Guía de seguridad para WordPress: 20 prácticas imprescindibles

1. Mantener WordPress y sus componentes actualizados

Descripción: Las actualizaciones corrigen vulnerabilidades y mejoran la estabilidad. Ignorar estos parches expone su sitio a ataques conocidos.

Implementación: Active las actualizaciones automáticas en WordPress y mantenga siempre actualizados los plugins y temas. Consulte la guía oficial en WordPress.org.

2. Copias de seguridad regulares

Descripción: Las copias de seguridad le permiten restaurar su sitio ante ataques, errores humanos o fallos de servidor.

Implementación: Use soluciones como UpdraftPlus o Duplicator y almacene respaldos en un lugar externo (Dropbox, AWS S3, Google Drive).

3. Certificado SSL/TLS

Descripción: El cifrado HTTPS protege la integridad y confidencialidad de datos entre el navegador y el servidor.

Implementación: Obtenga un certificado gratuito con Letrsquos Encrypt o adquiera uno comercial. Configure redirecciones forzadas a https en el fichero .htaccess.

4. Contraseñas fuertes y únicas

Descripción: Contraseñas débiles son vulnerables a ataques de fuerza bruta y diccionario.

Implementación: Generar claves con gestores como LastPass o 1Password y activar políticas de complejidad en Usuarios gt Perfil.

5. Limitar intentos de inicio de sesión

Descripción: Evita ataques de fuerza bruta bloqueando IPs tras varios intentos fallidos.

Implementación: Instale plugins como Limit Login Attempts Reloaded o configure reglas en el servidor.

6. Two-Factor Authentication (2FA)

Descripción: Añade una capa extra solicitando un código temporal además de la contraseña.

Implementación: Utilice Google Authenticator o Authy con plugins como Two Factor.

7. Firewall de aplicaciones web (WAF)

Descripción: Inspecciona y bloquea tráfico malicioso antes de que llegue al servidor.

Implementación: Contrate servicios como Sucuri o Cloudflare. Revise OWASP Top Ten para amenazas comunes.

8. Protección de wp-config.php

Descripción: Contiene la configuración y credenciales de la base de datos.

Implementación: Mueva wp-config.php a un nivel superior al directorio público y restrinja su acceso con reglas en .htaccess:

# Protección básica
ltFiles wp-config.phpgt
  Order allow,deny
  Deny from all
lt/Filesgt

9. Desactivar edición de archivos en el panel

Descripción: Impide modificaciones directas de plugins/temas desde el área de administración.

Implementación: Añada en wp-config.php:

define(DISALLOW_FILE_EDIT, true)

10. Revisar y eliminar plugins y temas inactivos

Descripción: Elementos desactualizados o no usados pueden conterner vulnerabilidades.

Implementación: Elimine plugins y temas que no use y mantenga solo los imprescindibles. Realice auditorías periódicas.

11. Escaneo de malware y vulnerabilidades

Descripción: Identifica código malicioso y puntos débiles.

Implementación: Use herramientas como Wordfence o Sucuri Scanner. Programe escaneos automáticos.

12. Permisos de archivos y directorios

Descripción: Permisos inadecuados pueden permitir escritura no autorizada.

Implementación: Establezca 755 en carpetas y 644 en archivos. Asegúrese que wp-config.php sea 600.

13. Cambiar URL de acceso (/wp-login.php)

Descripción: Ocultar la ruta de login reduce bots y ataques automatizados.

Implementación: Emplee plugins como WPS Hide Login para personalizar la URL.

14. Proteger la base de datos

Descripción: El prefijo por defecto wp_ facilita ataques SQL Injection.

Implementación: Cambie el prefijo de tablas durante la instalación o con WP-CLI. Restrinja acceso remoto al puerto MySQL.

15. Implementar cabeceras de seguridad HTTP

Descripción: HSTS, X-Frame-Options, Content Security Policy y otras mejoran la defensa frente a XSS y clickjacking.

Implementación: Añada en .htaccess o configuración de servidor:

Header set X-Frame-Options SAMEORIGIN
Header set X-Content-Type-Options nosniff
Header set Strict-Transport-Security max-age=31536000 includeSubDomains

16. Monitorización de registros (logging)

Descripción: Analizar logs permite detectar patrones de ataque y accesos no autorizados.

Implementación: Active WP_DEBUG_LOG y envíe registros a herramientas de análisis como ELK Stack o Papertrail.

17. Lista blanca de IPs administradores

Descripción: Restringe el acceso al área de administración solo a IPs confiables.

Implementación: En .htaccess dentro de /wp-admin/:

Order deny,allow
Deny from all
Allow from su.ip.confianza

18. Revisión de usuarios y roles

Descripción: Cuentas antiguas o permisos excesivos comprometen la seguridad.

Implementación: Revise regularmente Usuarios, elimine o modifique roles desactualizados y aplique el principio de menor privilegio.

19. Optimización de la base de datos

Descripción: Mantener tablas limpias reduce el riesgo de inyecciones y mejora el rendimiento.

Implementación: Use WP-Optimize o comandos de WP-CLI para limpiar revisiones, transients y tablas huérfanas.

20. Educación y formación continua

Descripción: La seguridad es un proceso dinámico. Nuevas amenazas aparecen constantemente.

Implementación: Participe en comunidades como Make WordPress, suscríbase a blogs de seguridad (Sucuri Blog) y realice formaciones periódicas.