Seguridad en WordPress: guía completa para dueños de sitios
¿WordPress es seguro? El núcleo, sí. Los sitios WordPress que se hackean caen casi siempre por lo que se les agrega encima: plugins desactualizados, temas pirata, claves débiles y copias de seguridad que nadie probó. En esta guía repasamos cómo atacan un sitio WordPress y qué hacer, capa por capa, con enlaces a una guía detallada para cada tema.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
¿WordPress es seguro?
WordPress mueve alrededor del 42 % de todos los sitios web del mundo, según W3Techs. Esa popularidad tiene dos caras: hay miles de desarrolladores revisando el código, y también miles de atacantes buscando un sitio WordPress mal mantenido.
Los datos de Patchstack, una de las bases de vulnerabilidades más usadas del ecosistema, muestran dónde está el problema. En 2025 se publicaron 11.334 vulnerabilidades nuevas en el ecosistema WordPress:
- el 91 % estaba en plugins;
- el 9 %, en temas;
- en el núcleo de WordPress se reportaron solo seis, todas de bajo riesgo.
Otros dos datos del mismo informe explican por qué un sitio sin mantenimiento es un blanco fácil. Casi la mitad de las vulnerabilidades (46 %) no tenía parche disponible cuando se hizo pública. Y entre las más explotadas, el tiempo mediano entre la publicación y los ataques masivos fue de cinco horas.
La respuesta corta: WordPress es seguro si está mantenido. Un WordPress que nadie actualiza desde que se lanzó no lo es, y los ataques son automáticos: no hace falta que nadie lo elija a usted.
Cómo se hackea un sitio WordPress
| Vía de entrada | Qué pasa | Qué la cierra |
|---|---|---|
| Plugin o tema con una falla conocida | Un bot detecta la versión vulnerable y la explota en minutos | Actualizaciones al día y un firewall que bloquee el ataque mientras tanto |
| Plugin o tema «nulled» (pirata) | La copia ya trae una puerta trasera instalada de fábrica | Usar solo versiones oficiales |
| Claves débiles o repetidas | Ataque de fuerza bruta contra wp-admin o XML-RPC | Claves únicas, segunda clave y límite de intentos |
| Usuarios que nadie dio de baja | Un ex proveedor o una cuenta olvidada con permisos de administrador | Revisión periódica de usuarios y roles |
| Otro sitio infectado en el mismo hosting | La infección salta entre sitios de la misma cuenta | Aislar los sitios y limpiar todos a la vez |
| Hosting o PHP sin soporte | Versiones viejas del servidor con fallas propias | PHP con soporte y hosting actualizado |
Si su sitio ya muestra síntomas (redirige a otra página, aparece spam en Google o Chrome lo marca como peligroso), no siga con esta guía: empiece por qué hacer si hackearon su página o pídanos una limpieza de sitio hackeado.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Las 8 capas de seguridad de un sitio WordPress
Plugins de seguridad
Un buen plugin agrega firewall, escaneo de malware y protección del acceso, pero no reemplaza el mantenimiento.
Los mejores plugins de seguridad para WordPressCopias de seguridad que restauran
Es la única capa que lo salva cuando todo lo demás falla. Fuera del servidor y probadas.
Copias de seguridad en WordPressActualizaciones sin romper nada
El 91 % de las fallas está en plugins: actualizar es la defensa principal, con método.
Actualizar WordPress sin romper el sitioAcceso a wp-admin protegido
Límite de intentos, segunda clave y menos administradores.
Cómo proteger wp-adminSolo software original
Los plugins y temas pirata son la vía de entrada más evitable.
Plugins nulled: el origen de muchos hackeosEscaneo periódico de malware
Para enterarse antes que Google o sus clientes.
Cómo escanear WordPress en busca de malwareHTTPS bien configurado
Sin certificado o con contenido mixto, Chrome muestra «No seguro».
El aviso «No seguro» en WordPressFirewall de aplicaciones web
Bloquea ataques conocidos antes de que lleguen a WordPress.
Qué es un WAF y si su sitio lo necesita
Si tiene una tienda, sume una novena: el checkout. → Seguridad en WooCommerce
Una rutina de mantenimiento realista
- 01
Cada semana: actualizaciones y copia
Revise las actualizaciones pendientes, haga una copia completa y actualice. En tiendas con pagos todos los días, la copia de la base de datos conviene que sea diaria.
- 02
Cada mes: usuarios, escaneo y alertas
Revise quién tiene acceso de administrador, corra un escaneo de malware completo y mire la sección «Problemas de seguridad» de Google Search Console.
- 03
Cada tres meses: prueba de restauración
Restaure una copia en un sitio de prueba. Si no restaura, no es una copia.
- 04
Cada año: revisión completa
Plugins que ya no usa, versión de PHP, hosting, configuración del correo y del firewall. Es lo que cubre una auditoría de seguridad web.
Seguridad según el tipo de sitio
No todos los WordPress necesitan lo mismo. La protección tiene que ser proporcional a lo que está en juego:
| Tipo de sitio | Qué está en juego | Lo imprescindible | Lo recomendable |
|---|---|---|---|
| Sitio institucional | Reputación, formulario de contacto, correo del dominio | Actualizaciones semanales, copias externas, 2FA para administradores | Firewall en la nube gratuito, escaneo mensual |
| Blog o medio | Posicionamiento en Google, muchas cuentas de autores | Roles bien asignados, límite de intentos, escaneo semanal | Revisión de usuarios mensual, alertas de vulnerabilidades |
| Tienda WooCommerce | Pagos, datos de clientes, ventas diarias | Todo lo anterior, copias diarias, checkout vigilado | Firewall en la nube, auditoría anual, prueba de restauración trimestral |
| Sitio con área de clientes o socios | Datos personales y accesos de terceros | 2FA, protección del registro, auditoría | Pentest si hay desarrollos a medida |
Si su sitio es una tienda, la guía específica es seguridad en WooCommerce. Si tiene desarrollos propios (portales, integraciones), además de este mantenimiento conviene un pentest web.
Checklist de seguridad para WordPress
Use esta lista para revisar su sitio hoy. Cada punto que no pueda marcar es una tarea pendiente:
- WordPress, plugins y temas están en su última versión.
- No hay plugins ni temas desactivados que no se usen: se borraron.
- Todos los plugins y temas premium tienen licencia original.
- Hay un solo plugin de seguridad principal, configurado (no solo instalado).
- Los administradores usan claves únicas y segunda clave (2FA).
- No hay usuarios de ex empleados, ex agencias o proveedores que ya no trabajan con usted.
- Nadie usa «admin» como nombre de usuario.
- El acceso a wp-admin tiene límite de intentos y XML-RPC está cerrado si no se usa.
- Las copias de seguridad se guardan fuera del servidor y se probó restaurar una en los últimos tres meses.
- El sitio carga por HTTPS, con redirección desde HTTP y sin contenido mixto.
- La versión de PHP del hosting tiene soporte vigente.
- El sitio está dado de alta en Google Search Console y alguien revisa los avisos.
- El correo del dominio tiene SPF, DKIM y DMARC configurados. → Seguridad del correo corporativo
- Hay alguien responsable de todo esto, con nombre y apellido.
Si marcó menos de diez, su sitio tiene puertas abiertas. Una auditoría de seguridad web revisa estos puntos dentro de sus 36 controles, y le entrega la lista priorizada de qué cerrar primero.
Lo que no conviene hacer
Instalar tres plugins de seguridad a la vez
Se pisan entre sí, ponen lento el sitio y dan una falsa sensación de protección.
Dejar plugins desactivados «por las dudas»
Un plugin desactivado sigue en el servidor y sus archivos se pueden explotar. Si no lo usa, bórrelo.
Usar «admin» como usuario y la misma clave del correo
Es lo primero que prueban los bots.
Confiar solo en la copia del hosting
Si la cuenta se suspende o se infecta, esa copia puede no estar disponible o estar infectada también.
Activar actualizaciones automáticas de todo sin copia previa
Desde WordPress 6.6 los plugins que rompen el sitio al actualizarse solos se revierten, pero los temas no tienen esa protección.
Cuándo conviene delegarlo
Mantener un WordPress seguro no es difícil, pero es constante: hay que actualizar, revisar, probar copias y estar atento a las fallas nuevas todas las semanas. Si nadie en su empresa tiene ese tiempo, la guardia mensual de seguridad WordPress lo hace por usted y le manda un informe cada mes. Si no sabe en qué estado está su sitio hoy, empiece por el diagnóstico gratis.
Servicios relacionados
Preguntas frecuentes
¿WordPress es más inseguro que otras plataformas?
No por sí mismo. Es el más atacado porque es el más usado, y porque su ecosistema de plugins es enorme. Un WordPress mantenido es tan seguro como cualquier otra plataforma.
¿Alcanza con instalar un plugin de seguridad?
No. Un plugin ayuda, pero no actualiza los demás plugins, no prueba sus copias de seguridad ni da de baja a los usuarios que sobran. → Mejores plugins de seguridad
¿Cada cuánto hay que actualizar WordPress?
Como mínimo, una vez por semana. Las fallas graves se explotan en horas, así que cuanto antes se aplica un parche, mejor.
¿Cómo sé si mi WordPress ya fue hackeado?
Algunas señales: redirecciones raras, usuarios que nadie creó, spam en Google con su dominio o avisos de su hosting. → Cómo escanear WordPress en busca de malware
¿Cuánto cuesta mantener WordPress seguro?
Si lo hace usted, tiempo. Si lo delega, un plan mensual que suele costar menos que una sola limpieza de urgencia.
Más sobre seguridad wordpress
Seguridad en WooCommerce: cómo proteger pagos y datos de clientes
Una tienda WooCommerce tiene todo lo que tiene un sitio WordPress, y además clientes, pedidos y pagos. Eso la vuelve un blanco…
LeerCómo escanear WordPress en busca de malware
El malware en WordPress casi nunca se ve: el sitio carga bien, a usted no le redirige a ningún lado y el…
LeerCopias de seguridad en WordPress: cómo hacerlas y restaurarlas
La copia de seguridad es la única capa de seguridad que lo salva cuando todas las demás fallan: un hackeo, una actualización…
Leer¿Su WordPress está al día?
Déjenos la dirección. Lo revisamos desde afuera, sin claves, y le decimos qué plugins tienen fallas conocidas y qué conviene cerrar primero.
¿Consulta urgente? WhatsApp 095 283 123