Seguridad en WordPress: 8 hábitos que protegen el sitio de tu empresa

Si revisas el registro de accesos de casi cualquier sitio WordPress, encontrarás líneas como estas, repetidas cientos de veces al día:

POST /wp-login.php       401
POST /xmlrpc.php         403
GET  /wp-content/plugins/plugin-viejo/readme.txt   200

No es alguien interesado en tu empresa: son robots que recorren internet probando contraseñas débiles y buscando plugins con vulnerabilidades conocidas. No puedes detenerlos, pero sí hacer que no encuentren nada. Estos ocho hábitos cierran las puertas que prueban primero.

1. Actualiza todo, no solo WordPress

Las vulnerabilidades suelen estar en plugins y temas, no en el núcleo de WordPress. Revisa las actualizaciones al menos una vez por semana y activa las automáticas en las versiones menores. Antes de una actualización grande, haz una copia de seguridad.

2. Elimina lo que no usas

Un plugin desactivado sigue en el servidor y puede ser explotado. Si no lo usas, bórralo. Lo mismo aplica a temas que instalaste para probar y a usuarios de personas que ya no trabajan contigo.

3. Contraseñas únicas y verificación en dos pasos

Usa un gestor de contraseñas y activa la verificación en dos pasos para todas las cuentas de administrador. Es la medida que más ataques detiene, porque una contraseña filtrada deja de ser suficiente para entrar.

Si solo haces una cosa hoy, que sea esta. Activar la verificación en dos pasos toma cinco minutos y bloquea la gran mayoría de accesos con contraseñas robadas.

4. Cada quien con el permiso que necesita

No todos necesitan ser administradores. Quien solo publica artículos puede tener el rol de editor o autor. Si una cuenta se ve comprometida, el daño queda limitado.

Para quienes administran el sitio, una línea en wp-config.php desactiva el editor de archivos del panel, una de las primeras herramientas que usa un atacante cuando consigue entrar:

define( 'DISALLOW_FILE_EDIT', true );

5. Copias de seguridad que realmente funcionen

Sigue la regla 3-2-1: tres copias, en dos lugares distintos, una de ellas fuera del servidor. Y lo más importante: prueba restaurarlas de vez en cuando. Una copia que nunca se probó es solo una esperanza.

6. HTTPS en todo el sitio

El certificado SSL cifra la información entre tus visitantes y tu servidor, y los navegadores marcan como «no seguro» a los sitios sin él. Hoy los certificados gratuitos se renuevan solos; no hay razón para no tenerlo.

7. Plugins y temas solo de fuentes confiables

Evita los temas «premium» descargados gratis de sitios no oficiales: con frecuencia traen código malicioso escondido. Descarga siempre del repositorio oficial o del sitio del desarrollador.

8. Vigila tu sitio

Un monitoreo de disponibilidad te avisa si el sitio cae, y revisar de vez en cuando los usuarios y los archivos modificados ayuda a detectar una intrusión antes de que Google marque tu sitio como peligroso.

Si ya te hackearon

Cambia todas las contraseñas (WordPress, hosting, base de datos y FTP), restaura desde una copia limpia y actualiza todo antes de volver a publicar. Si Google marcó el sitio, solicita una revisión en Search Console una vez resuelto.

Para hacer esta semana

• Activa la verificación en dos pasos para todos los administradores.
• Borra plugins, temas y usuarios que no uses.
• Haz una copia de seguridad y prueba restaurarla.
• Agrega DISALLOW_FILE_EDIT a wp-config.php.

En eXpertweb monitoreamos nuestros servidores cada minuto. Si tu sitio está en nuestro hosting, podemos ayudarte a aplicar estas medidas, y si ya te hackearon, a limpiarlo y ponerlo en línea de nuevo.