Introducción
La mayoría de los sitios WordPress hackeados no son víctimas de ataques sofisticados: los atacantes aprovechan contraseñas débiles, plugins desactualizados y configuraciones por defecto. Un sitio comprometido puede terminar distribuyendo malware, enviando spam o apareciendo marcado como peligroso en Google.
Estos 5 pasos cubren las medidas con mejor relación entre esfuerzo y protección.
Conceptos clave
1. La seguridad del servidor
El hosting aporta la primera capa: software del servidor actualizado, aislamiento entre cuentas y firewalls de red. Sobre esa base, la configuración de tu sitio sigue siendo tu responsabilidad.
2. Credenciales y permisos
Las contraseñas débiles o reutilizadas son la puerta de entrada más común. Contraseñas largas y únicas, más la autenticación en dos pasos (2FA), cierran la mayor parte de ese riesgo.
3. Hardening de WordPress
El hardening consiste en reducir la superficie de ataque: desactivar funciones que no usás, restringir permisos de archivos y proteger archivos sensibles como wp-config.php.
4. Firewall de aplicaciones web (WAF)
Un WAF filtra el tráfico malicioso antes de que llegue a WordPress y bloquea patrones de ataque conocidos, como inyecciones SQL y Cross-Site Scripting (XSS).
5. Actualizaciones
Las actualizaciones del núcleo, los temas y los plugins corrigen vulnerabilidades conocidas. Una vez que una falla se publica, los atacantes la buscan de forma automatizada en miles de sitios.
Guía práctica: 5 pasos
- Paso 1: Usá una versión de PHP con soporte
- Elegí una versión de PHP que siga recibiendo parches de seguridad (8.2 o 8.3). En Full Hosting la cambiás desde el Selector de versión de PHP del panel.
- Probá el sitio después del cambio para confirmar que tu tema y tus plugins son compatibles.
- Paso 2: Reforzá credenciales y usuarios
- Usá contraseñas de al menos 12 caracteres, distintas para el panel, WordPress, FTP y correo. Un gestor de contraseñas lo hace fácil.
- Eliminá usuarios inactivos y dejá el rol de administrador solo a quien lo necesite.
- Instalá un plugin de seguridad que ofrezca 2FA y limite los intentos de inicio de sesión.
- Paso 3: Aplicá hardening técnico
- Desactivá la edición de archivos desde el escritorio de WordPress agregando
define('DISALLOW_FILE_EDIT', true);a tuwp-config.php. - Restringí los permisos de
wp-config.php(por ejemplo, 600 o 640, según lo que admita tu servidor). - Desactivá XML-RPC si no lo usás (lo necesitan, por ejemplo, la app móvil de WordPress y Jetpack).
- Desactivá la edición de archivos desde el escritorio de WordPress agregando
- Paso 4: Sumá un WAF y forzá HTTPS
- Usá un WAF mediante un plugin de seguridad (como Wordfence) o un servicio externo como Cloudflare.
- Bloqueá IPs o países desde donde recibas ataques repetidos, si tu público no está ahí.
- Usá HTTPS en todo el sitio. En Full Hosting el certificado Let's Encrypt es gratuito y se gestiona desde la sección SSL/AutoSSL del panel.
- Paso 5: Actualizá, auditá y respaldá
- Activá las actualizaciones automáticas del núcleo y de los plugins de confianza.
- Escaneá el sitio periódicamente con herramientas como Wordfence o Sucuri SiteCheck.
- Hacé copias de seguridad frecuentes y guardá una copia fuera del servidor.
Consejo: Revisá de vez en cuando los registros de acceso y de inicio de sesión. Muchos intentos fallidos desde las mismas IPs, o archivos PHP nuevos que no reconocés, son señales para actuar rápido.
Conclusión
La seguridad de WordPress es un hábito, no una tarea que se hace una sola vez. Con PHP actualizado, contraseñas fuertes con 2FA, hardening básico, un WAF y copias de seguridad fuera del servidor, reducís mucho el riesgo de un hackeo y, si algo pasa, podés recuperarte rápido.