WordPress mueve más del 40% de las webs de internet, y eso lo convierte en el blanco favorito de los ataques automatizados: no hace falta que alguien te tenga «en el punto de mira», basta con que un bot rastree miles de webs buscando una versión de plugin desactualizada con una vulnerabilidad conocida. No es teoría: hace poco encontré exactamente ese problema en una de mis propias webs, y es el ejemplo real que voy a usar en esta guía para explicar cómo detectarlo y cerrarlo.
Esta no es una lista genérica de «10 consejos de seguridad» copiada de cualquier blog. Es lo que de verdad reviso en las webs que gestiono, con un caso concreto de cómo se ve un fallo real y cómo se resuelve sin pánico.
El caso real: un plugin premium con una vulnerabilidad conocida
El escáner de seguridad de una de mis webs marcó una vulnerabilidad de riesgo alto en un plugin de formularios de pago (versión Pro) que llevaba un tiempo sin actualizarse. La vulnerabilidad en concreto permitía la escritura de archivos sin autenticación a través de la subida de formularios fragmentados —es decir, un atacante podía, en teoría, subir código malicioso al servidor sin necesidad de ninguna contraseña—. La corrección ya existía en una versión más reciente del plugin, pero WordPress no podía aplicarla automáticamente porque era una versión premium sin licencia activa conectada a ese sitio concreto.
La solución no fue complicada: existía una versión gratuita del mismo plugin, sin la vulnerabilidad, que reutilizaba exactamente los mismos formularios ya guardados. Se desactivó la versión premium vulnerable y se activó la gratuita, sin perder ningún formulario ni ninguna configuración. El formulario de contacto siguió funcionando exactamente igual para cualquier visitante, y el hueco de seguridad quedó cerrado en minutos.
La lección de este caso concreto: no hace falta que tu web «tenga algo valioso» para ser objetivo. Un plugin premium sin licencia renovada, por descuido, no por maldad, fue el punto de entrada. Y es exactamente el tipo de hallazgo que se puede detectar desde fuera, sin ni siquiera entrar al panel de administración.
Cómo saber si tu web de WordPress tiene este mismo problema
No necesitas herramientas complicadas para hacer una primera comprobación:
- Instala un escáner de vulnerabilidades (plugins como Really Simple Security, con base de datos de vulnerabilidades conocidas) que te avisa automáticamente cuando un plugin instalado tiene un fallo de seguridad documentado, aunque esté desactivado.
- Revisa qué plugins premium tienen la licencia caducada. Un plugin de pago sin licencia activa no recibe actualizaciones automáticas, así que si hay una vulnerabilidad corregida en una versión nueva, tu web se queda expuesta hasta que renueves o cambies de plugin.
- Desactiva y borra lo que no uses. Un plugin instalado pero inactivo sigue siendo un riesgo: el código sigue en el servidor y algunas vulnerabilidades no requieren que el plugin esté activo para ser explotadas.
1. Plugins y temas: la causa más común de hackeos en WordPress
Según los informes de seguridad del sector, la gran mayoría de los hackeos de WordPress no explotan un fallo del núcleo de WordPress en sí, sino de plugins y temas de terceros sin actualizar. WordPress actualiza su núcleo con parches de seguridad de forma constante y, en la mayoría de los casos, automática; el punto débil está en la capa de extensiones que cada administrador instala y a veces olvida mantener al día.
La rutina más simple y más efectiva: revisar actualizaciones pendientes al menos una vez por semana, y no dejar activo ningún plugin «que ya no se usa pero por si acaso». Si no lo usas, bórralo del todo, no lo dejes solo desactivado.
2. Copias de seguridad: tu red de salvamento si algo falla
Por muy bien que protejas tu web, ninguna medida de seguridad es infalible al 100%. La diferencia entre un susto de una hora y una catástrofe de varios días suele estar en si tenías una copia de seguridad reciente y fiable. Lo mínimo recomendable:
- Copias automáticas, no manuales: si depende de que te acuerdes de hacerla tú, en algún momento se te olvidará justo cuando más falta haga.
- Guardadas fuera del propio servidor (almacenamiento en la nube, no solo en el mismo hosting): si el servidor se ve comprometido, una copia guardada ahí mismo puede quedar afectada también.
- Probadas de vez en cuando. Una copia de seguridad que nunca se ha restaurado para comprobar que funciona es una copia de seguridad en la que no puedes confiar del todo.
3. Contraseñas y accesos: el eslabón más débil sigue siendo humano
Los ataques de fuerza bruta contra el panel de acceso de WordPress (`/wp-admin`) son constantes y automatizados: miles de intentos de contraseñas comunes contra miles de webs, sin ningún objetivo específico. Tres medidas que eliminan la mayoría de ese riesgo sin complicarte la vida:
- Autenticación en dos pasos para cualquier usuario con acceso de administrador, no solo contraseña.
- Límite de intentos de acceso, para que un bot no pueda probar miles de combinaciones seguidas contra tu login.
- Un usuario por persona, nunca compartido, y revisar de vez en cuando qué usuarios siguen activos y si de verdad los siguen necesitando.
4. El hosting importa más de lo que parece
Un hosting barato sin ningún tipo de protección a nivel de servidor (firewall, aislamiento entre cuentas, certificados SSL actualizados) deja a tu web expuesta a ataques que ni siquiera pasan por WordPress, sino por el propio servidor. No hace falta el hosting más caro del mercado, pero sí uno que incluya al menos un firewall básico y copias de seguridad a nivel de servidor como red adicional a las tuyas propias.
Señales de que tu web ya está comprometida
Si no has revisado nunca la seguridad de tu web, conviene comprobar estas señales antes de asumir que todo está bien:
- Páginas o enlaces en idiomas que no reconoces, normalmente sobre farmacia, apuestas o réplicas, inyectados en el pie de página o en entradas antiguas.
- Usuarios administradores que no reconoces en la lista de usuarios de WordPress.
- Tu web aparece marcada como «sitio engañoso» al visitarla desde Chrome o Google la ha quitado de los resultados de búsqueda sin motivo aparente.
- Archivos con nombres extraños en la carpeta de subida de medios que no corresponden a ninguna imagen o documento que hayas subido tú.
Si reconoces alguna de estas señales, conviene actuar cuanto antes: cada día que una web comprometida sigue activa, el daño al posicionamiento en Google y a la confianza de los visitantes crece. Es exactamente el tipo de limpieza que cubre mi servicio de desinfección de páginas web WordPress.
Lo que NO merece la pena hacer
- Instalar diez plugins de seguridad a la vez. Varios plugins de seguridad activos simultáneamente pueden entrar en conflicto entre sí y, paradójicamente, ralentizar o incluso romper funciones de la web. Uno bueno, bien configurado, es mejor que cinco a medias.
- Ocultar la versión de WordPress «para despistar». Es una medida que hace años se recomendaba, pero hoy los escáneres automatizados detectan la versión por otras señales igualmente, así que el esfuerzo no compensa el beneficio real.
- Confiar solo en «mi web es pequeña, no le interesa a nadie». Como muestra el caso real de este artículo, la mayoría de los ataques no eligen objetivos por tamaño: son bots que rastrean vulnerabilidades conocidas en cualquier web que las tenga.
Checklist rápido: 8 puntos para revisar hoy mismo
Sin necesidad de contratar nada, esto se revisa en menos de 20 minutos:
- ¿Hay actualizaciones de WordPress, plugins o temas pendientes? Aplícalas.
- ¿Hay algún plugin instalado que ya no uses? Bórralo del todo, no lo dejes solo desactivado.
- ¿Algún plugin de pago tiene la licencia caducada? Renueva o sustitúyelo por una alternativa mantenida.
- ¿Tienes autenticación en dos pasos activada para los usuarios administradores?
- ¿Cuándo se hizo la última copia de seguridad, y dónde está guardada?
- ¿Hay usuarios con acceso de administrador que ya no reconoces o que no deberían tenerlo?
- ¿Tu certificado SSL está activo y no caduca pronto?
- ¿Tienes algún escáner de vulnerabilidades instalado que te avise automáticamente?
Si alguna de estas respuestas te preocupa, es buena señal de que toca dedicarle una tarde a la seguridad de la web antes de que se convierta en un problema real.
Por qué revisar esto no es opcional si vives de tu web
Para un negocio que depende de su web para captar clientes, un hackeo no es solo un problema técnico: Google penaliza o directamente quita de los resultados las webs marcadas como comprometidas, lo que puede borrar de un día para otro años de posicionamiento conseguido. Recuperar esa confianza después, tanto con Google como con los visitantes que vieron el aviso de «sitio peligroso», lleva mucho más tiempo que la prevención que lo habría evitado. La proporción es clara: revisar este checklist lleva veinte minutos; recuperarse de un hackeo y de la penalización de Google que suele venir con él puede llevar semanas.
Preguntas frecuentes
¿Cada cuánto debo actualizar los plugins de WordPress?
Lo ideal es revisar actualizaciones pendientes semanalmente, y aplicar sin demora cualquier actualización marcada como de seguridad. El núcleo de WordPress se puede configurar para actualizarse solo en parches menores de seguridad.
¿Es seguro usar plugins premium sin licencia activa?
No es recomendable mantenerlos instalados si no vas a renovar la licencia, precisamente porque dejan de recibir las actualizaciones de seguridad. Si no vas a pagar la renovación, mejor desinstalarlo del todo o cambiar a una alternativa que sí mantengas actualizada.
¿Cómo sé si mi web ya ha sido hackeada?
Las señales más comunes son contenido extraño en idiomas desconocidos, usuarios administradores que no reconoces, avisos de «sitio engañoso» en el navegador o caídas repentinas de tráfico en Search Console. Ante cualquier duda, un escaneo de seguridad confirma rápido si hay algo que limpiar.
¿Necesito un plugin de seguridad de pago o basta con uno gratuito?
Para la mayoría de negocios pequeños, un plugin de seguridad gratuito bien configurado (firewall básico, escaneo de vulnerabilidades, límite de intentos de acceso) cubre lo esencial. Los planes de pago añaden sobre todo escaneo más frecuente y soporte, útiles si gestionas varias webs o manejas datos sensibles.
Si no tienes tiempo de revisar esto con regularidad, o sospechas que tu web puede tener algún problema ahora mismo, en Jujo Creative Studio reviso y limpio webs de WordPress, incluida la detección de vulnerabilidades concretas como la de este artículo.
