1. Protege las cuentas que controlan la web
Una contraseña fuerte en WordPress sirve de poco si el correo con el que se recupera es vulnerable. Protege por igual correo principal, registrador del dominio, panel del hosting, WordPress y servicios de copias. Utiliza contraseñas únicas guardadas en un gestor y activa verificación en dos pasos cuando esté disponible.
- El administrador usa una cuenta personal identificable, no una compartida.
- Cada persona tiene solo los permisos que necesita.
- Las cuentas antiguas o de proveedores que ya terminaron están eliminadas.
- Correo, dominio, hosting y WordPress tienen segundo factor.
- Los códigos de recuperación están guardados fuera del mismo dispositivo.
No cambies la URL de acceso pensando que sustituye estas medidas. Puede reducir ruido de robots, pero no protege una contraseña reutilizada ni una sesión robada.
2. Actualiza con un procedimiento, no a ciegas
WordPress, temas y plugins sin soporte acumulan vulnerabilidades y problemas de compatibilidad. Antes de instalar algo, revisa si se mantiene, si realmente lo necesitas y qué permisos solicita. Menos componentes implican menos superficie de ataque y menos conflictos.
- Haz una copia antes de una actualización importante.
- Actualiza primero en una copia de pruebas si la web vende o recibe reservas.
- Comprueba portada, acceso, formularios y compra tras actualizar.
- Elimina plugins y temas inactivos que no vayas a usar.
- No uses software de origen desconocido o distribuido sin licencia.
3. Una copia solo vale si puede restaurarse
Una estrategia básica conserva más de una versión y al menos una fuera del hosting. La frecuencia depende de cuánto contenido puedes permitirte perder: una web estática quizá necesite una copia semanal; una tienda con pedidos requiere intervalos mucho menores.
| Elemento | Qué comprobar | Error habitual |
|---|---|---|
| Archivos | Temas, plugins, subidas y configuración | Copiar solo imágenes |
| Base de datos | Entradas, ajustes, usuarios y pedidos | Tener una copia demasiado antigua |
| Ubicación | Una copia fuera del servidor | Guardar todo en la misma cuenta |
| Restauración | Prueba periódica en un entorno aislado | Descubrir el error durante el incidente |
Documenta quién puede restaurar, cuánto tarda y qué pasos siguen después: cambio de contraseñas, actualización, revisión de usuarios y nueva copia limpia.
4. Revisa la base técnica del hosting
HTTPS
El certificado debe renovarse automáticamente y HTTP debe redirigir a HTTPS. Evita contenido mixto: imágenes o scripts cargados por una conexión sin cifrar. HTTPS protege el transporte, pero no corrige una web infectada.
Versiones y aislamiento
Usa una versión de PHP compatible y mantenida. Si alojas varias webs, pregunta si están aisladas: una infección en una no debería facilitar el acceso a las demás. No reutilices las mismas credenciales de base de datos o administración.
Permisos y edición
Los archivos no deben tener permisos más amplios de lo necesario. Desactiva la edición de temas y plugins desde el panel si no se utiliza. Protege los archivos de configuración y evita dejar copias descargables en carpetas públicas.
Correo del dominio
Configura SPF, DKIM y DMARC siguiendo las instrucciones del proveedor. Esto no protege WordPress directamente, pero reduce suplantaciones y mejora la autenticidad de avisos, formularios y mensajes transaccionales.
5. Monitoriza señales útiles
No necesitas observar cada visita. Configura alertas para cambios de administrador, fallos repetidos de acceso, archivos modificados, caídas y consumo inusual de recursos. Revisa también Search Console por páginas extrañas o avisos de seguridad.
- No aparecen administradores desconocidos.
- La web no redirige a dominios ajenos.
- No hay nuevas páginas de spam en el buscador.
- El uso de CPU, correo o almacenamiento no sube sin explicación.
- Las copias terminan correctamente y no reducen su tamaño de forma anormal.
6. Si sospechas que la web está comprometida
No borres archivos al azar. Pon la web en mantenimiento si existe riesgo para visitantes, conserva registros y una copia del estado afectado para investigar, cambia credenciales desde un dispositivo limpio y contacta con el hosting. Identifica la vía de entrada antes de restaurar; de lo contrario, el problema puede volver.
- Limita el acceso y comunica el incidente a quien corresponda.
- Cambia contraseñas de correo, hosting, dominio, WordPress y base de datos.
- Revoca sesiones, claves y usuarios que no reconozcas.
- Restaura una copia anterior que hayas verificado.
- Actualiza, elimina el componente vulnerable y vuelve a revisar.
- Valora obligaciones de comunicación si hubo datos personales afectados.
En incidentes importantes o con información sensible, recurre a un profesional. Esta guía es preventiva y no sustituye una respuesta forense ni asesoramiento legal.
Preguntas frecuentes
¿Necesito un plugin de seguridad?
Puede ayudar con alertas y controles, pero no sustituye contraseñas únicas, actualizaciones, copias externas ni una configuración correcta del hosting.
¿Con qué frecuencia debo hacer copias?
Con la frecuencia necesaria para que la pérdida máxima sea aceptable. Si recibes pedidos cada hora, una copia diaria puede ser insuficiente.
¿Las actualizaciones automáticas son recomendables?
Son útiles para correcciones menores y webs sencillas, siempre que existan copias y supervisión. En una tienda o web crítica conviene probar los cambios relevantes.