Introducción

WordPress es el CMS más popular del mundo, pero también es el objetivo principal de los hackers. Esta guía te proporciona todas las medidas necesarias para proteger tu sitio WordPress contra ataques, malware y vulnerabilidades.

Amenazas Comunes en WordPress

Conocer las amenazas es el primer paso para protegerse. A continuación se presentan los ataques más comunes:

1. Ataques de Fuerza Bruta (Brute Force)

Los hackers intentan acceder a tu panel de administración probando miles de combinaciones de usuario y contraseña.

2. Inyección SQL

Los atacantes insertan código SQL malicioso en formularios para acceder a la base de datos.

3. XSS (Cross-Site Scripting)

Inyección de código JavaScript malicioso que se ejecuta en navegadores de visitantes.

4. Plugins y Temas Vulnerables

Plugins y temas desactualizados o de baja calidad contienen vulnerabilidades conocidas.

5. Malware y Backdoors

Código malicioso instalado en tu sitio que permite acceso permanente a los atacantes.

6. DDoS (Denegación de Servicio)

Ataques que sobrecargan tu servidor con tráfico para dejarlo inoperativo.

Seguridad Básica (Esencial)

Estas son las medidas fundamentales que TODOS los sitios WordPress deben implementar:

1. Contraseña de Administrador Fuerte

La contraseña del administrador es la llave maestra de tu sitio. Debe ser extremadamente fuerte.

1. Ve a Usuarios → Tu Perfil
2. Haz clic en "Generar Contraseña"
3. Copia la contraseña generada
4. Guarda en un gestor de contraseñas seguro
5. Haz clic en "Actualizar Perfil"

2. Cambiar el Prefijo de la Base de Datos

Por defecto, WordPress usa "wp_" como prefijo. Los hackers lo saben, así que cámbialo.

3. Eliminar Usuario "Admin"

El usuario "admin" es el objetivo principal. Crea un nuevo usuario administrador y elimina el anterior.

1. Ve a Usuarios → Añadir Nuevo
2. Crea un usuario con nombre único (no "admin")
3. Asigna rol de Administrador
4. Ve a Usuarios → Todos los Usuarios
5. Selecciona el usuario "admin"
6. Cambia la propiedad de sus posts al nuevo usuario
7. Elimina el usuario "admin"

4. Actualizar WordPress, Temas y Plugins

Las actualizaciones incluyen parches de seguridad críticos. Nunca las ignores.

1. Ve a Panel → Actualizaciones
2. Revisa todas las actualizaciones disponibles
3. Haz clic en "Actualizar" para cada elemento
4. Verifica que tu sitio funcione correctamente después

5. Usar HTTPS/SSL

HTTPS encripta la comunicación entre navegador y servidor. Es esencial para seguridad.

1. Obtén un certificado SSL (HostingExpress lo proporciona)
2. Ve a Configuración → General
3. Cambia la URL a https://
4. Instala un plugin de redirección automática a HTTPS
5. Guarda los cambios

6. Desactivar Edición de Archivos

Evita que los hackers editen archivos PHP directamente desde el panel.

Agrega esta línea a tu archivo wp-config.php:

define('DISALLOW_FILE_EDIT', true);

7. Ocultar Versión de WordPress

No muestres la versión de WordPress que usas. Los hackers buscan vulnerabilidades específicas de versiones.

Agrega esto a tu archivo functions.php del tema:

remove_action('wp_head', 'wp_generator');

8. Limitar Intentos de Login

Limita los intentos fallidos de acceso para prevenir ataques de fuerza bruta.

Seguridad Avanzada (Recomendado)

Estas medidas adicionales proporcionan protección en capas más profundas:

1. Configurar Permisos de Archivos

Los permisos correctos previenen que los hackers modifiquen archivos críticos.

2. Proteger wp-admin y wp-login.php

Restringe el acceso a estas áreas críticas solo desde IPs autorizadas.

Agrega esto a tu archivo .htaccess:

<FilesMatch "^(wp-login\.php|wp-admin)$">
						    Order Deny,Allow
						    Deny from all
						    Allow from 192.168.1.1
						</FilesMatch>

3. Desactivar Ejecución de PHP en Carpetas Específicas

Previene que archivos PHP maliciosos se ejecuten en carpetas de uploads.

Crea un archivo .htaccess en wp-content/uploads/:

<FilesMatch "\.php$">
						    Deny from all
						</FilesMatch>

4. Configurar Content Security Policy (CSP)

CSP previene inyecciones XSS y otros ataques de scripts.

Agrega a tu .htaccess:

Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval';"

5. Implementar Autenticación de Dos Factores (2FA)

Requiere una segunda forma de verificación además de la contraseña.

1. Instala un plugin de 2FA (ej: Google Authenticator)
2. Ve a Usuarios → Tu Perfil
3. Habilita 2FA
4. Escanea el código QR con tu app de autenticación
5. Guarda los códigos de recuperación en lugar seguro

6. Monitoreo de Cambios de Archivos

Detecta cambios no autorizados en archivos críticos.

7. Configurar WAF (Web Application Firewall)

Un WAF filtra tráfico malicioso antes de que llegue a tu sitio.

8. Auditoría de Logs

Revisa los logs para detectar intentos de acceso sospechosos.

Habilita logging en wp-config.php:

define('WP_DEBUG', true);
						define('WP_DEBUG_LOG', true);
						define('WP_DEBUG_DISPLAY', false);

Plugins de Seguridad Recomendados

Estos plugins proporcionan protección automática y monitoreo continuo:

Plugins Esenciales

Plugins de Backups

Instalación de Plugin de Seguridad

1. Ve a Plugins → Añadir Nuevo
2. Busca "Wordfence" (o tu plugin preferido)
3. Haz clic en "Instalar"
4. Haz clic en "Activar"
5. Sigue el asistente de configuración
6. Configura alertas por correo

Backups y Recuperación

Los backups son tu red de seguridad. Sin ellos, un ataque puede ser catastrófico.

Estrategia de Backups

Tipos de Backups

Configurar Backups Automáticos con UpdraftPlus

1. Instala y activa UpdraftPlus
2. Ve a Configuración → UpdraftPlus Backups
3. Haz clic en "Configuración"
4. Selecciona frecuencia (diaria recomendada)
5. Elige destino de almacenamiento (Google Drive, Dropbox, etc.)
6. Autoriza el acceso al servicio de almacenamiento
7. Haz clic en "Guardar cambios"
8. Realiza un backup manual de prueba

Restaurar desde Backup

1. Ve a Configuración → UpdraftPlus Backups
2. Busca el backup que deseas restaurar
3. Haz clic en "Restaurar"
4. Selecciona qué elementos restaurar (archivos, BD, etc.)
5. Haz clic en "Restaurar"
6. Espera a que se complete el proceso
7. Verifica que tu sitio funcione correctamente

Monitoreo Continuo

El monitoreo activo detecta problemas antes de que se conviertan en desastres.

Qué Monitorear

Herramientas de Monitoreo

• Wordfence: Monitoreo en tiempo real de actividad
• Google Search Console: Alertas de malware y problemas
• Uptime Robot: Monitoreo de disponibilidad
• Pingdom: Monitoreo de rendimiento
• ManageWP: Dashboard centralizado

Configurar Alertas por Correo

1. Ve a tu plugin de seguridad (Wordfence, etc.)
2. Ve a Configuración → Notificaciones
3. Habilita alertas por correo para:
4. Intentos de login fallidos
5. Cambios de archivos
6. Nuevos usuarios
7. Actualizaciones disponibles
8. Amenazas detectadas
9. Guarda los cambios

❓ Preguntas Frecuentes

¿Mi sitio WordPress fue hackeado, qué hago?

Pasos inmediatos: 1) Contacta a soporte técnico, 2) Restaura desde backup limpio, 3) Cambia todas las contraseñas, 4) Escanea con Wordfence, 5) Revisa logs de acceso, 6) Implementa seguridad mejorada.

¿Cuál es el mejor plugin de seguridad?

No hay uno "mejor". Wordfence y Sucuri son los más populares. Elige según tus necesidades. Recomendamos Wordfence para la mayoría de sitios.

¿Necesito HTTPS si no vendo nada?

Sí. HTTPS es esencial para TODOS los sitios. Google penaliza sitios sin HTTPS en búsquedas, y los navegadores muestran advertencias.

¿Con qué frecuencia debo hacer backups?

Mínimo semanal. Si actualizas contenido frecuentemente, haz backups diarios. Si tienes tienda en línea, haz backups diarios o en tiempo real.

¿Puedo usar contraseña débil si tengo firewall?

No. El firewall es una capa, pero la contraseña fuerte es fundamental. Usa ambas.

¿Qué hago si me hackean la contraseña?

Cámbiala inmediatamente. Revisa los logs para ver qué hizo el atacante. Escanea con Wordfence. Considera cambiar contraseña de hosting también.

¿Es seguro usar plugins gratuitos?

Sí, pero verifica que tengan actualizaciones regulares, buenas reseñas y muchas descargas. Evita plugins abandonados.

¿Debo eliminar plugins inactivos?

Sí. Los plugins inactivos pueden contener vulnerabilidades. Elimina los que no uses.

¿Qué es un backdoor en WordPress?

Un backdoor es código malicioso que permite al atacante acceder a tu sitio incluso después de cambiar contraseñas. Requiere limpieza profesional.

¿Cómo sé si mi sitio tiene malware?

Signos: Redirecciones extrañas, publicidad inesperada, rendimiento lento, Google marca como inseguro. Escanea con Wordfence o Sucuri.

📞 Soporte Técnico

¿Cómo Reportar un Problema de Seguridad?

1. Inicia sesión en tu área de cliente
2. Ve a la sección "Soporte" o "Tickets"
3. Haz clic en "Crear Nuevo Ticket"
4. Selecciona categoría "Seguridad"
5. Describe el problema detalladamente
6. Adjunta capturas de pantalla y logs si es posible
7. Envía el ticket y espera respuesta de nuestro equipo

Servicios de Seguridad Adicionales

HostingExpress ofrece servicios de seguridad profesionales:

• Escaneo de malware profesional
• Limpieza de sitios hackeados
• Auditoría de seguridad completa
• Configuración de WAF
• Monitoreo 24/7
• Backups automáticos con redundancia