Guía de seguridad para sitios web WordPress

WordPress mueve una gran parte de los sitios web del mundo, y por eso es también el blanco favorito de los ataques automatizados. La buena noticia es que casi todos los sitios hackeados que limpiamos tenían las mismas fallas: plugins sin actualizar, contraseñas débiles y ninguna copia de seguridad. Esta guía reúne lo que necesitas saber para que tu sitio no sea el siguiente.

Qué buscan los hackers en tu sitio

Casi nunca es algo personal. Los ataques son automáticos y buscan cualquier sitio vulnerable para:

• Posicionar spam: crean miles de páginas falsas (de productos, apuestas o medicamentos) que aprovechan la reputación de tu dominio en Google.
• Redirigir a tus visitantes a estafas o páginas de malware.
• Robar datos: correos, contraseñas y, en tiendas, datos de pago.
• Enviar correo masivo desde tu servidor, lo que hace que tu dominio termine en listas negras.
• Usar tu servidor para atacar otros sitios o minar criptomonedas.

¿HTTPS significa que el sitio es seguro?

No. El candado del navegador solo garantiza que la conexión entre el visitante y el servidor va cifrada: nadie en el camino puede leer lo que se envía. Pero un sitio con HTTPS puede tener un plugin vulnerable o malware instalado. HTTPS es obligatorio, pero es solo una de las capas.

Cómo proteger WordPress sin gastar de más

1. Actualiza todo: el núcleo de WordPress, los plugins y el tema. Activa las actualizaciones automáticas de seguridad.
2. Quita lo que no usas: plugins y temas desactivados siguen siendo una puerta si tienen fallos.
3. Instala solo plugins confiables: del repositorio oficial o de desarrolladores conocidos. Nunca versiones “nulled” o piratas: son la fuente de infección más común.
4. Usuarios y contraseñas: nada de “admin”, contraseñas largas y únicas, y verificación en dos pasos para todos los administradores.
5. Limita los intentos de inicio de sesión y desactiva xmlrpc.php si no lo usas.
6. Permisos correctos de archivos: wp-config.php protegido y sin edición de archivos desde el escritorio (DISALLOW_FILE_EDIT).
7. Firewall de aplicación web (WAF) que bloquee ataques conocidos antes de que lleguen a WordPress.
8. Copias de seguridad automáticas guardadas fuera del servidor, y una restauración de prueba cada cierto tiempo.

Tiendas en línea: cuidados extra

• Nunca guardes datos de tarjetas en tu servidor: usa pasarelas de pago que los procesen ellas mismas.
• Protege el proceso de pago contra robots que prueban tarjetas robadas: límites de intentos y verificación.
• Revisa con frecuencia los usuarios administradores y los pedidos sospechosos.

Por qué un sitio se vuelve a infectar después de limpiarlo

• Se borró el síntoma, no la entrada: si no se corrige el plugin o la contraseña por donde entraron, vuelven a entrar.
• Quedaron puertas traseras: archivos escondidos en carpetas de subidas o de plugins, o usuarios administradores creados por el atacante.
• Se restauró una copia que ya estaba infectada.
• Otro sitio del mismo hosting está infectado y contagia al tuyo.
• No se cambiaron las contraseñas del panel, la base de datos y el FTP después del ataque.

Herramientas gratuitas para revisar tu sitio

• Google Search Console: te avisa si Google detecta malware o páginas de spam en tu dominio.
• Escáneres de malware como Wordfence o el análisis de tu hosting.
• WPScan: detecta versiones vulnerables de WordPress, plugins y temas.
• Nuestras herramientas gratuitas: el analizador SEO revisa también la seguridad básica de tu sitio, y la consulta DNS te muestra si tienes SPF y DMARC.

Señales de que tu sitio ya fue hackeado

• Google muestra resultados de tu dominio en otro idioma o con productos que no vendes.
• Los visitantes del celular son redirigidos a otras páginas.
• Aparecen usuarios administradores que no creaste.
• Tu hosting te avisa de envío masivo de correo o de consumo anormal.

Si ves alguna, actúa rápido: cada día que pasa Google desconfía más de tu dominio.