Si tienes una web montada en WordPress, tarde o temprano te vas a enfrentar a intentos de ataque. Y no te lo digo para asustarte, te lo digo porque es la realidad. WordPress mueve más del 40% de las webs del mundo, y eso lo convierte en el objetivo número uno de bots, scripts automatizados y hackers que buscan cualquier rendija para colarse. La buena noticia es que blindar tu WordPress no es ninguna ciencia oculta, y con una serie de medidas bien aplicadas puedes dejar tu web a un nivel de seguridad más que decente sin cargarte el rendimiento.
De hecho, tengo un amigo que se dedica profesionalmente a hackear páginas web. O sea, las empresas literalmente le contratan para que intente vulnerar sus sistemas, y cuando lo consigue les devuelve el acceso y les dice por dónde ha entrado. Pues bien, este tío me dice que hay ciertas capas de protección que le dan verdaderos dolores de cabeza, y son precisamente las que vamos a ver hoy. Total, que lo que viene a continuación está probado en la vida real, no es teoría sacada de un manual.
En este artículo vamos a repasar las medidas de seguridad en WordPress más efectivas, desde lo más básico hasta capas más avanzadas, con sus ventajas, sus pegas y mi opinión sincera sobre cuándo merece la pena aplicar cada una.
Seguridad por ocultación: esconder el acceso al login
Una de las primeras medidas de seguridad que deberías aplicar en WordPress es ocultar la URL de acceso al panel de administración. Por defecto, cualquiera puede entrar en tudominio.com/wp-admin o tudominio.com/wp-login.php e intentar adivinar tu usuario y contraseña. Los bots lo saben, y pasan el día entero probando combinaciones en estas URLs.
La solución es cambiar esa ruta por algo que solo tú conozcas. Hay plugins que lo hacen en dos clics, como WPS Hide Login, que es el que yo utilizo en prácticamente todos los proyectos. Configuras una URL personalizada tipo tudominio.com/mi-acceso-secreto y listo, los bots que atacan la ruta clásica se encuentran con un 404 y se van a molestar a otra parte.
Es una medida sencilla pero tremendamente efectiva. De hecho, solo con esto ya reduces un porcentaje enorme de los intentos de login maliciosos que recibe tu web.
Blindar el login con medidas extra
Más allá de ocultar la URL, conviene reforzar el formulario de acceso en sí. Aquí hay varias cosas que puedes hacer:
- Limitar el número de intentos fallidos antes de bloquear la IP.
- Añadir captcha en el formulario de login.
- Forzar contraseñas robustas para todos los usuarios con rol administrador.
- Eliminar el usuario «admin» si es que lo tienes, porque es el primero que prueban los bots.
Con un plugin tipo Limit Login Attempts Reloaded o similar, cubres lo esencial sin complicarte. Combinado con el punto anterior, tienes el login muy bien protegido.
Akismet y la guerra contra el spam
Akismet es el plugin antispam que viene prácticamente preinstalado en WordPress. Se encarga de filtrar comentarios basura y también puede integrarse con algunos formularios. No va a parar un hackeo, pero sí te va a ahorrar tener la bandeja de entrada llena de mensajes ofreciéndote SEO barato, préstamos online y cosas peores.
Es gratis para uso personal y se activa con tu cuenta de WordPress.com. Poco más hay que decir, es de esas cosas que se instalan y se olvidan.
reCAPTCHA en formularios: la puerta que muchos dejan abierta
Aquí es donde mucha gente la pifia. Si tienes un formulario de contacto y no tienes reCAPTCHA configurado, estás dejando la puerta abierta a uno de los ataques más comunes que existen: la inyección de código SQL. A ver, te explico de qué va esto. Los formularios sin protección pueden ser usados por bots para enviar código malicioso que, si tu web tiene alguna vulnerabilidad, puede llegar a ejecutarse contra tu base de datos. Y ahí la cosa se pone fea.
Instalar reCAPTCHA v3, que es la versión más moderna, te cubre de este tipo de ataques y además elimina el spam en formularios. La v3 es invisible para el usuario, no le pide seleccionar semáforos ni nada por el estilo, funciona en segundo plano analizando el comportamiento. Si ves guías que te recomiendan la v2, ignóralas, están desactualizadas. Siempre que puedas, ve con la v3.
CDN: la pesadilla de los hackers
Esta es de las más importantes y la gente a veces la subestima. Una CDN (Content Delivery Network) sirve tu web desde servidores repartidos por todo el mundo, de forma que el usuario recibe los archivos desde el nodo más cercano. Eso mejora el rendimiento brutalmente, pero además añade una capa de seguridad que es oro puro.
Volviendo al amigo hacker que te mencionaba al principio, me confesó que las CDNs son su mayor dolor de cabeza. Y tiene sentido, porque una buena CDN filtra el tráfico antes de que llegue a tu servidor, bloquea ataques DDoS, identifica patrones sospechosos y oculta la IP real de tu hosting.
La opción más popular y accesible es Cloudflare, que tiene un plan gratuito más que suficiente para la mayoría de webs. La configuración es relativamente sencilla: cambias los DNS de tu dominio para que apunten a Cloudflare, activas las opciones de seguridad que te interesen, y ya está.
Mi recomendación es que, si tu web no tiene CDN, la instalación de Cloudflare debería ser una de las prioridades. Ganas en seguridad, en rendimiento y en SEO técnico, todo de una tacada.
Un hosting de confianza es la base de todo
A ver, esto es fundamental. Puedes tener todos los plugins de seguridad del mundo, pero si tu hosting es un desastre, tu web es vulnerable por la base. El hosting protege los archivos de tu web a nivel de servidor, controla el acceso por FTP, gestiona los permisos de los archivos y hace las copias de seguridad. Si esa capa falla, el resto da igual.
Mi recomendación para el mercado español es Webempresa. El soporte está en español, es rápido, responden bien, y a nivel de seguridad y rendimiento están a la altura de los mejores. SiteGround es otra opción excelente, aunque el soporte en español ha ido perdiendo calidad con los años.
Otros hostings populares:
- Raiola Networks: yo tuve una mala experiencia hace tiempo con temas de rendimiento, aunque de eso hace ya años y probablemente hayan mejorado.
- Dinahosting: lo usé en un proyecto relativamente reciente y el soporte me pareció lento. Cuando te contestan a veces ni te acuerdas del problema. Además tiene ciertas limitaciones que no tienen Webempresa o SiteGround.
Si me preguntas a mí, con Webempresa o SiteGround no te vas a equivocar. El hosting es de esas cosas en las que no merece la pena ahorrar, porque los problemas que te puede generar uno malo valen mucho más que los 50 o 100 euros al año que te ahorras.
Certificado SSL: esto ni se discute
A estas alturas, si tu web no tiene certificado SSL (HTTPS), tienes un problema gordo. No solo por seguridad, que lo es, sino porque Google penaliza las webs sin SSL y los navegadores las marcan como «No seguras». O sea, que el usuario entra, ve el mensaje de alerta, y se va.
La buena noticia es que prácticamente todos los hostings decentes incluyen SSL gratuito vía Let’s Encrypt. Se activa con un clic desde el panel y ya está. Si tu hosting no te lo ofrece gratis, considera cambiar de hosting directamente.
Actualizaciones: la medida más infravalorada
Esto es de las cosas más importantes y que más gente descuida. La inmensa mayoría de las actualizaciones de WordPress, plugins y temas vienen precisamente por motivos de seguridad. Cada vez que sale una actualización, muchas veces lo que están haciendo los desarrolladores es parchear vulnerabilidades que se han descubierto. Si no actualizas, esas vulnerabilidades quedan abiertas en tu web y son conocidas públicamente. O sea, cualquier hacker sabe exactamente por dónde puede entrar.
Mi consejo es que configures las actualizaciones automáticas para:
- El núcleo de WordPress (las versiones que van saliendo).
- Los plugins instalados.
- El tema que estés usando.
WordPress lo permite hacer de forma nativa desde la versión 5.5 en adelante. Si te da miedo que una actualización automática rompa algo, puedes configurar un entorno de staging en tu hosting (Webempresa y SiteGround lo ofrecen) para probar las actualizaciones antes de aplicarlas en producción. Pero si es una web pequeña o un blog, las actualizaciones automáticas compensan muchísimo.
Copias de seguridad: tu red de seguridad
Las copias de seguridad no evitan ataques, pero te salvan la vida cuando algo va mal. Si un día amaneces con la web hackeada, caída o borrada, poder restaurar una copia del día anterior es la diferencia entre un susto y una catástrofe.
Aquí hay dos enfoques:
Opción 1: Plugin de copias de seguridad. Plugins como UpdraftPlus o BackupBuddy hacen copias programadas y las guardan donde tú les digas (Google Drive, Dropbox, FTP externo). Funcionan bien, pero tienen dos pegas: ocupan mucho espacio en el hosting y almacenan las copias en la propia web, lo que afecta a la caché y al rendimiento.
Opción 2: Dejar que el hosting se encargue. Esta es la que yo recomiendo si tienes un hosting decente. Webempresa y SiteGround hacen copias diarias de los últimos 30 días de forma automática, sin consumir recursos de tu WordPress. Raiola, si no me equivoco, guarda las últimas 7 copias. Con eso puedes prescindir totalmente del plugin de copias de seguridad, ganando en rendimiento y simplicidad.
Mi recomendación: si tu hosting hace copias decentes, olvídate del plugin. Si no, instala UpdraftPlus y configúralo para que suba las copias a un servicio externo tipo Google Drive.
Plugins de seguridad todo en uno: la trampa del rendimiento
Aquí llegamos a un tema espinoso. Plugins como Wordfence o iThemes Security son tremendamente completos. Hacen escaneos de malware, bloquean IPs sospechosas, monitorizan cambios en archivos, tienen firewall propio… vamos, que son una bestia a nivel de seguridad.
Pero te destrozan el rendimiento. Y esto te lo digo por experiencia propia. Tenía un proyecto muy competitivo a nivel de SEO donde notaba que el rendimiento era muy mejorable, y por mucho que optimizaba no había manera. Al final descubrí que era Wordfence el que se estaba comiendo los recursos del servidor. Lo desactivé y apliqué las medidas que estamos viendo en este artículo, y el rendimiento mejoró drásticamente sin perder seguridad real.
Mi consejo: si tu proyecto depende mucho del SEO y del rendimiento, evita los plugins de seguridad «todo en uno». Si es una web interna, un proyecto privado o algo donde el rendimiento no sea crítico, entonces sí puede merecer la pena instalar Wordfence. Todo depende del contexto.
Capas avanzadas: hasta dónde puedes llegar
Si quieres ir más allá, hay dos medidas avanzadas que puedes aplicar, aunque tienen sus pegas.
Login con proveedor externo
Ya sabes, ese sistema de «Entrar con Google» o «Entrar con Apple» que cada vez se ve más. A nivel de seguridad es lo más top, porque la autenticación se delega en gigantes como Google o Apple, que tienen sus propios sistemas antifraude. Es prácticamente imposible de vulnerar.
La pega es que para una web normal de negocio, un blog o un ecommerce pequeño, es demasiado esfuerzo y genera fricción en el usuario. Solo lo recomiendo en proyectos donde la seguridad del acceso sea crítica.
Verificación en dos pasos
La famosa 2FA (Two-Factor Authentication). El usuario introduce su contraseña y después recibe un código en el móvil o en una app tipo Google Authenticator. Nivel de seguridad altísimo, pero de nuevo, añade fricción para el usuario, que tiene que configurar la 2FA desde su cuenta.
Para paneles internos, zonas de administración o proyectos sensibles, sí lo recomiendo encarecidamente. Para el acceso de usuarios finales en una web comercial normal, puede ser excesivo.
Errores comunes al configurar la seguridad en WordPress
A ver, estos son los fallos más típicos que me encuentro cuando reviso webs de clientes:
- Dejar el usuario «admin» como administrador principal. Los bots siempre prueban primero con ese nombre. Crea un usuario con un nombre único y elimina el «admin».
- Usar contraseñas débiles. Usa un gestor de contraseñas tipo Bitwarden o 1Password y genera claves de 20+ caracteres.
- No eliminar plugins y temas que no usas. Aunque estén desactivados, si tienen vulnerabilidades pueden ser explotados. Si no lo usas, bórralo.
- Descargar plugins piratas o «nulled». Esto es el paraíso de los hackers. Los plugins crackeados suelen venir con malware incrustado. Nunca, jamás instales algo que no venga de fuente oficial.
- No revisar los usuarios registrados. De vez en cuando entra en la lista de usuarios y comprueba que no hay cuentas raras con permisos que no deberían tener.
Preguntas frecuentes sobre seguridad en WordPress
¿Es WordPress inseguro por naturaleza? No. WordPress es seguro siempre que esté actualizado y se tomen las medidas básicas. La mayoría de hackeos vienen por plugins desactualizados, temas piratas o contraseñas débiles, no por fallos del propio WordPress.
¿Necesito un plugin de seguridad sí o sí? Si aplicas las medidas que hemos visto (ocultar login, reCAPTCHA, CDN, buen hosting, SSL, actualizaciones, copias de seguridad), no necesitas un plugin de seguridad tipo Wordfence. De hecho, es mejor no tenerlo por el tema de rendimiento.
¿Cloudflare gratis es suficiente? Para la inmensa mayoría de webs, sí. El plan gratuito de Cloudflare ya incluye protección DDoS básica, firewall y CDN. Solo necesitarás planes de pago si tu web recibe ataques muy sofisticados o tráfico masivo.
¿Cada cuánto debo hacer revisiones de seguridad? Una revisión trimestral está bien: comprueba usuarios, plugins activos, actualizaciones pendientes, copias de seguridad funcionando y logs del hosting. En 30 minutos lo tienes hecho.
Cerrando el tema
Pues nada, con todas estas medidas aplicadas tu WordPress va a estar protegido a un nivel más que decente. No hace falta volverse paranoico ni instalar 15 plugins de seguridad, con lo esencial bien configurado tienes el 95% del trabajo hecho. El resto es mantenimiento: actualizar, revisar de vez en cuando y asegurarte de que las copias de seguridad están ahí por si acaso.
Y recuerda lo más importante: la seguridad y el rendimiento deben ir de la mano. No sirve de nada tener la web más protegida del mundo si tarda 10 segundos en cargar y Google te penaliza por SEO. Busca el equilibrio, aplica las medidas que aportan mucho sin penalizar el rendimiento, y deja las capas más pesadas solo para proyectos donde realmente sean necesarias.
Si aplicas lo que hemos visto hoy, puedes dormir tranquilo. Y si algún día te hackean, que esperemos que no, al menos tendrás una copia de seguridad reciente para volver a levantar todo sin drama.
