Esta guía reúne todas las medidas de seguridad para WordPress que tenemos documentadas: análisis, prevención, acceso, protección del código y qué hacer ante un hackeo. Úsala como lista de comprobación. Algunas medidas requieren conocimientos avanzados.
Requisitos previos
Una copia de seguridad antes de aplicar cualquier cambio.
⚠️ Importante: Aplicar estas medidas es responsabilidad del usuario. Haz copia antes de cada cambio y no instales plugins de seguridad de más: pueden consumir recursos o entrar en conflicto.
Instrucciones paso a paso
Si tu web ha sido hackeada
Cambia las contraseñas: email de tu cuenta, Área de Clientes, cPanel, correos, FTP y usuarios de WordPress.
Elimina usuarios de WordPress sospechosos y revisa los logs de la web y del hosting.
Escanea con Sucuri SiteCheck, Wordfence o Anti-Malware.
Restaura una copia limpia, reinstala el núcleo o, si es necesario, crea la web de nuevo o contrata a un experto.
Configuración básica
Medida | Guía |
Fuentes fiables de plugins y temas | |
Eliminar plugins y temas sin uso | |
Cambiar el usuario admin | |
Proteger wp-config.php | |
Sacar datos sensibles de wp-config.php | |
Desactivar el editor de archivos | |
Cambiar el prefijo de la base de datos | |
Bloquear el hotlinking | |
Supervisar usuarios | |
Supervisar recursos y procesos | |
Revisar tareas cron | |
Cerrar sesiones inactivas | |
Desactivar errores de PHP | |
Convertir a HTML estático (opcional) | |
Encabezados de seguridad |
Seguridad en el acceso
Medida | Guía |
2FA en el Área de Clientes | |
2FA en WordPress | |
2FA en cPanel | |
2FA en Webmail | |
Cambiar la URL de login | |
reCAPTCHA en formularios | |
reCAPTCHA en comentarios | |
Desactivar XML-RPC | |
Limitar intentos de login |
Protección del código y la infraestructura
Medida | Guía |
Ocultar versiones | |
Permisos de archivos | |
Bloquear PHP en ciertas carpetas | |
Desactivar listado de directorios | |
Políticas de contraseñas |
Herramientas y plugins de seguridad
Tipo | Herramientas |
Análisis | WP Toolkit, Sucuri SiteCheck, VirusTotal, Wordfence, Solid Security, Mozilla HTTP Observatory, WPScan, Google Search Console. |
Plugins |
Resultado esperado
Tienes una lista completa de medidas para proteger tu WordPress y saber qué hacer ante un incidente.
¿Qué más puedo hacer?: Copias automáticas en varias ubicaciones, un firewall de aplicaciones (WAF), monitorizar caídas (por ejemplo con Uptime Robot), pocos plugins y siempre actualizados, roles mínimos para cada usuario y contraseña en los entornos de pruebas.
Ahora ya conoces todas las medidas de seguridad disponibles para tu WordPress.