Seguridad en WordPress: checklist para tu sitio

La seguridad de WordPress depende menos del núcleo y más de lo que le instalas y de cómo lo mantienes. Lo indispensable: actualizaciones automáticas, verificación en dos pasos para administradores, pocos plugins y de fuentes confiables, una versión de PHP con soporte y respaldos guardados fuera del servidor.

WordPress es un CMS, un gestor de contenidos para editar un sitio sin programar, y es el más usado del mundo: según W3Techs, lo usa el 39.5% de todos los sitios web y el 58.2% de los que usan un CMS identificable (consultado el 2 de noviembre de 2026). Esa popularidad lo convierte en un blanco frecuente de ataques automáticos. Este checklist te sirve para revisar tu sitio por tu cuenta o para exigirle a quien te da mantenimiento de WordPress con actualizaciones supervisadas y monitoreo.

Por qué WordPress es un blanco tan frecuente

El núcleo de WordPress, el software base que descargas de WordPress.org, tiene pocos problemas graves. El riesgo está en los plugins, las extensiones que agregan funciones como formularios, tiendas o galerías, y en los temas, que controlan el diseño. Una vulnerabilidad es una falla en el código que permite a alguien hacer lo que no debería, como subir archivos o crear usuarios. El informe State of WordPress Security in 2026 de Patchstack muestra dónde están:

• En 2025 se reportaron 11,334 vulnerabilidades nuevas en el ecosistema de WordPress, 42% más que en 2024.
• El 91% estaba en plugins y el 9% en temas. En el núcleo solo hubo 6, todas de baja prioridad.
• El 46% no tenía corrección del desarrollador cuando se hizo pública.
• En las vulnerabilidades más explotadas, la mediana ponderada entre su publicación y el primer intento de ataque fue de 5 horas.

Esas 5 horas significan que, cuando se publica una falla atractiva para los atacantes, los ataques automáticos empiezan casi de inmediato, mucho antes de que alguien revise el sitio a mano. Por eso este checklist se apoya en la automatización y en tener menos piezas que vigilar.

Checklist de 20 puntos, bloque 1: cuentas y accesos

Lo organizamos en cuatro bloques de cinco puntos. El primero cierra la entrada más sencilla: alguien que entra con un usuario y contraseña válidos.

• 1. Una cuenta por persona. Nada de usuarios compartidos ni nombres obvios como “admin”. Si alguien deja la empresa o la agencia anterior ya no trabaja contigo, su cuenta se borra el mismo día.
• 2. El rol mínimo necesario. WordPress tiene roles como Administrador, Editor y Autor. Quien solo publica notas no necesita ser administrador; deja ese rol a una o dos personas.
• 3. Verificación en dos pasos para administradores. El plugin Two-Factor, publicado en el directorio oficial, ofrece códigos por app de autenticación, por correo y códigos de respaldo, y tiene más de 100,000 instalaciones activas (consultado el 2 de noviembre de 2026).
• 4. Contraseñas largas y únicas. La guía oficial para reforzar WordPress recomienda contraseñas largas generadas con un gestor de contraseñas, la aplicación que las crea y las guarda por ti.
• 5. Límite de intentos de inicio de sesión. Bloquear temporalmente una dirección IP (la dirección numérica de cada conexión) tras varios intentos fallidos frena los ataques de fuerza bruta, que prueban miles de contraseñas en automático.

Bloque 2: actualizaciones, plugins y temas

Aquí está la mayor parte del riesgo, y también la mayor parte de la solución:

• 6. Núcleo siempre al día. La guía oficial pide mantener la versión más reciente de WordPress y descargarla solo de WordPress.org. Las actualizaciones menores, que suelen traer los parches de seguridad, se instalan solas si no se desactivaron.
• 7. Actualizaciones automáticas de plugins y temas. Desde WordPress 5.5 puedes activarlas plugin por plugin, y según la documentación de WordPress se revisan dos veces al día. Actívalas al menos en los plugins de seguridad, formularios y comercio.
• 8. Solo fuentes confiables. Instala plugins y temas del directorio de WordPress.org o de desarrolladores reconocidos. Nunca uses versiones “nulled”, copias piratas de plugins de pago que con frecuencia traen código malicioso.
• 9. Borra lo que no usas. Un plugin desactivado sigue en el servidor y su código vulnerable sigue ahí. Si no lo usas, elimínalo; lo mismo con los temas, salvo uno por defecto de respaldo.
• 10. Revisa antes de instalar. Fíjate en la fecha de la última actualización, las instalaciones activas y la compatibilidad con tu versión. Un plugin abandonado no recibirá parches, y casi la mitad de las vulnerabilidades del año pasado se publicaron sin corrección disponible.

Bloque 3: hosting, servidor y configuración

El hosting es el servicio que renta el servidor donde vive tu sitio. Aunque WordPress esté perfecto, un servidor descuidado lo deja expuesto:

• 11. PHP con soporte. PHP es el lenguaje en el que funciona WordPress. Los requisitos oficiales recomiendan PHP 8.3 o superior, y según el calendario de versiones de PHP, la 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026 (consultado el 2 de noviembre de 2026). Pregúntale a tu hosting qué versión usas.
• 12. HTTPS en todo el sitio. El certificado SSL/TLS cifra la conexión entre el visitante y tu servidor. Sin él, las contraseñas viajan expuestas y el navegador marca tu sitio como no seguro.
• 13. Editor de archivos desactivado. WordPress permite editar el código de plugins y temas desde el panel. La guía oficial sugiere desactivarlo con la línea define( ‘DISALLOW_FILE_EDIT’, true ); en wp-config.php, el archivo de configuración principal de WordPress, porque suele ser la primera herramienta que usa un atacante que logra entrar.
• 14. Permisos de archivos correctos. La misma guía indica que lo habitual es 755 para carpetas y 644 para archivos, y que solo las carpetas que lo necesitan, como la de archivos subidos, deben poder escribirse.
• 15. Firewall de aplicaciones web (WAF). Es un filtro que bloquea ataques conocidos antes de que lleguen a WordPress. Puede vivir en el hosting, en un servicio intermedio o en un plugin, y si tu sitio comparte servidor con otros, pide que estén aislados entre sí.

Bloque 4: respaldos, monitoreo y respuesta

Ninguna prevención es perfecta. Este bloque decide cuánto te cuesta un problema cuando pasa:

• 16. Respaldos automáticos fuera del servidor. La guía oficial pide respaldar con regularidad archivos y base de datos, y conservar varias copias en el tiempo para recuperarte de un ataque que tardaste en notar. Si el respaldo vive en el mismo servidor, cae con él.
• 17. Prueba de restauración cada trimestre. Restaura el sitio completo en un entorno de prueba y verifica que funcione.
• 18. Monitoreo de cambios y disponibilidad. Alertas cuando cambian archivos del núcleo o cuando el sitio deja de responder, que lleguen a una persona concreta.
• 19. Google Search Console activo. Es la herramienta gratuita de Google que avisa si detecta contenido hackeado o malware en tu sitio. Dala de alta con el correo de un responsable que sí lo lea.
• 20. Plan de respuesta escrito. Quién decide, a quién se llama y dónde están los respaldos. Si algo sale mal, sigue los pasos para una página web hackeada en las primeras horas.

Calendario de seguridad WordPress

Los 20 puntos no se revisan todos los días. En CloudStudio recomendamos repartirlos así:

Si prefieres no hacerlo tú, este calendario es una buena base para comparar lo que incluyen los planes de mantenimiento. En el artículo sobre qué incluye un buen mantenimiento de página web lo explicamos con más detalle.

Plugins de seguridad: qué resuelven y qué no

Suites como Wordfence, Solid Security o Sucuri reúnen en un plugin varias defensas del checklist: firewall, escaneo de malware, límite de intentos de acceso y verificación en dos pasos. Son útiles, pero no actualizan tus plugins por ti, no sustituyen un respaldo externo y no corrigen un hosting mal configurado. Instala una sola suite; dos plugins de seguridad a la vez suelen chocar entre sí y hacer lento el sitio.

La protección más sólida suele estar fuera de WordPress: un firewall en el servidor, entornos aislados y respaldos automáticos fuera del sitio. Eso depende de una infraestructura de hosting con firewall, aislamiento y respaldos, no de otro plugin. En CloudStudio recomendamos, además, contar los plugins de tu sitio: si necesitas decenas para que funcione, cada uno es una pieza más que vigilar, y quizá te conviene leer cuándo elegir WordPress o desarrollo a medida.

Preguntas frecuentes

¿WordPress es seguro?

El núcleo, sí: en 2025 solo se le reportaron 6 vulnerabilidades, todas de baja prioridad, según Patchstack. Los problemas vienen de plugins y temas desactualizados, contraseñas débiles y hostings descuidados. El riesgo depende mucho más del mantenimiento que de la plataforma.

¿Cada cuánto debo actualizar WordPress y sus plugins?

Las actualizaciones de seguridad, el mismo día. Si en las fallas más explotadas pasan apenas 5 horas (mediana, según el mismo informe) entre su publicación y el primer ataque, esperar al fin de mes es demasiado. Activa las actualizaciones automáticas y revisa una vez por semana que todo siga funcionando.

¿Cuánto tiempo toma mantener seguro un sitio WordPress?

Un ejemplo hipotético: un sitio corporativo con 15 plugins y actualizaciones automáticas activas requiere unos 30 minutos a la semana para revisar actualizaciones y respaldos, y unas 2 horas cada trimestre para el simulacro de restauración. Son alrededor de 34 horas al año. Una tienda en línea o un sitio con muchos plugins necesitará más.

¿Sirve cambiar la URL de acceso o el prefijo de la base de datos?

Ayuda poco. La guía oficial de WordPress trata estas medidas, como cambiar el prefijo wp_ de las tablas, como complementos menores. Reducen el ruido de algunos robots, pero no sustituyen las actualizaciones, la verificación en dos pasos ni los respaldos.

Si quieres revisar tu sitio contra estos 20 puntos con alguien que lo haga todos los días, agenda una revisión de tu WordPress y te decimos qué está bien, qué falta y qué conviene arreglar primero.