10 min
Lista de verificación de seguridad de WordPress
20 pasos para proteger un sitio WordPress.
WordPress funciona en más del 43 % de todos los sitios web de internet, lo que lo convierte en el objetivo más habitual de los hackers. La buena noticia: la mayoría de ataques se basan en vulnerabilidades conocidas que puedes prevenir con estos 20 pasos. La lista de verificación cubre todas las capas de seguridad, desde los ajustes básicos hasta el mantenimiento avanzado.
Lista de verificación de seguridad de WordPress
Actualiza WordPress, los temas y los plugins
La mayoría de ataques se dirigen al núcleo de WordPress, a los temas o a los plugins desactualizados. Activa las actualizaciones automáticas menores y revisa las actualizaciones mayores mensualmente tras hacer una copia de seguridad. Elimina los plugins y temas que no uses: siguen siendo vías de ataque.
Usa contraseñas robustas y 2FA
Usa contraseñas aleatorias de más de 16 caracteres para las cuentas de administrador. Activa la autenticación en dos factores con WP 2FA o Google Authenticator. Nunca reutilices contraseñas entre cuentas. Guárdalas en un gestor de contraseñas (1Password, Bitwarden).
Limita los intentos de inicio de sesión
Instala Limit Login Attempts Reloaded para bloquear las IP tras 3-5 intentos fallidos. Cambia la URL de administración de /wp-admin a una personalizada usando WPS Hide Login. Desactiva XML-RPC si no lo necesitas (xmlrpc.php es una vía de ataque habitual).
Instala un plugin de seguridad
Instala Wordfence, Sucuri Security o iThemes Security. Estos plugins ofrecen: análisis de malware, cortafuegos (WAF), protección contra ataques de fuerza bruta, monitorización de la integridad de los archivos y seguridad en el inicio de sesión. Ejecuta análisis semanales.
Fuerza HTTPS en todo el sitio
El SSL es obligatorio. En BeoHosting, el SSL gratuito de Let's Encrypt está incluido. Fuerza HTTPS mediante la opción "Forzar redirección a HTTPS" de cPanel o el archivo .htaccess. Actualiza todas las URL internas a https:// usando el plugin Better Search Replace.
Configura copias de seguridad automáticas
Programa copias diarias de la base de datos y semanales de los archivos con UpdraftPlus. Guárdalas fuera del servidor (Google Drive, Dropbox, S3). Prueba la restauración cada trimestre. BeoHosting realiza automáticamente copias de seguridad diarias en todos los paquetes.
Refuerza los permisos de los archivos
Establece los directorios en 755 y los archivos en 644. Configura wp-config.php como solo lectura (440). En el archivo .htaccess, deniega el acceso a wp-config.php, .htaccess y readme.html. Desactiva la navegación por directorios.
Desactiva la edición de archivos desde el administrador
Añade define('DISALLOW_FILE_EDIT', true); a wp-config.php para que los atacantes no puedan editar temas ni plugins a través del panel de administración aunque consigan acceso.
Oculta la versión de WordPress
Elimina la metaetiqueta de la versión de WordPress de la sección head. Añade a functions.php: remove_action('wp_head', 'wp_generator'); Esto dificulta que los atacantes ataquen vulnerabilidades conocidas específicas de cada versión.
Elige un hosting seguro
Usa un hosting con Imunify360, WAF ModSecurity, protección DDoS, copias de seguridad diarias y aislamiento CageFS. BeoHosting incluye todo esto de serie. Evita el hosting compartido barato sin estas protecciones.
¿Listo para lanzar tu sitio web?
Únete a más de 4.000 clientes satisfechos. Migración gratuita y garantía de devolución de 30 días.
FAQ
Respuestas a las preguntas más habituales sobre nuestros servicios.
Llámanos: el soporte funciona 24/7, por teléfono y mediante tickets.
(+381) 60 3535 720¿Con qué frecuencia debo actualizar WordPress?
El núcleo de WordPress, los temas y los plugins deben actualizarse en cuanto haya nuevas actualizaciones disponibles. Para las versiones menores (por ejemplo, de la 6.4.1 a la 6.4.2), activa las actualizaciones automáticas. Para las versiones mayores (por ejemplo, de la 6.4 a la 6.5), espera de 2 a 3 días para confirmar su estabilidad, haz una copia de seguridad y, a continuación, actualiza.
¿Es suficiente Wordfence para proteger un sitio?
Wordfence es una excelente primera línea de defensa, pero no es suficiente por sí solo. Combínalo con contraseñas robustas, 2FA, actualizaciones periódicas, permisos de archivos correctos y un hosting fiable. La seguridad es un proceso de varias capas: ningún plugin por sí solo puede sustituir todas las demás medidas.
¿Qué es un ataque de fuerza bruta y cómo me protejo de él?
Un ataque de fuerza bruta es un intento de adivinar una contraseña probando miles de combinaciones. Protégete: limitando los intentos de inicio de sesión (Limit Login Attempts), usando 2FA, cambiando la URL de administración y una contraseña robusta. Los servidores de BeoHosting usan Imunify360, que bloquea automáticamente los intentos de fuerza bruta.
¿Cómo sé si han hackeado mi sitio?
Señales de hackeo: redirecciones inesperadas, usuarios administradores desconocidos, archivos desconocidos en el servidor, advertencia de malware de Google, enlaces de spam en el contenido, ralentización repentina. Instala Wordfence, que analiza los archivos y los compara con los originales: informa de cualquier cambio sospechoso.
¿Es suficiente el SSL gratuito para un sitio WordPress?
Sí, el certificado SSL gratuito de Let's Encrypt que ofrece BeoHosting proporciona el mismo cifrado que los certificados de pago. La diferencia está en la garantía y en la validación de la empresa. Para la mayoría de sitios WordPress (blogs, presentaciones, tiendas pequeñas), el SSL gratuito es totalmente suficiente.
Nuestras garantías para tu tranquilidad
Protegido desde todos los ángulos
Garantía de 30 días
Te devolvemos el dinero sin preguntas durante los primeros 30 días.
Migración gratuita
Migramos tu sitio sin interrupciones: tú no tienes que hacer nada.
Soporte 24/7
Nuestros expertos están disponibles 24/7 por tickets y chat en vivo.