{"id":127,"date":"2026-11-09T13:00:00","date_gmt":"2026-11-09T19:00:00","guid":{"rendered":"https:\/\/cloudstudio.mx\/blog\/?p=127"},"modified":"2026-11-09T13:00:00","modified_gmt":"2026-11-09T19:00:00","slug":"seguridad-wordpress","status":"publish","type":"post","link":"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/seguridad-wordpress\/","title":{"rendered":"Seguridad en WordPress: checklist para tu sitio"},"content":{"rendered":"<p>La seguridad de WordPress depende menos del n\u00facleo y m\u00e1s de lo que le instalas y de c\u00f3mo lo mantienes. Lo indispensable: actualizaciones autom\u00e1ticas, verificaci\u00f3n en dos pasos para administradores, pocos plugins y de fuentes confiables, una versi\u00f3n de PHP con soporte y respaldos guardados fuera del servidor.<\/p>\n<p>WordPress es un CMS, un gestor de contenidos para editar un sitio sin programar, y es el m\u00e1s usado del mundo: seg\u00fan <a href=\"https:\/\/w3techs.com\/technologies\/details\/cm-wordpress\">W3Techs<\/a>, lo usa el 39.5% de todos los sitios web y el 58.2% de los que usan un CMS identificable (consultado el 2 de noviembre de 2026). Esa popularidad lo convierte en un blanco frecuente de ataques autom\u00e1ticos. Este checklist te sirve para revisar tu sitio por tu cuenta o para exigirle a quien te da <a href=\"https:\/\/cloudstudio.mx\/servicios\/mantenimiento\">mantenimiento de WordPress con actualizaciones supervisadas y monitoreo<\/a>.<\/p>\n<h2>Por qu\u00e9 WordPress es un blanco tan frecuente<\/h2>\n<p>El n\u00facleo de WordPress, el software base que descargas de WordPress.org, tiene pocos problemas graves. El riesgo est\u00e1 en los plugins, las extensiones que agregan funciones como formularios, tiendas o galer\u00edas, y en los temas, que controlan el dise\u00f1o. Una vulnerabilidad es una falla en el c\u00f3digo que permite a alguien hacer lo que no deber\u00eda, como subir archivos o crear usuarios. El informe <a href=\"https:\/\/patchstack.com\/whitepaper\/state-of-wordpress-security-in-2026\/\">State of WordPress Security in 2026 de Patchstack<\/a> muestra d\u00f3nde est\u00e1n:<\/p>\n<ul>\n<li>En 2025 se reportaron 11,334 vulnerabilidades nuevas en el ecosistema de WordPress, 42% m\u00e1s que en 2024.<\/li>\n<li>El 91% estaba en plugins y el 9% en temas. En el n\u00facleo solo hubo 6, todas de baja prioridad.<\/li>\n<li>El 46% no ten\u00eda correcci\u00f3n del desarrollador cuando se hizo p\u00fablica.<\/li>\n<li>En las vulnerabilidades m\u00e1s explotadas, la mediana ponderada entre su publicaci\u00f3n y el primer intento de ataque fue de 5 horas.<\/li>\n<\/ul>\n<p>Esas 5 horas significan que, cuando se publica una falla atractiva para los atacantes, los ataques autom\u00e1ticos empiezan casi de inmediato, mucho antes de que alguien revise el sitio a mano. Por eso este checklist se apoya en la automatizaci\u00f3n y en tener menos piezas que vigilar.<\/p>\n<h2>Checklist de 20 puntos, bloque 1: cuentas y accesos<\/h2>\n<p>Lo organizamos en cuatro bloques de cinco puntos. El primero cierra la entrada m\u00e1s sencilla: alguien que entra con un usuario y contrase\u00f1a v\u00e1lidos.<\/p>\n<ul>\n<li>1. Una cuenta por persona. Nada de usuarios compartidos ni nombres obvios como &#8220;admin&#8221;. Si alguien deja la empresa o la agencia anterior ya no trabaja contigo, su cuenta se borra el mismo d\u00eda.<\/li>\n<li>2. El rol m\u00ednimo necesario. WordPress tiene roles como Administrador, Editor y Autor. Quien solo publica notas no necesita ser administrador; deja ese rol a una o dos personas.<\/li>\n<li>3. Verificaci\u00f3n en dos pasos para administradores. El plugin <a href=\"https:\/\/wordpress.org\/plugins\/two-factor\/\">Two-Factor<\/a>, publicado en el directorio oficial, ofrece c\u00f3digos por app de autenticaci\u00f3n, por correo y c\u00f3digos de respaldo, y tiene m\u00e1s de 100,000 instalaciones activas (consultado el 2 de noviembre de 2026).<\/li>\n<li>4. Contrase\u00f1as largas y \u00fanicas. La <a href=\"https:\/\/developer.wordpress.org\/advanced-administration\/security\/hardening\/\">gu\u00eda oficial para reforzar WordPress<\/a> recomienda contrase\u00f1as largas generadas con un gestor de contrase\u00f1as, la aplicaci\u00f3n que las crea y las guarda por ti.<\/li>\n<li>5. L\u00edmite de intentos de inicio de sesi\u00f3n. Bloquear temporalmente una direcci\u00f3n IP (la direcci\u00f3n num\u00e9rica de cada conexi\u00f3n) tras varios intentos fallidos frena los ataques de fuerza bruta, que prueban miles de contrase\u00f1as en autom\u00e1tico.<\/li>\n<\/ul>\n<h2>Bloque 2: actualizaciones, plugins y temas<\/h2>\n<p>Aqu\u00ed est\u00e1 la mayor parte del riesgo, y tambi\u00e9n la mayor parte de la soluci\u00f3n:<\/p>\n<ul>\n<li>6. N\u00facleo siempre al d\u00eda. La gu\u00eda oficial pide mantener la versi\u00f3n m\u00e1s reciente de WordPress y descargarla solo de WordPress.org. Las actualizaciones menores, que suelen traer los parches de seguridad, se instalan solas si no se desactivaron.<\/li>\n<li>7. Actualizaciones autom\u00e1ticas de plugins y temas. Desde WordPress 5.5 puedes activarlas plugin por plugin, y seg\u00fan la <a href=\"https:\/\/wordpress.org\/documentation\/article\/plugins-themes-auto-updates\/\">documentaci\u00f3n de WordPress<\/a> se revisan dos veces al d\u00eda. Act\u00edvalas al menos en los plugins de seguridad, formularios y comercio.<\/li>\n<li>8. Solo fuentes confiables. Instala plugins y temas del directorio de WordPress.org o de desarrolladores reconocidos. Nunca uses versiones &#8220;nulled&#8221;, copias piratas de plugins de pago que con frecuencia traen c\u00f3digo malicioso.<\/li>\n<li>9. Borra lo que no usas. Un plugin desactivado sigue en el servidor y su c\u00f3digo vulnerable sigue ah\u00ed. Si no lo usas, elim\u00ednalo; lo mismo con los temas, salvo uno por defecto de respaldo.<\/li>\n<li>10. Revisa antes de instalar. F\u00edjate en la fecha de la \u00faltima actualizaci\u00f3n, las instalaciones activas y la compatibilidad con tu versi\u00f3n. Un plugin abandonado no recibir\u00e1 parches, y casi la mitad de las vulnerabilidades del a\u00f1o pasado se publicaron sin correcci\u00f3n disponible.<\/li>\n<\/ul>\n<h2>Bloque 3: hosting, servidor y configuraci\u00f3n<\/h2>\n<p>El hosting es el servicio que renta el servidor donde vive tu sitio. Aunque WordPress est\u00e9 perfecto, un servidor descuidado lo deja expuesto:<\/p>\n<ul>\n<li>11. PHP con soporte. PHP es el lenguaje en el que funciona WordPress. Los <a href=\"https:\/\/wordpress.org\/about\/requirements\/\">requisitos oficiales<\/a> recomiendan PHP 8.3 o superior, y seg\u00fan el <a href=\"https:\/\/www.php.net\/supported-versions.php\">calendario de versiones de PHP<\/a>, la 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026 (consultado el 2 de noviembre de 2026). Preg\u00fantale a tu hosting qu\u00e9 versi\u00f3n usas.<\/li>\n<li>12. HTTPS en todo el sitio. El certificado SSL\/TLS cifra la conexi\u00f3n entre el visitante y tu servidor. Sin \u00e9l, las contrase\u00f1as viajan expuestas y el navegador marca tu sitio como no seguro.<\/li>\n<li>13. Editor de archivos desactivado. WordPress permite editar el c\u00f3digo de plugins y temas desde el panel. La gu\u00eda oficial sugiere desactivarlo con la l\u00ednea <em>define( &#8216;DISALLOW_FILE_EDIT&#8217;, true );<\/em> en wp-config.php, el archivo de configuraci\u00f3n principal de WordPress, porque suele ser la primera herramienta que usa un atacante que logra entrar.<\/li>\n<li>14. Permisos de archivos correctos. La misma gu\u00eda indica que lo habitual es 755 para carpetas y 644 para archivos, y que solo las carpetas que lo necesitan, como la de archivos subidos, deben poder escribirse.<\/li>\n<li>15. Firewall de aplicaciones web (WAF). Es un filtro que bloquea ataques conocidos antes de que lleguen a WordPress. Puede vivir en el hosting, en un servicio intermedio o en un plugin, y si tu sitio comparte servidor con otros, pide que est\u00e9n aislados entre s\u00ed.<\/li>\n<\/ul>\n<h2>Bloque 4: respaldos, monitoreo y respuesta<\/h2>\n<p>Ninguna prevenci\u00f3n es perfecta. Este bloque decide cu\u00e1nto te cuesta un problema cuando pasa:<\/p>\n<ul>\n<li>16. Respaldos autom\u00e1ticos fuera del servidor. La gu\u00eda oficial pide respaldar con regularidad archivos y base de datos, y conservar varias copias en el tiempo para recuperarte de un ataque que tardaste en notar. Si el respaldo vive en el mismo servidor, cae con \u00e9l.<\/li>\n<li>17. Prueba de restauraci\u00f3n cada trimestre. Restaura el sitio completo en un entorno de prueba y verifica que funcione.<\/li>\n<li>18. Monitoreo de cambios y disponibilidad. Alertas cuando cambian archivos del n\u00facleo o cuando el sitio deja de responder, que lleguen a una persona concreta.<\/li>\n<li>19. Google Search Console activo. Es la herramienta gratuita de Google que avisa si detecta contenido hackeado o malware en tu sitio. Dala de alta con el correo de un responsable que s\u00ed lo lea.<\/li>\n<li>20. Plan de respuesta escrito. Qui\u00e9n decide, a qui\u00e9n se llama y d\u00f3nde est\u00e1n los respaldos. Si algo sale mal, sigue los pasos para una <a href=\"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/pagina-web-hackeada\/\">p\u00e1gina web hackeada en las primeras horas<\/a>.<\/li>\n<\/ul>\n<h2>Calendario de seguridad WordPress<\/h2>\n<p>Los 20 puntos no se revisan todos los d\u00edas. En CloudStudio recomendamos repartirlos as\u00ed:<\/p>\n<table>\n<thead>\n<tr>\n<th>Frecuencia<\/th>\n<th>Qu\u00e9 revisar<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Semanal<\/td>\n<td>Actualizaciones pendientes, que los respaldos se hayan completado y alertas de monitoreo<\/td>\n<\/tr>\n<tr>\n<td>Mensual<\/td>\n<td>Usuarios y roles, plugins sin actualizaciones recientes e informe de seguridad de Search Console<\/td>\n<\/tr>\n<tr>\n<td>Trimestral<\/td>\n<td>Simulacro de restauraci\u00f3n, versi\u00f3n de PHP y certificado SSL<\/td>\n<\/tr>\n<tr>\n<td>Anual<\/td>\n<td>Revisi\u00f3n completa de los 20 puntos y cambio de contrase\u00f1as de servicio, como la de la base de datos y la de FTP (el acceso para subir archivos al servidor)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Si prefieres no hacerlo t\u00fa, este calendario es una buena base para comparar lo que incluyen los planes de mantenimiento. En el art\u00edculo sobre <a href=\"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/mantenimiento-de-pagina-web\/\">qu\u00e9 incluye un buen mantenimiento de p\u00e1gina web<\/a> lo explicamos con m\u00e1s detalle.<\/p>\n<h2>Plugins de seguridad: qu\u00e9 resuelven y qu\u00e9 no<\/h2>\n<p>Suites como Wordfence, Solid Security o Sucuri re\u00fanen en un plugin varias defensas del checklist: firewall, escaneo de malware, l\u00edmite de intentos de acceso y verificaci\u00f3n en dos pasos. Son \u00fatiles, pero no actualizan tus plugins por ti, no sustituyen un respaldo externo y no corrigen un hosting mal configurado. Instala una sola suite; dos plugins de seguridad a la vez suelen chocar entre s\u00ed y hacer lento el sitio.<\/p>\n<p>La protecci\u00f3n m\u00e1s s\u00f3lida suele estar fuera de WordPress: un firewall en el servidor, entornos aislados y respaldos autom\u00e1ticos fuera del sitio. Eso depende de una <a href=\"https:\/\/cloudstudio.mx\/servicios\/infraestructura\">infraestructura de hosting con firewall, aislamiento y respaldos<\/a>, no de otro plugin. En CloudStudio recomendamos, adem\u00e1s, contar los plugins de tu sitio: si necesitas decenas para que funcione, cada uno es una pieza m\u00e1s que vigilar, y quiz\u00e1 te conviene leer cu\u00e1ndo elegir <a href=\"https:\/\/cloudstudio.mx\/blog\/transformacion-digital\/wordpress-o-desarrollo-a-medida\/\">WordPress o desarrollo a medida<\/a>.<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<h3>\u00bfWordPress es seguro?<\/h3>\n<p>El n\u00facleo, s\u00ed: en 2025 solo se le reportaron 6 vulnerabilidades, todas de baja prioridad, seg\u00fan <a href=\"https:\/\/patchstack.com\/whitepaper\/state-of-wordpress-security-in-2026\/\">Patchstack<\/a>. Los problemas vienen de plugins y temas desactualizados, contrase\u00f1as d\u00e9biles y hostings descuidados. El riesgo depende mucho m\u00e1s del mantenimiento que de la plataforma.<\/p>\n<h3>\u00bfCada cu\u00e1nto debo actualizar WordPress y sus plugins?<\/h3>\n<p>Las actualizaciones de seguridad, el mismo d\u00eda. Si en las fallas m\u00e1s explotadas pasan apenas 5 horas (mediana, seg\u00fan el mismo informe) entre su publicaci\u00f3n y el primer ataque, esperar al fin de mes es demasiado. Activa las actualizaciones autom\u00e1ticas y revisa una vez por semana que todo siga funcionando.<\/p>\n<h3>\u00bfCu\u00e1nto tiempo toma mantener seguro un sitio WordPress?<\/h3>\n<p>Un ejemplo hipot\u00e9tico: un sitio corporativo con 15 plugins y actualizaciones autom\u00e1ticas activas requiere unos 30 minutos a la semana para revisar actualizaciones y respaldos, y unas 2 horas cada trimestre para el simulacro de restauraci\u00f3n. Son alrededor de 34 horas al a\u00f1o. Una tienda en l\u00ednea o un sitio con muchos plugins necesitar\u00e1 m\u00e1s.<\/p>\n<h3>\u00bfSirve cambiar la URL de acceso o el prefijo de la base de datos?<\/h3>\n<p>Ayuda poco. La gu\u00eda oficial de WordPress trata estas medidas, como cambiar el prefijo wp_ de las tablas, como complementos menores. Reducen el ruido de algunos robots, pero no sustituyen las actualizaciones, la verificaci\u00f3n en dos pasos ni los respaldos.<\/p>\n<p>Si quieres revisar tu sitio contra estos 20 puntos con alguien que lo haga todos los d\u00edas, <a href=\"https:\/\/cloudstudio.mx\/agendar\">agenda una revisi\u00f3n de tu WordPress<\/a> y te decimos qu\u00e9 est\u00e1 bien, qu\u00e9 falta y qu\u00e9 conviene arreglar primero.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Checklist de seguridad WordPress en 20 puntos: cuentas, plugins, actualizaciones, hosting, PHP y respaldos, con datos de 2026 y un calendario de revisi\u00f3n.<\/p>\n","protected":false},"author":1,"featured_media":128,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[33],"tags":[],"class_list":["post-127","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad"],"_links":{"self":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/127","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/comments?post=127"}],"version-history":[{"count":1,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/127\/revisions"}],"predecessor-version":[{"id":168,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/127\/revisions\/168"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/media\/128"}],"wp:attachment":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/media?parent=127"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/categories?post=127"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/tags?post=127"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}