Checklist de seguridad para una web WordPress empresarial

WordPress alimenta más del 40%% de las webs del mundo. Eso lo convierte en el objetivo número 1 de los hackers. Si tu web WordPress no tiene una configuración de seguridad sólida, es cuestión de tiempo que tengas problemas. Esta checklist cubre lo esencial.

1. Mantén todo actualizado

WordPress core, plugins y themes deben estar siempre en su última versión. El 56%% de los hackeos se deben a plugins desactualizados. Usa staging para probar actualizaciones antes de aplicarlas en producción.

2. Usa contraseñas fuertes y 2FA

Nada de “admin” como usuario ni “123456” como contraseña. Activa autenticación de dos factores para todos los usuarios con acceso al panel.

3. Limita intentos de login

Instala un plugin que bloquee IPs después de varios intentos fallidos. Los ataques de fuerza bruta son constantes.

4. Configura backups automáticos

Backups diarios con retención de al menos 30 días. Almacénalos fuera del servidor (cloud externo). Prueba la restauración periódicamente.

5. HTTPS y cabeceras de seguridad

SSL es obligatorio. Además, configura cabeceras HTTP como Content-Security-Policy, X-Frame-Options, X-Content-Type-Options y Strict-Transport-Security.

6. Elimina lo que no uses

Plugins y themes inactivos son vectores de ataque. Si no los usas, bórralos. Menos código = menos superficie de ataque.

7. Protege wp-config.php y .htaccess

Mueve wp-config.php un nivel arriba si es posible. Bloquea acceso directo a archivos sensibles desde .htaccess o la configuración del servidor.

8. Monitoriza tu web

Usa un servicio de uptime monitoring que te avise si tu web cae. Escanea periódicamente buscando malware. Un servicio de mantenimiento profesional incluye todo esto.

9. Permisos de archivos correctos

Directorios: 755. Archivos: 644. wp-config.php: 440 o 400. Nunca uses 777.

10. Firewall de aplicación web (WAF)

Un WAF como Cloudflare, Sucuri o Wordfence filtra tráfico malicioso antes de que llegue a tu servidor. Es la primera línea de defensa.

¿Necesitas ayuda?

Si no tienes tiempo o conocimientos para implementar todo esto, un plan de mantenimiento WordPress profesional te cubre: actualizaciones, seguridad, backups y soporte técnico por una cuota mensual.