Cómo mejorar la seguridad de WordPress: medidas esenciales
WordPress es una plataforma ampliamente utilizada para desarrollar páginas web, tiendas online y proyectos corporativos. Como cualquier sistema conectado a Internet, necesita mantenimiento y una configuración adecuada para reducir riesgos de seguridad.
Instalar WordPress y dejarlo funcionando durante años sin revisar actualizaciones, usuarios, plugins o copias de seguridad es una mala estrategia. Muchas incidencias no se producen porque WordPress sea inseguro por definición, sino porque una instalación acumula componentes obsoletos, accesos innecesarios o configuraciones que no se supervisan.
La seguridad de WordPress no depende de una única herramienta. Es el resultado de aplicar varias capas de protección y mantenerlas en el tiempo.
Mantener WordPress, plugins y temas actualizados
Una de las medidas más importantes es mantener actualizados WordPress y todos sus componentes.
Las nuevas versiones pueden incluir mejoras funcionales, correcciones de errores y soluciones para vulnerabilidades conocidas. Continuar utilizando durante demasiado tiempo una versión antigua aumenta innecesariamente la exposición del sitio.
Esto afecta tanto al núcleo de WordPress como a plugins y temas.
Además de instalar las actualizaciones, conviene revisar periódicamente qué componentes siguen siendo necesarios. Un plugin desactivado que ya no utilizamos continúa siendo código almacenado en el servidor y puede convertirse en una carga de mantenimiento.
Lo mismo ocurre con temas antiguos o extensiones abandonadas por sus desarrolladores.
Antes de aplicar actualizaciones importantes es recomendable disponer de una copia de seguridad y, una vez terminadas, comprobar que las principales funcionalidades de la web siguen operativas.
Esta es precisamente una de las tareas que deberían formar parte de un buen mantenimiento de páginas web.
Proteger correctamente las cuentas de usuario
Una instalación WordPress puede estar técnicamente actualizada y seguir siendo vulnerable si una cuenta de administrador utiliza una contraseña débil o compartida.
Cada usuario debería disponer de su propia cuenta y utilizar una contraseña larga, única y difícil de reutilizar en otros servicios.
También conviene revisar periódicamente los usuarios existentes. Las cuentas de antiguos colaboradores, proveedores o empleados que ya no necesitan acceder deberían eliminarse o desactivarse según corresponda.
Igualmente importante es asignar a cada usuario únicamente los permisos que necesita.
Una persona encargada de redactar contenidos no tiene por qué disponer necesariamente de permisos de administrador. Reducir privilegios limita también el impacto que podría tener una cuenta comprometida.
Para las cuentas con mayores permisos es recomendable añadir autenticación en dos pasos (2FA) mediante una solución compatible. De esta forma, conocer la contraseña no es suficiente para acceder a la administración.
Utilizar plugins y temas de fuentes fiables
La enorme variedad de extensiones disponibles es una de las principales ventajas de WordPress, pero también implica que debemos seleccionar cuidadosamente qué instalamos.
No todos los plugins tienen el mismo mantenimiento, calidad de código o política de actualizaciones.
Antes de incorporar una extensión conviene comprobar si se mantiene activamente, si es compatible con las versiones actuales de WordPress y si procede de una fuente fiable.
También es recomendable evitar instalar plugins diferentes que hacen prácticamente lo mismo. Cuantos más componentes añadimos, mayor es el número de actualizaciones, dependencias y posibles conflictos que debemos administrar.
El objetivo no debería ser tener muchos plugins, sino los necesarios y correctamente mantenidos.
Esta misma precaución debe aplicarse a temas y código obtenido de fuentes no verificadas.
Usar HTTPS y proteger las comunicaciones
La administración de WordPress y cualquier información sensible deberían transmitirse mediante HTTPS.
Un certificado TLS correctamente configurado cifra la comunicación entre el navegador y el servidor, evitando que credenciales y otros datos viajen en texto legible a través de la red.
Actualmente HTTPS debe considerarse un requisito básico para una web profesional, no un complemento opcional.
Durante el mantenimiento conviene comprobar también que el certificado se renueva correctamente y que la web no carga recursos inseguros que puedan provocar advertencias de contenido mixto.
Si quieres profundizar en este punto, puedes consultar nuestro artículo sobre las diferencias entre certificados SSL gratuitos y de pago.
HTTPS, sin embargo, no convierte por sí solo una instalación WordPress en segura. Protege la comunicación, pero debe combinarse con actualizaciones, buenos controles de acceso y una correcta configuración del servidor.
Disponer de copias de seguridad recuperables
Las copias de seguridad no impiden un ataque, pero pueden ser decisivas para recuperarse de una incidencia.
Una web WordPress depende tanto de sus archivos como de su base de datos. Una estrategia de backup debería contemplar ambos elementos y permitir restaurar una versión anterior cuando sea necesario.
No basta con saber que “se hacen copias”.
Hay que conocer con qué frecuencia se realizan, cuánto tiempo se conservan, dónde se almacenan y cómo se restauraría el sitio en caso de pérdida de información, infección o error durante una actualización.
También es recomendable que las copias no dependan exclusivamente del mismo servidor que contiene la web. Si el problema afecta a toda la infraestructura, necesitamos disponer de una copia recuperable desde otra ubicación.
La frecuencia debe adaptarse a la actividad del sitio. Una tienda online que recibe pedidos continuamente necesita una estrategia distinta a una web corporativa que cambia ocasionalmente.
Y, sobre todo, una copia de seguridad solo tiene valor si podemos restaurarla cuando realmente la necesitamos.
Proteger el servidor y los archivos de WordPress
La seguridad no termina dentro del panel de administración.
WordPress funciona sobre un servidor web, PHP, una base de datos y un sistema de archivos. Todos esos componentes forman parte de la superficie que debemos proteger.
El alojamiento debe mantenerse actualizado y correctamente configurado, con versiones de software soportadas y permisos de archivos adecuados.
También conviene proteger especialmente ficheros de configuración como wp-config.php, donde se almacena información sensible necesaria para el funcionamiento de WordPress.
En determinados proyectos puede ser recomendable deshabilitar la edición de archivos PHP desde el propio panel de administración. De esta forma, una cuenta administrativa comprometida no dispone directamente del editor integrado para modificar temas o plugins.
Una posible configuración en wp-config.php es:
define( 'DISALLOW_FILE_EDIT', true );
Esta medida no sustituye ninguna otra protección, pero puede reducir algunas posibilidades disponibles después de comprometer una cuenta.
La configuración exacta debe adaptarse al alojamiento y a la forma en la que se despliega y mantiene cada proyecto.
Proteger integraciones sin compartir la contraseña principal
Muchas webs WordPress se conectan actualmente con servicios externos, aplicaciones o automatizaciones.
Cuando una integración necesita acceder a WordPress mediante su API, no es buena práctica entregar la contraseña principal de un usuario si existe una alternativa específica.
WordPress dispone de Application Passwords, credenciales independientes asociadas a un usuario y pensadas para acceso programático.
Una de sus ventajas es que pueden revocarse individualmente. Si dejamos de utilizar una integración, podemos eliminar únicamente esa credencial sin cambiar la contraseña principal de la cuenta.
No sirven para iniciar sesión normalmente en wp-admin: están diseñadas para aplicaciones y scripts.
Cuando utilizamos este tipo de integraciones también debemos aplicar el principio de mínimo privilegio y retirar las credenciales que hayan dejado de ser necesarias.
Monitorizar la web y detectar comportamientos anómalos
La seguridad también requiere saber qué está ocurriendo.
No tiene mucho sentido descubrir semanas después que una web estaba generando errores, había sido modificada o presentaba actividad sospechosa.
Dependiendo de la importancia del proyecto, podemos monitorizar disponibilidad, errores, cambios relevantes, intentos de acceso, integridad de archivos o actividad administrativa.
Un plugin de seguridad puede ayudar en algunas de estas tareas, incorporando funciones como protección frente a intentos de acceso, alertas, análisis de archivos o firewall de aplicación.
Pero instalar un plugin de seguridad no sustituye al mantenimiento de WordPress, plugins, temas y servidor.
Tampoco es recomendable acumular varias soluciones de seguridad con funciones solapadas únicamente bajo la idea de que “más plugins significan más protección”. Podemos aumentar complejidad, consumo de recursos y posibilidades de conflicto sin obtener una mejora equivalente.
¿Qué ocurre con el código desarrollado a medida?
Cuando una web incorpora plugins propios, modificaciones del tema o funcionalidades programadas específicamente para el proyecto, la seguridad depende también de cómo se haya escrito ese código.
WordPress proporciona funciones y APIs para validar, sanear y escapar información.
El principio fundamental es no confiar automáticamente en los datos recibidos desde formularios, parámetros, bases de datos o servicios externos.
Por ejemplo, esc_html() es una función útil para escapar contenido cuando debemos mostrar texto dentro de HTML, pero no es una solución universal frente a ataques XSS ni basta con aplicar esa función indiscriminadamente.
La función correcta depende del contexto en el que vayamos a utilizar el dato.
Por eso el código personalizado debe desarrollarse siguiendo las APIs y prácticas de seguridad recomendadas por WordPress, no mediante soluciones aisladas copiadas sin comprender su contexto.
La seguridad de WordPress requiere mantenimiento continuo
No existe una configuración que permita asegurar WordPress una vez y olvidarse después.
El software cambia, aparecen nuevas vulnerabilidades, los plugins evolucionan y los usuarios de la empresa también cambian.
Una estrategia razonable combina actualizaciones, control de accesos, HTTPS, copias de seguridad, protección del servidor y monitorización.
También implica reducir aquello que no necesitamos: cuentas antiguas, plugins abandonados, temas sin utilizar o integraciones que continúan teniendo acceso aunque ya no sean necesarias.
La seguridad no consiste en conseguir un sistema imposible de comprometer, sino en reducir riesgos, limitar el impacto de una posible incidencia y estar preparados para recuperarnos si ocurre.
En ENDEOS desarrollamos y mantenemos soluciones WordPress y proyectos web para empresas, incluyendo actualizaciones, mantenimiento técnico, seguridad y evolución de webs existentes.
Artículos relacionados:
- factory_shortcodes_assets:
- a:0:{}
- classic-editor-remember:
- block-editor