{"id":1699,"date":"2026-10-10T05:54:16","date_gmt":"2026-10-10T05:54:16","guid":{"rendered":"https:\/\/blog.juliobrasa.com\/?p=1699"},"modified":"2026-10-10T05:54:16","modified_gmt":"2026-10-10T05:54:16","slug":"seguridad-en-wordpress-hardening-basico-en-7-pasos","status":"publish","type":"post","link":"https:\/\/juliobrasa.com\/blog\/seguridad-en-wordpress-hardening-basico-en-7-pasos\/","title":{"rendered":"Seguridad en WordPress: hardening b\u00e1sico en 7 pasos"},"content":{"rendered":"<p>Pocas pymes se toman en serio la <strong>seguridad en WordPress<\/strong> hasta que les pasa a ellas. Y es raro, porque la mayor\u00eda conf\u00eda en esta plataforma para lo que m\u00e1s le importa: la web corporativa, la tienda online, las landings de captaci\u00f3n. WordPress alimenta m\u00e1s del 40 % de internet, y esa popularidad tiene una cara inc\u00f3moda: se ha convertido en el objetivo favorito de los atacantes. No porque sea inseguro en s\u00ed, sino porque su enorme base de usuarios permite automatizar ataques masivos.<\/p>\n<p>En Grupo Novalca gestionamos cientos de instalaciones WordPress entre Espa\u00f1a y M\u00e9xico, y lo que veo en soporte se repite una y otra vez. Casi todo se habr\u00eda evitado con un hardening b\u00e1sico. Una hora de trabajo, quiz\u00e1 menos. Aqu\u00ed te dejo los 7 pasos que aplicamos con nuestros clientes, divididos en dos partes para que puedas ponerlos en pr\u00e1ctica sin complicaciones t\u00e9cnicas.<\/p>\n<h2>Por qu\u00e9 las pymes son objetivo frecuente de ataques<\/h2>\n<p>Hay un mito que escucho constantemente en reuniones con peque\u00f1os empresarios: \u00abmi web es peque\u00f1a, nadie va a atacarme\u00bb. Falso. Los ataques actuales no son personalizados; son bots que rastrean millones de sitios buscando vulnerabilidades conocidas, de forma autom\u00e1tica y sin descanso. Para ellos da igual si tu web tiene 10 visitas al d\u00eda o 10.000.<\/p>\n<p>\u00bfPor qu\u00e9 las pymes resultan especialmente atractivas? Por lo siguiente:<\/p>\n<ul>\n<li><strong>Menor inversi\u00f3n en seguridad:<\/strong> muchos negocios instalan WordPress y lo olvidan durante a\u00f1os. Sin actualizaciones, sin copias de seguridad.<\/li>\n<li><strong>Datos valiosos:<\/strong> formularios con datos de clientes, pasarelas de pago, correos corporativos que los atacantes pueden secuestrar para enviar spam o phishing.<\/li>\n<li><strong>Servidor como trampol\u00edn:<\/strong> una web comprometida se usa para atacar a terceros, minar criptomonedas o infectar visitantes con malware. Y ojo, porque Google puede acabar marcando tu dominio como peligroso.<\/li>\n<\/ul>\n<p>Un caso real que me marc\u00f3: una empresa textil de Guadalajara (M\u00e9xico) nos contact\u00f3 tras descubrir redirecciones extra\u00f1as en su web. El culpable era un plugin desactualizado hac\u00eda tres a\u00f1os. Dos semanas de limpieza, y las posiciones en Google que perdieron tardaron meses en recuperarse. Dos semanas. Por un plugin.<\/p>\n<div class=\"result-box\">\n<p><strong>Dato clave:<\/strong> la inmensa mayor\u00eda de los ataques exitosos a WordPress explotan vulnerabilidades ya conocidas y parcheadas. Mantener el software al d\u00eda es, por s\u00ed solo, la medida m\u00e1s efectiva que existe.<\/p>\n<\/div>\n<h2>Paso 1-3: actualizaciones, usuarios y contrase\u00f1as seguras<\/h2>\n<h3>Paso 1: mant\u00e9n todo actualizado<\/h3>\n<p>N\u00facleo de WordPress, tema y plugins. Todo en su \u00faltima versi\u00f3n estable. Las actualizaciones no solo aportan funcionalidades: parchean fallos de seguridad que ya son p\u00fablicos y, por tanto, explotables por cualquiera.<\/p>\n<ol>\n<li>Activa las actualizaciones autom\u00e1ticas menores del n\u00facleo.<\/li>\n<li>Revisa semanalmente el apartado de actualizaciones del panel.<\/li>\n<li>Elimina plugins y temas que no uses; un plugin inactivo pero desactualizado sigue siendo un riesgo.<\/li>\n<li>Antes de actualizar en producci\u00f3n, realiza una copia de seguridad completa.<\/li>\n<\/ol>\n<p>Si tu web depende de plugins cr\u00edticos (WooCommerce, por ejemplo), valora un entorno de staging para probar las actualizaciones antes de aplicarlas. Duerme mejor, te lo aseguro.<\/p>\n<h3>Paso 2: audita tus usuarios<\/h3>\n<p>Revisa peri\u00f3dicamente la lista de usuarios en tu panel. Elimina cuentas antiguas de colaboradores o de proveedores que ya no trabajan contigo, y asigna a cada persona el rol m\u00ednimo necesario. No todo el mundo necesita ser administrador, ni mucho menos. El error m\u00e1s com\u00fan que encuentro: el desarrollador original de la web conservando acceso de administrador a\u00f1os despu\u00e9s de terminar el proyecto. Nadie se acuerda de pedirle que lo quite.<\/p>\n<h3>Paso 3: refuerza las contrase\u00f1as<\/h3>\n<p>Exige contrase\u00f1as largas y \u00fanicas para todos los usuarios con permisos de publicaci\u00f3n. Yo recomiendo gestores como Bitwarden o 1Password, junto con la autenticaci\u00f3n en dos pasos (2FA) mediante un plugin como Wordfence o WP 2FA. Y otra cosa: evita el usuario \u00abadmin\u00bb. Es el primero que prueban los bots en sus ataques de fuerza bruta. Suena obvio, pero sigue habiendo miles de webs con ese usuario.<\/p>\n<h2>Paso 4-5: limitar intentos de acceso y proteger el panel de administraci\u00f3n<\/h2>\n<h3>Paso 4: limita los intentos de inicio de sesi\u00f3n<\/h3>\n<p>Por defecto, WordPress permite infinitos intentos de contrase\u00f1a. Eso facilita much\u00edsimo los ataques de fuerza bruta. Con un plugin como <em>Limit Login Attempts Reloaded<\/em> puedes bloquear temporalmente una IP tras 3-5 intentos fallidos. Cinco minutos de configuraci\u00f3n que eliminan la pr\u00e1ctica totalidad de estos ataques automatizados.<\/p>\n<div class=\"result-box\">\n<p><strong>Tip pr\u00e1ctico:<\/strong> complementa el limitador con un timeout de sesi\u00f3n corto en la pantalla de login, y revisa los registros de intentos fallidos. Ver\u00e1s en tiempo real el volumen de ataques que tu web recibe a diario. Suele sorprender, y no para bien.<\/p>\n<\/div>\n<h3>Paso 5: protege el panel de administraci\u00f3n<\/h3>\n<p>La p\u00e1gina de acceso (wp-login.php) y el directorio wp-admin son la puerta de entrada principal. Algunas medidas que funcionan:<\/p>\n<ul>\n<li><strong>Cambia la URL de acceso<\/strong> con plugins como WPS Hide Login, pasando de \/wp-login.php a una ruta personalizada.<\/li>\n<li><strong>Restringe el acceso por IP<\/strong> desde el servidor si tu equipo trabaja desde ubicaciones fijas.<\/li>\n<li><strong>A\u00f1ade una capa HTTP adicional<\/strong> de autenticaci\u00f3n b\u00e1sica en wp-admin. Un doble cerrojo que los bots no suelen superar.<\/li>\n<li><strong>Desactiva el editor de archivos<\/strong> del panel a\u00f1adiendo la constante correspondiente en wp-config.php, de modo que un atacante con acceso no pueda ejecutar c\u00f3digo.<\/li>\n<\/ul>\n<p>Con estos cinco primeros pasos ya tienes cubiertas las vulnerabilidades m\u00e1s explotadas en la pr\u00e1ctica. En la segunda parte del art\u00edculo completamos el hardening con dos pasos igual de importantes: las copias de seguridad automatizadas y la protecci\u00f3n de archivos sensibles del servidor.<\/p>\n<h2>Paso 6-7: copias de seguridad y certificado SSL<\/h2>\n<p>Imagina esta escena: llevas meses blindando tu WordPress y un d\u00eda, por un fallo del servidor, un plugin que no se llevaba bien con otro o un atacante con paciencia, lo pierdes casi todo. Sin copia, no hay marcha atr\u00e1s. Por eso las <strong>copias de seguridad automatizadas<\/strong> son, para m\u00ed, la red de seguridad m\u00e1s importante de todas. En Grupo Novalca manejamos una regla que no admite excepciones: toda copia debe ser autom\u00e1tica, diaria y guardada fuera del servidor. Una copia que vive en el mismo hosting que la web no protege de pr\u00e1cticamente nada.<\/p>\n<ul>\n<li><strong>Frecuencia diaria<\/strong> si tienes tienda online o publicas contenido a menudo; semanal como m\u00ednimo en webs corporativas est\u00e1ticas.<\/li>\n<li><strong>Retenci\u00f3n de al menos 30 d\u00edas<\/strong>. Suena excesivo hasta que detectas un problema semanas despu\u00e9s de que ocurriera.<\/li>\n<li><strong>Prueba de restauraci\u00f3n peri\u00f3dica<\/strong>. Y ojo con esto: una copia que nunca se ha restaurado es una copia en la que no puedes confiar. Punto.<\/li>\n<\/ul>\n<p>El paso 7, el certificado <strong>SSL<\/strong>, deber\u00eda ser obvio ya en 2024. Pues sigue habiendo webs sin \u00e9l (las sigo encontrando m\u00e1s de las que me gustar\u00eda). Instala el certificado, fuerza la redirecci\u00f3n de HTTP a HTTPS desde el .htaccess y activa HSTS. Adem\u00e1s del cifrado del tr\u00e1fico, SSL influye en el posicionamiento en Google y es requisito imprescindible para pasarelas de pago como Stripe o Redsys. Sin \u00e9l, simplemente no operas.<\/p>\n<h2>Herramientas de seguridad en WordPress que recomendamos<\/h2>\n<p>Despu\u00e9s de a\u00f1os tocando cientos de instalaciones, esta es la caja de herramientas que suelo recomendar seg\u00fan el perfil de cada proyecto:<\/p>\n<ul>\n<li><strong>Wordfence o Solid Security<\/strong>: firewalls de aplicaci\u00f3n con esc\u00e1ner de malware, protecci\u00f3n contra fuerza bruta y monitorizaci\u00f3n de archivos en tiempo real.<\/li>\n<li><strong>UpdraftPlus o BlogVault<\/strong>: copias automatizadas con env\u00edo a Google Drive, S3 o Dropbox.<\/li>\n<li><strong>Cloudflare o Sucuri<\/strong>: firewall a nivel de DNS que filtra los ataques antes de que lleguen a tu servidor y oculta tu IP real.<\/li>\n<li><strong>WP CLI y ssh<\/strong>: para los que gestionamos servidores directamente, el hardening manual de permisos y del .htaccess sigue sin tener sustituto.<\/li>\n<\/ul>\n<p>Un consejo que doy casi siempre: no instales tres plugins que hacen lo mismo. Uno solo, bien configurado, m\u00e1s un firewall perimetral tipo Cloudflare cubre el 95% de los escenarios reales. El resto suele ser ruido.<\/p>\n<h2>Conclusi\u00f3n: la seguridad es un h\u00e1bito, no un proyecto \u00fanico<\/h2>\n<p>La <strong>seguridad en WordPress<\/strong> no se arregla con una limpieza de primavera. Es un h\u00e1bito. Actualizar cada semana, revisar logs, verificar que las copias existen de verdad y auditar los plugins instalados al menos una vez por trimestre. En Grupo Novalca hemos visto caer webs que facturaban miles de euros diarios por descuidos tan simples como un plugin abandonado hac\u00eda tres a\u00f1os.<\/p>\n<p>Pi\u00e9nsalo como el seguro de tu negocio: cuando lo necesitas, ya es tarde para contratarlo. Los siete pasos de este art\u00edculo se pueden implementar en una tarde de trabajo y reducen much\u00edsimo tu superficie de ataque. \u00bfY si tu equipo no tiene la capacidad t\u00e9cnica interna? Pues delega. Un proveedor especializado siempre saldr\u00e1 m\u00e1s barato que una infecci\u00f3n de malware, una multa por fuga de datos o una web ca\u00edda en plena campa\u00f1a de ventas.<\/p>\n<p>Empieza hoy con el paso 1. Tu yo del futuro te lo agradecer\u00e1.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Pocas pymes se toman en serio la seguridad en WordPress hasta que les pasa a ellas. Y es raro, porque la mayor\u00eda conf\u00eda en esta plataforma para lo que m\u00e1s le importa: la web corporativa, la tienda online, las landings de captaci\u00f3n. WordPress alimenta m\u00e1s del 40 % de internet, y esa popularidad tiene una&#8230;<\/p>\n","protected":false},"author":3,"featured_media":1701,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"rank_math_title":"Seguridad en WordPress: hardening b\u00e1sico en 7 pasos","rank_math_description":"Descubre c\u00f3mo mejorar la seguridad en WordPress con hardening b\u00e1sico para pymes: 7 pasos pr\u00e1cticos que puedes aplicar hoy. Empieza a proteger tu web ahora.","rank_math_focus_keyword":"seguridad en WordPress","footnotes":""},"categories":[25],"tags":[],"class_list":["post-1699","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia-e-ia"],"_links":{"self":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts\/1699","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/comments?post=1699"}],"version-history":[{"count":1,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts\/1699\/revisions"}],"predecessor-version":[{"id":1700,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts\/1699\/revisions\/1700"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/media\/1701"}],"wp:attachment":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/media?parent=1699"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/categories?post=1699"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/tags?post=1699"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}