Serie WordPress de verdad · 1
Cada vez que me toca revisar un sitio de WordPress de un cliente, encuentro más o menos los mismos problemas: plugins sin actualizar, un usuario llamado admin con una contraseña débil y ningún respaldo reciente. Ninguno de estos problemas es difícil de resolver. Solo hay que tomarse una tarde para ponerlos en orden.
En esta entrada te dejo la lista que uso para dejar un WordPress más seguro, sin instalar diez plugins ni ser experto en servidores.
1. Mantén todo actualizado
La mayoría de los ataques a sitios WordPress no apuntan al núcleo, sino a plugins y temas con fallos conocidos que nadie actualizó. Cuando se publica un parche, el fallo queda documentado, y los sitios que no actualizan se vuelven un blanco fácil.
- Revisa Escritorio > Actualizaciones al menos una vez por semana.
- Activa las actualizaciones automáticas en los plugins que confías, desde la pantalla de Plugins.
- Borra los plugins y temas que no usas. Desactivados no basta: si están instalados, su código sigue en el servidor.
2. Usuarios y contraseñas
Parece básico, pero es donde más fallan los sitios que reviso.
- No uses admin como nombre de usuario.
- Usa contraseñas largas y únicas, generadas por un gestor de contraseñas.
- Dale a cada persona el rol mínimo que necesita. Quien solo escribe entradas no necesita ser Administrador.
- Elimina las cuentas de personas que ya no trabajan en el sitio.
Si tienes acceso por terminal con WP-CLI, puedes revisar rápido quién es administrador:
wp user list --role=administrator --fields=ID,user_login,user_email3. Usa contraseñas de aplicación para integraciones
Si conectas tu sitio con una app, un script o un servicio externo usando la API REST, no uses tu contraseña normal. WordPress trae desde hace años las contraseñas de aplicación. Las creas en Usuarios > Perfil, al final de la página.
La ventaja es que cada integración tiene su propia contraseña, y si una se filtra la revocas sin cambiar tu contraseña principal ni afectar las demás. Así se usa una desde la terminal:
curl -u "tu_usuario:xxxx xxxx xxxx xxxx xxxx xxxx" \
https://tusitio.com/wp-json/wp/v2/posts?status=draftNunca pongas esa contraseña dentro del código de una app que vas a publicar. Guárdala en variables de entorno o en tu servidor.
4. Activa la verificación en dos pasos
Aunque alguien consiga tu contraseña, la verificación en dos pasos le pide un código extra que solo tú tienes en el teléfono. Hay varios plugins confiables que la agregan al inicio de sesión. Actívala por lo menos en las cuentas de administrador.
5. Respaldos que sí puedas restaurar
Un respaldo solo sirve si puedes restaurarlo. Muchos hostings compartidos ofrecen respaldos automáticos desde su panel; revisa cada cuánto se hacen y cuánto tiempo se guardan.
- Respalda archivos y base de datos. Uno sin el otro no te sirve.
- Guarda una copia fuera del servidor, por si el problema es el hosting.
- Haz un respaldo antes de cada cambio grande: actualizar el tema, cambiar de plugin o editar la plantilla.
- Prueba restaurar de vez en cuando en un sitio de pruebas.
Yo sigo una regla simple con los sitios que mantengo: nada cambia en vivo sin un respaldo previo.
6. Protege wp-config.php y desactiva el editor
Desde el panel de WordPress se pueden editar los archivos de temas y plugins. Si alguien entra a tu cuenta, ese editor le da control total del sitio. Puedes desactivarlo agregando esta línea en wp-config.php:
define( 'DISALLOW_FILE_EDIT', true );Revisa también que wp-config.php tenga permisos restrictivos en el servidor y que no tengas copias viejas como wp-config.php.bak accesibles desde el navegador.
7. HTTPS siempre
Hoy casi todos los hostings incluyen certificado SSL gratis. Verifica que tu sitio cargue con https://, que la dirección en Ajustes > Generales también use https y que no haya contenido mezclado, como imágenes que todavía cargan por http.
8. Revisa tu correo y tu dominio
La seguridad no termina en WordPress. Revisa quién tiene acceso al panel del hosting y al registrador del dominio, y activa ahí también la verificación en dos pasos. Si alguien toma tu dominio, tu sitio y tus correos quedan en sus manos.
Conclusión
No necesitas convertirte en experto en seguridad para tener un WordPress razonablemente protegido. Actualizaciones al día, usuarios bien manejados, contraseñas de aplicación para integraciones, verificación en dos pasos y respaldos que funcionen cubren la mayor parte de los problemas que veo en los sitios que reviso.
Guarda esta lista y repásala cada cierto tiempo. Y si tienes un sitio que quieres que revise, escríbeme por WhatsApp.
