Seguridad en WordPress: buenas prácticas para tu sitio

Por qué atacan sitios pequeños

Es fácil pensar que nadie se va a fijar en el sitio de un negocio pequeño. Pero la mayoría de los ataques no son personales: son programas automáticos que recorren internet buscando sitios con versiones viejas, contraseñas débiles o plugins con fallas conocidas. Si tu sitio tiene una de esas puertas abiertas, lo encuentran.

Como WordPress es muy popular, también es un objetivo frecuente. La buena noticia es que con unos cuantos hábitos puedes cerrar la gran mayoría de esas puertas.

¿Qué buscan? Casi nunca es tu información en particular. Lo habitual es usar tu sitio para enviar spam, redirigir a tus visitantes a páginas engañosas, esconder enlaces para otros sitios o aprovechar tu servidor para atacar a terceros. El resultado para ti es el mismo: clientes que desconfían, correos que dejan de llegar y un buscador que puede marcar tu sitio como peligroso.

Mantén todo actualizado

Las actualizaciones no solo traen funciones nuevas: muchas corrigen fallas de seguridad que ya son públicas. Un sitio sin actualizar es un blanco fácil.

Lo más práctico es fijar un momento recurrente, por ejemplo cada semana, para entrar al escritorio de WordPress y revisar qué hay pendiente. Si nadie en tu equipo lo hace, deja por escrito quién es responsable; las actualizaciones olvidadas son de los descuidos más comunes.

• WordPress. Las actualizaciones menores suelen instalarse solas; revisa que las mayores no se queden pendientes.
• Plugins y temas. Revisa el escritorio de WordPress con regularidad y actualiza lo que esté pendiente.
• PHP. Usa una versión con soporte vigente; puedes cambiarla desde cPanel.

Antes de una actualización importante, ten un respaldo reciente. Si algo falla, podrás regresar a como estaba. Te explicamos cómo en respaldos de tu sitio web.

Contraseñas y verificación en dos pasos

Muchos accesos indebidos empiezan con una contraseña adivinada o reutilizada de otro servicio. Para evitarlo:

1. Usa contraseñas largas y únicas para cada cuenta; un gestor de contraseñas ayuda.
2. Activa la verificación en dos pasos (2FA) para los administradores. Así, además de la contraseña, se pide un código de una app en tu celular.
3. Evita usar “admin” como nombre de usuario.
4. Limita los intentos de inicio de sesión con un plugin de seguridad confiable.

No olvides proteger también el acceso a tu panel de hosting y a tu correo: si alguien entra ahí, puede llegar a tu sitio por otro camino.

Plugins y temas: menos es más

Cada plugin y tema instalado es código que alguien más escribió y que corre en tu sitio. Mientras más tengas, más posibilidades de que alguno tenga una falla.

Antes de instalar uno nuevo, revisa cuándo se actualizó por última vez, qué opinan otros usuarios y si es compatible con tu versión de WordPress. Si la función que buscas es sencilla, pregúntate si de verdad necesitas un plugin para ella.

• Descarga solo de fuentes confiables: el directorio oficial de WordPress o el sitio del desarrollador.
• Nunca instales versiones “premium” gratis de sitios no oficiales; es una forma común de meter código malicioso.
• Elimina lo que no usas. Un plugin desactivado sigue en el servidor; si no lo necesitas, bórralo. Lo mismo con los temas.
• Revisa que tengan mantenimiento. Si un plugin lleva mucho tiempo sin actualizarse, busca una alternativa.

Roles de usuario

No todas las personas que trabajan en tu sitio necesitan ser administradoras. WordPress tiene roles con distintos permisos; asigna a cada quien el mínimo que necesita para su trabajo.

Cuando alguien deja de colaborar contigo, elimina su cuenta o cambia su rol. Las cuentas olvidadas son una entrada fácil.

Lo mismo aplica para agencias o personas externas que te ayudaron alguna vez: si ya no trabajan en tu sitio, retira su acceso. Si necesitan entrar de nuevo, crea una cuenta temporal con el rol justo para esa tarea.

Respaldos y SSL

Ninguna medida es infalible, así que necesitas un plan B: respaldos frecuentes guardados fuera de tu sitio, y saber cómo restaurarlos. Si algo sale mal, un respaldo te permite volver a un punto seguro.

Algunas señales de que algo anda mal y conviene revisar tu sitio:

• Aparecen usuarios administradores que no creaste.
• Tu sitio redirige a páginas que no conoces, sobre todo desde el celular.
• Google o tu navegador muestran una advertencia al entrar.
• Tu proveedor te avisa que desde tu cuenta se está enviando correo masivo.

Además, tu sitio debe cargar siempre con HTTPS. El certificado SSL cifra la información entre el visitante y tu sitio, incluidas las contraseñas al iniciar sesión. Si tienes dudas, revisa qué es un certificado SSL.