sin él, simplemente no operas.
Herramientas de seguridad en WordPress que recomendamos
Después de años tocando cientos de instalaciones, esta es la caja de herramientas que suelo recomendar según el perfil de cada proyecto:
- Wordfence o Solid Security: firewalls de aplicación con escáner de malware, protección contra fuerza bruta y monitorización de archivos en tiempo real.
- UpdraftPlus o BlogVault: copias automatizadas con envío a Google Drive, S3 o Dropbox.
- Cloudflare o Sucuri: firewall a nivel de DNS que filtra los ataques antes de que lleguen a tu servidor y oculta tu IP real.
- WP CLI y ssh: para los que gestionamos servidores directamente, el hardening manual de permisos y del .htaccess sigue sin tener sustituto.
Un consejo que doy casi siempre: no instales tres plugins que hacen lo mismo. Uno solo, bien configurado, más un firewall perimetral tipo Cloudflare cubre el 95% de los escenarios reales. El resto suele ser ruido.
Conclusión: la seguridad es un hábito, no un proyecto único
La seguridad en WordPress no se arregla con una limpieza de primavera. Es un hábito. Actualizar cada semana, revisar logs, verificar que las copias existen de verdad y auditar los plugins instalados al menos una vez por trimestre. En Grupo Novalca hemos visto caer webs que facturaban miles de euros diarios por descuidos tan simples como un plugin abandonado hacía tres años.
Piénsalo como el seguro de tu negocio: cuando lo necesitas, ya es tarde para contratarlo. Los siete pasos de este artículo se pueden implementar en una tarde de trabajo y reducen muchísimo tu superficie de ataque. ¿Y si tu equipo no tiene la capacidad técnica interna? Pues delega. Un proveedor especializado siempre saldrá más barato que una infección de malware, una multa por fuga de datos o una web caída en plena campaña de ventas.
Empieza hoy con el paso 1. Tu yo del futuro te lo agradecerá.