Proteger WordPress: el orden en el que merece la pena
Quien busca «proteger WordPress» encuentra listas de veinte puntos. El problema no es que los puntos sean erróneos, sino que aparecen uno junto a otro con el mismo peso. Los tres primeros aportan más que los otros diecisiete juntos.
Puesto 1: actualizaciones, y a tiempo
La mayoría de los sitios que caen en manos ajenas no lo hacen por un ataque sofisticado, sino por un fallo conocido en un plugin para el que hay una actualización desde hace semanas. Los escaneos masivos automatizados buscan precisamente eso.
En la práctica, esto significa: actualizaciones de seguridad automáticas, actualizaciones de funciones a mano tras una breve comprobación y un punto de restauración antes de cada actualización, para que el miedo a la actualización no se convierta en un motivo para aplazarla.
Un plugin que lleva dos años sin recibir actualizaciones es un riesgo, aunque funcione. Aprovecha para poner orden: lo que no se usa hay que eliminarlo, no desactivarlo.
Puesto 2: el inicio de sesión
La segunda puerta más frecuente es una contraseña. Cuatro medidas, en este orden:
- Limitar los intentos fallidos: así los intentos automatizados de adivinar contraseñas pierden su base.
- Exigir contraseñas robustas, al menos para todos los que pueden publicar.
- Activar un segundo factor, como mínimo para los administradores.
- Ninguna cuenta con el nombre de usuario «admin» y ningún rol más alto de lo necesario.
Mover la dirección de inicio de sesión es un quinto punto, pero más débil: mantiene alejados los escaneos masivos y ahorra carga, pero no sustituye a ninguna de las cuatro medidas anteriores. Quien lo use debería anotar la nueva dirección antes de guardar.
Puesto 3: blindaje, configurarlo una vez y olvidarse
- Desactivar la edición de archivos en el backend: es el lugar favorito para dejar código malicioso
- Desactivar XML-RPC si nada lo necesita
- Impedir el listado de directorios
- Impedir la ejecución de PHP en la carpeta de subidas
- Restringir la enumeración de usuarios a través de la API REST
- Establecer cabeceras de seguridad
Estos interruptores no cuestan nada durante el funcionamiento y cada uno cierra un atajo conocido. Son el punto con mejor relación entre esfuerzo y beneficio de toda la lista.
Puesto 4: ver lo que cambia
A partir de aquí ya no se trata de impedir, sino de detectar. Merecen la pena dos cosas:
La comparación del núcleo contrasta los archivos de WordPress con las sumas de comprobación de api.wordpress.org. Un archivo del núcleo modificado es una señal muy clara: nadie tiene un motivo legítimo para cambiar nada ahí.
El vigilante de archivos guarda un estado de referencia y avisa de las desviaciones. Solo es tan bueno como el momento en que se guardó: un estado guardado después de una infección convierte el código malicioso en el estado normal.
Guarda el estado de referencia mientras se pueda demostrar que el sitio está limpio; lo mejor es hacerlo justo después de una instalación nueva o de una restauración comprobada.
Puesto 5: firewall y escaneo
Ambos tienen sentido y ambos están aquí abajo a propósito. Un firewall en PHP solo se ejecuta cuando WordPress ya está arrancando: no sustituye a un firewall delante del servidor web. Un escaneo encuentra lo que se parece a sus patrones, no todo el código malicioso.
Más importante que el número de reglas es la gestión de los falsos positivos. Una herramienta cuyo resumen está permanentemente en rojo ya no protege nada: acostumbra a descartar avisos con un clic. Por eso, deja primero que el firewall se limite a avisar durante una semana y revisa el registro antes de dejar que bloquee.
Lo que suele estar arriba del todo y no debería
| Medida | Por qué se sobrevalora |
|---|---|
| Ocultar la versión de WordPress | Quien ataca simplemente prueba el fallo |
| Mover la dirección de inicio de sesión | Mantiene alejados los escaneos, no sustituye a una contraseña fuerte |
| Muchísimas reglas de firewall | Más reglas significa más falsos positivos, no más protección |
| Plugin de seguridad sin copia de seguridad | Tras una infección cuenta la vía de retorno, no la alarma |
El punto que casi todas las listas olvidan
Un plugin de seguridad evita incidentes; una copia de seguridad sobrevive a ellos. Quien tuviera que elegir entre ambos debería quedarse con la copia de seguridad: es la única medida que sigue ayudando cuando todas las demás han fallado.
Preguntas frecuentes
¿Necesito realmente un plugin de seguridad?
¿Basta con la protección de mi proveedor de alojamiento?
¿Cómo sé si mi sitio está infectado?
¿Qué hago primero si ha pasado algo?
¿Con qué frecuencia debería comprobar todo esto?
Kakapo Security: paga una vez, úsalo para siempre.
Los nueve plugins por 149 € una vez en lugar de 13 € al mes. Pago seguro con Stripe. Durante los primeros 14 días: problema resuelto o te devolvemos el dinero.
Conseguir Lifetime Todas las funciones