Guía
¿Cómo saber si mi WordPress es seguro? Revisión en 20 minutos
Una revisión de seguridad de WordPress que puede hacer el dueño: versiones, plugins abandonados, usuarios, contraseñas, copias de seguridad y avisos de Google.
Para saber si tu WordPress es razonablemente seguro, revisa seis puntos: que el núcleo, el tema y los plugins estén actualizados; que no haya plugins abandonados o sin uso; que solo existan los usuarios administradores necesarios y con verificación en dos pasos; que haya copias de seguridad recientes fuera del servidor; que el sitio use HTTPS; y que Search Console no muestre problemas de seguridad.
Versiones
Actualizaciones
- En Escritorio → Actualizaciones, revisa si hay versiones pendientes del núcleo, plugins o tema.
- Revisa en el repositorio de WordPress la fecha de última actualización de cada plugin.
- Un plugin sin actualizaciones en mucho tiempo es un riesgo, aunque funcione.
Los requisitos actuales de PHP y servidor están en la página de requisitos de WordPress.
Usuarios
Usuarios y accesos
Entra a Usuarios y filtra por Administrador. ¿Reconoces a todos? Elimina o baja de rol a quienes ya no trabajan contigo, a la agencia que terminó el proyecto o a usuarios genéricos como «admin». Activa verificación en dos pasos para los administradores y usa contraseñas largas y únicas.
Copias
Copias de seguridad
Pregúntate: si hoy el sitio desaparece, ¿desde dónde lo recupero y de qué fecha es la última copia? Las copias deben guardarse fuera del servidor del sitio y probarse de vez en cuando. Lo detallamos en cada cuánto hacer copias de seguridad.
Señales
Señales de que algo anda mal
- Páginas en Google con títulos en otros idiomas o productos que no vendes.
- Redirecciones a otros sitios, sobre todo desde el celular.
- Usuarios o archivos que no reconoces.
- Avisos del hosting por consumo anormal de recursos.
- Avisos en el informe de problemas de seguridad de Search Console.
Si ves alguna, sigue qué hacer si tu WordPress fue hackeado.
Endurecer
Medidas básicas de endurecimiento
- Limitar intentos de inicio de sesión.
- Desactivar el editor de archivos del panel.
- Eliminar temas y plugins desactivados.
- Usar HTTPS en todo el sitio.
- Un firewall en la CDN o en el servidor.
La guía oficial es endurecimiento de WordPress. El conjunto de estas medidas es lo que llamamos blindaje de WordPress.
Resumen
En resumen
Actualizado, sin plugins abandonados, pocos administradores con doble verificación, copias fuera del servidor y HTTPS. Revisarlo una vez al mes toma minutos y evita la mayoría de problemas.
Preguntas frecuentes
Lo que suelen preguntar sobre revisar la seguridad de WordPress
¿Un plugin de seguridad es suficiente?
Ayuda, pero no reemplaza actualizar, limpiar usuarios y tener copias.
¿WordPress es inseguro?
El núcleo es mantenido de cerca; la mayoría de problemas vienen de plugins y temas desactualizados.
¿Cada cuánto revisar?
Una vez al mes, y siempre después de cambios grandes.
¿El hosting influye?
Sí: versiones de PHP, aislamiento entre sitios y copias automáticas importan.