Seguridad en WooCommerce: cómo proteger pagos y datos de clientes
Una tienda WooCommerce tiene todo lo que tiene un sitio WordPress, y además clientes, pedidos y pagos. Eso la vuelve un blanco más rentable para los atacantes: el robo de tarjetas en el checkout, las pruebas masivas de tarjetas robadas y las cuentas falsas son problemas propios de las tiendas. Le explicamos los riesgos específicos de WooCommerce y cómo cerrarlos.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Los ataques más comunes contra tiendas WooCommerce
Robo de tarjetas en el checkout (skimming)
Un script inyectado en la página de pago copia los datos de la tarjeta mientras el cliente los escribe y los manda a un servidor del atacante. La tienda sigue vendiendo normal. Se descubre cuando los clientes reclaman cargos o el banco detecta un patrón de fraude.
Card testing
Bots que usan el checkout para probar miles de tarjetas robadas con compras chicas. La tienda paga comisiones por los rechazos, la pasarela puede suspender la cuenta y el panel se llena de pedidos fallidos.
Cuentas falsas de clientes
Bots que crean cientos o miles de cuentas en el registro de la tienda, para spam o para preparar otros ataques. Vimos casos con miles de cuentas falsas en tiendas que no tenían protección en el registro.
Toma de control del administrador
Con acceso de administrador, el atacante puede cambiar la cuenta de cobro, descargar la base de clientes o instalar el script de robo de tarjetas.
Cómo proteger wp-adminExtensiones vulnerables
Las tiendas suelen tener muchas extensiones (envíos, facturación, pasarelas, filtros), y cada una suma riesgo. El 91 % de las vulnerabilidades del ecosistema WordPress está en plugins.
La pasarela de pago define buena parte del riesgo
No todas las formas de cobrar exponen lo mismo:
| Cómo se cobra | Dónde se escribe la tarjeta | Riesgo para la tienda |
|---|---|---|
| Redirección a la pasarela (el cliente sale de su sitio para pagar) | En el sitio de la pasarela | Bajo: su sitio nunca ve la tarjeta, aunque un atacante podría cambiar el enlace de redirección |
| Campos incrustados de la pasarela (iframe o hosted fields) | En un campo servido por la pasarela, dentro de su página | Medio: la tarjeta no pasa por su servidor, pero un script en su página puede imitar el formulario |
| Formulario propio que procesa la tarjeta | En su sitio | Alto: su sitio maneja datos de tarjeta y queda dentro del alcance completo de PCI DSS |
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
PCI DSS en una tienda chica
PCI DSS es el estándar de seguridad que exigen las marcas de tarjetas a quien acepta pagos. Si usa redirección o campos incrustados, su obligación se reduce a un cuestionario de autoevaluación, pero no desaparece. Para cumplirlo:
- su sitio tiene que estar libre de scripts que no controla en las páginas de pago;
- tiene que tener HTTPS en todo el sitio → El aviso «No seguro» en WordPress;
- tiene que mantener el software actualizado y los accesos protegidos.
Cómo proteger su tienda WooCommerce, paso a paso
- 01
Revise los scripts del checkout
Liste todo lo que carga la página de pago: analítica, chats, píxeles de publicidad, mapas. Cada script de terceros puede modificar el formulario. Quite los que no hacen falta en el checkout.
- 02
Proteja el registro y el checkout de los bots
Un captcha invisible o un servicio anti-bots en el registro, en el inicio de sesión y en el checkout. Además, límite de intentos de pago por IP y por cliente.
- 03
Segunda clave para todos los administradores y gestores
Quien puede ver pedidos o cambiar la configuración de pagos necesita 2FA. Sin excepciones.
- 04
Extensiones al día, y solo las necesarias
Actualizaciones con prueba previa, porque una incompatibilidad en el checkout es dinero perdido. Borre las extensiones que no usa. → Actualizar WordPress sin romper el sitio
- 05
Copias diarias de la base de datos
Una tienda que pierde un día de pedidos pierde ventas y la confianza de sus clientes. → Copias de seguridad en WordPress
- 06
Un firewall delante de la tienda
Frena la fuerza bruta contra las cuentas de clientes y el card testing antes de que lleguen al servidor. → Qué es un WAF
- 07
Vigile los cambios en los archivos
Una alerta cuando cambia un archivo del checkout o del tema es la forma más rápida de detectar un script de robo de tarjetas. → Cómo escanear WordPress en busca de malware
Proteger los datos de los clientes, no solo los pagos
Una tienda guarda mucho más que pedidos: nombres, direcciones, teléfonos, correos e historial de compras. Esa base es valiosa para un atacante, y también para un empleado que se va.
Accesos por rol
Quien prepara envíos no necesita exportar la base de clientes ni tocar los ajustes de pago.
Cuidado con las exportaciones
Los archivos CSV de pedidos y clientes que se descargan «para hacer un informe» terminan en carpetas compartidas y correos. Bórrelos cuando no hacen falta.
Datos que no necesita, no los pida
Cada campo que agrega en el checkout es un dato más que proteger.
Correo del dominio protegido
Los fraudes por correo a clientes («cambiamos la cuenta para el pago») usan dominios mal configurados.
Seguridad del correo corporativoCumplimiento local
Las leyes de protección de datos de la región exigen medidas de seguridad sobre las bases de clientes. Lo legal lo define su abogado; la parte técnica es esta lista.
Checklist de seguridad para tiendas WooCommerce
- Pasarela por redirección o con campos incrustados, nunca un formulario propio que procese tarjetas.
- Página de pago sin scripts de terceros que no hagan falta.
- Protección anti-bots en el registro, el inicio de sesión y el checkout.
- Segunda clave para todos los administradores y gestores de tienda.
- WooCommerce y todas las extensiones actualizados; sin extensiones que no se usen.
- Copia diaria de la base de datos fuera del servidor, con prueba de restauración trimestral.
- HTTPS en todo el sitio, con redirección y sin contenido mixto.
- Firewall delante de la tienda.
- Alertas por cambios en los archivos del tema y del checkout.
- Alguien que mira los pedidos fallidos y las cuentas nuevas todas las semanas.
En una auditoría de seguridad web revisamos todo esto, incluida la categoría «Robo en el pago»: los scripts cargados en el checkout que podrían capturar tarjetas. Y si prefiere que lo vigilemos todos los meses, el plan Tienda de la guardia mensual está pensado para WooCommerce.
Señales de que su tienda puede estar comprometida
- Clientes que reclaman cargos que no hicieron después de comprar en su tienda.
- Muchos pedidos fallidos o de montos muy chicos en poco tiempo (card testing).
- Cientos de cuentas de clientes nuevas sin compras.
- Cambios en la configuración de pagos o de envíos que nadie hizo.
- Scripts que no reconoce en el código de la página de pago.
Si ve alguna, actúe el mismo día: un script de robo de tarjetas activo afecta a cada cliente que compra. → Limpieza de sitio hackeado
Para el resto de las medidas, vea la guía de seguridad en WordPress.
Servicios relacionados
Preguntas frecuentes
¿WooCommerce es seguro?
WooCommerce, como WordPress, es seguro si está mantenido. El riesgo está en las extensiones desactualizadas, los accesos débiles y los scripts de terceros en el checkout.
¿Mi tienda guarda los datos de las tarjetas?
Si usa una pasarela por redirección o con campos incrustados, no: la tarjeta la procesa la pasarela. Igual, un script inyectado en su página podría copiarla antes.
¿Qué es el card testing y cómo lo freno?
Es el uso de su checkout para probar tarjetas robadas. Se frena con protección anti-bots, límite de intentos de pago y un firewall delante de la tienda.
¿Necesito un pentest para mi tienda?
Para una tienda WooCommerce estándar, una auditoría de seguridad web suele alcanzar. Si tiene desarrollos a medida (portal de clientes, integraciones propias), conviene un pentest web.
¿Cada cuánto conviene revisar la seguridad de la tienda?
Las actualizaciones, cada semana. Una revisión completa, al menos una vez por año y después de cada cambio grande (nueva pasarela, rediseño, nueva extensión crítica).
Más sobre seguridad wordpress
Seguridad en WordPress: guía completa para dueños de sitios
¿WordPress es seguro? El núcleo, sí. Los sitios WordPress que se hackean caen casi siempre por lo que se les agrega encima:…
LeerCómo escanear WordPress en busca de malware
El malware en WordPress casi nunca se ve: el sitio carga bien, a usted no le redirige a ningún lado y el…
LeerCopias de seguridad en WordPress: cómo hacerlas y restaurarlas
La copia de seguridad es la única capa de seguridad que lo salva cuando todas las demás fallan: un hackeo, una actualización…
Leer¿Quiere saber si su tienda tiene algo expuesto?
Revisamos su tienda desde afuera, sin claves: scripts en el checkout, plugins con fallas conocidas y archivos expuestos.
¿Consulta urgente? WhatsApp 095 283 123