WP Boost SitesCómo proteger WordPress: guía por orden de prioridad
Para proteger WordPress, mantén actualizados el núcleo, los plugins y los temas, elimina lo que no uses, activa la verificación en dos pasos y guarda copias de seguridad fuera del servidor. Estas medidas van antes que cualquier plugin de seguridad.
1. Haz una copia que puedas restaurar
Es lo primero porque también te protege de tus propios cambios. Guarda archivos y base de datos fuera del hosting y prueba a restaurarla alguna vez: una copia que nunca se ha restaurado es solo una suposición.
2. Actualiza y elimina lo que sobra
Los plugins y temas desactualizados son una vía de entrada habitual.
- Actualiza el núcleo, los plugins, los temas y la versión de PHP.
- Borra los plugins y temas desactivados: su código sigue en el servidor.
- Sustituye los plugins abandonados por el autor.
- Instala solo desde fuentes de confianza. Nunca uses versiones «nulled» de plugins de pago.
3. Asegura los accesos
- Contraseña única y gestor de contraseñas para cada administrador.
- Verificación en dos pasos para todas las cuentas con permisos altos.
- Una cuenta por persona, con el rol mínimo que necesite.
- Límite de intentos en
wp-login.php, desde el servidor, Cloudflare o un plugin.
4. Endurece la configuración
Desactiva el editor de archivos del panel y revisa wp-config.php. Lo explicamos en la guía de wp-config.php seguro.
Como punto de partida habitual, los permisos son 755 para carpetas y 644 para archivos. wp-config.php puede ir más restringido si tu hosting lo admite.
Si no usas XML-RPC, puedes bloquearlo. Antes comprueba que no lo necesita ninguna app o servicio conectado.
5. Pon un filtro delante de la web
Un cortafuegos frena mucho tráfico malicioso antes de que llegue a WordPress. En la guía de WordPress con Cloudflare tienes una configuración con el plan gratuito.
6. Vigila y ten un plan
Activa HTTPS en toda la web, revisa los usuarios administradores de vez en cuando y anota qué harías si te hackean: quién restaura, desde qué copia y qué contraseñas cambias.
Preguntas frecuentes
¿Necesito un plugin de seguridad?
No siempre. Puede ayudar con cortafuegos, avisos y análisis, pero no sustituye a las actualizaciones, las copias y los buenos accesos.
¿Cambiar la URL de acceso es suficiente?
No. Reduce el ruido de los robots, pero no corrige ninguna vulnerabilidad. Tómalo como un extra, nunca como la protección principal.
Fuente de referencia: guía oficial de seguridad de WordPress.