Protege WordPress por capas y en el orden correcto: primero confirma si el problema es una caída o un compromiso del sitio, luego conserva los archivos y la base de datos, actualiza el software de confianza, restringe el acceso y prueba la recuperación.
Un plugin de seguridad o un WAF (firewall de aplicaciones web) pueden reducir el riesgo, pero no reemplazan las actualizaciones, las contraseñas seguras, los roles con los permisos mínimos necesarios ni las copias de seguridad que funcionen.
Si estás eligiendo hosting, pregunta al proveedor qué respalda, con qué frecuencia hace copias, cuánto tiempo las conserva, cuánto cuesta restaurarlas y si el soporte incluye SFTP y asistencia contra malware. Guarda por escrito las condiciones del plan, las condiciones de renovación, las reglas de reembolso, la política de uso aceptable y las exclusiones de seguridad antes de pagar.
Puntos clave
- Registra los síntomas y conserva tanto los archivos como la base de datos antes de limpiar.
- Actualiza WordPress, los plugins y los temas después de comprobar que no hay un incidente destructivo activo en curso.
- Usa contraseñas de administrador únicas, autenticación de dos factores (2FA), roles con permisos mínimos, SFTP y permisos de archivo limitados.
- Guarda al menos tres copias de seguridad en lugares separados y prueba una restauración.
- Trata los escáneres, los WAF, las copias de seguridad del hosting y las promesas de seguridad como controles limitados, no como garantías.
Proteger WordPress en el orden correcto: qué hacer hoy
Empieza por determinar si el sitio está comprometido, redirigido, mostrando una advertencia del navegador, enviando spam o simplemente no está disponible. Anota los síntomas visibles, la primera vez que se detectó el problema, los cambios recientes en plugins o temas y el entorno de hosting. Una caída repentina puede necesitar el soporte del hosting, mientras que las páginas inyectadas, los usuarios desconocidos, los archivos modificados o los mensajes de spam requieren una respuesta de seguridad.
Antes de limpiar, haz una copia de seguridad o una instantánea de los archivos del sitio y de la base de datos. Los archivos contienen el núcleo de WordPress, los plugins, los temas, los medios subidos y la configuración. La base de datos contiene entradas, páginas, usuarios, ajustes y otros datos del sitio. Una sin la otra puede no restaurar el sitio correctamente. Conserva el estado infectado cuando sea posible, para que el hosting o un especialista pueda investigarlo.
Si el sitio no está en medio de un incidente destructivo activo, actualiza WordPress, los plugins y los temas. WordPress indica que la versión principal más reciente es la única versión oficialmente compatible, así que las ramas anteriores pueden no recibir correcciones de seguridad. Instala software desde WordPress.org o de un desarrollador de confianza, porque los plugins son software PHP adicional y pueden ser incompatibles o tener un mantenimiento deficiente.
Elimina los plugins, temas y usuarios que no uses. Cambia las contraseñas de administrador por contraseñas largas y únicas, y luego activa 2FA para todos los administradores. El núcleo de WordPress no incluye 2FA, así que necesitas un plugin o un proveedor de identidad. Revisa el rol de cada cuenta y quita el acceso que ya no se necesita.
Pregunta al hosting si el plan exacto incluye copias de seguridad útiles, SFTP, asistencia contra malware y ayuda para restaurar. Confirma por escrito la frecuencia de las copias, el periodo de retención, el proceso de restauración y el costo de restauración. Si el hosting actual no puede ofrecer una ruta de recuperación viable, planifica un cambio solo después de tener una copia limpia y de haber revisado el hosting nuevo. Antes de cambiar, sigue los pasos para mover un sitio de WordPress a un nuevo proveedor.
¿Cómo gestionar las actualizaciones, los inicios de sesión, los roles y los plugins?
Mantén al día el núcleo de WordPress, los plugins y los temas, pero haz una copia de seguridad antes de un cambio importante y revisa el sitio después. WordPress introdujo las actualizaciones automáticas de plugins y temas en la versión 5.5. Cuando están activadas, normalmente se ejecutan dos veces al día, aunque la configuración del hosting u otro plugin pueden desactivarlas o interferir con ellas. Las actualizaciones automáticas reducen el retraso, pero no demuestran que cada actualización sea compatible con el sitio.
Usa una copia de prueba (staging) cuando el hosting la ofrezca y el cambio pueda afectar a una tienda, a un sistema de membresías o a un tema a medida. Después de actualizar, revisa la página de inicio, los formularios de contacto, el pago, el inicio de sesión, los medios y cualquier integración clave. Si algo se rompe, restaura la copia de seguridad probada o revierte la actualización específica, si el hosting o el plugin ofrece un método compatible. No borres el sitio anterior ni canceles el hosting anterior hasta que se hayan revisado el reemplazo y sus datos.
Usa una contraseña única y distinta para cada cuenta de administrador. WordPress advierte contra las contraseñas cortas, las palabras de diccionario y las contraseñas basadas en el nombre de una persona, de una empresa o de un sitio web. Añade 2FA a todos los administradores, no solo al titular de la cuenta. Si una cuenta pudo quedar expuesta, cambia su contraseña cuando el sitio esté limpio y actualiza las credenciales relacionadas, incluida la contraseña de la base de datos cuando corresponda.
Asigna a cada usuario el rol menos poderoso que permita su trabajo. Un Administrador puede gestionar toda la instalación de un solo sitio. Un Editor puede gestionar el contenido, pero no los plugins ni los temas. Un Autor puede publicar sus propias entradas, mientras que un Suscriptor solo puede gestionar su perfil. Revisa la lista de usuarios con regularidad y elimina las cuentas que ya no necesitan acceso.
Usa SFTP en lugar de FTP sin cifrar cuando el hosting lo ofrezca. Limita el acceso de escritura a los archivos según la configuración del servidor. WordPress indica el permiso 755 para directorios y 644 para archivos como un esquema general posible, pero esos valores no son universales. Cuando corresponda, define DISALLOW_FILE_EDIT para impedir que un atacante con sesión iniciada use el editor del panel. Esa configuración no bloquea todas las formas de subir un archivo malicioso.
Instala solo software de WordPress.org o de un desarrollador de confianza. Comprueba si un plugin es compatible con la versión actual de WordPress y si su mantenimiento se ajusta a las necesidades del sitio. Elimina los plugins y temas sin uso en lugar de dejarlos inactivos, porque el software antiguo puede seguir generando riesgos.
¿Cómo hacer copias de seguridad que de verdad permitan restaurar el sitio?
Una copia de seguridad es una copia de recuperación, no una barrera contra un ataque. Una restauración completa y normal de WordPress necesita tanto la base de datos como los archivos del sitio, incluidos el núcleo, los plugins, los temas, los medios subidos y los archivos de configuración. WordPress recomienda guardar al menos tres copias de seguridad en lugares distintos o en medios diferentes.
Elige la frecuencia según cuánto trabajo reciente puedes permitirte perder. Un sitio que publica a diario o procesa pedidos necesita copias más frecuentes que un sitio de folleto que cambia una vez al mes. El calendario debe cubrir la base de datos y los archivos, y las copias deben guardarse separadas del servidor en vivo para que un problema con una cuenta no afecte a todas las copias.
Pregunta al hosting exactamente qué cubre la copia de seguridad, con qué frecuencia se ejecuta, cuánto tiempo siguen disponibles las copias, si las copias están fuera del servidor y si la restauración tiene un costo adicional. Una copia del hosting puede requerir una solicitud de soporte y no ofrecer una recuperación inmediata. Guarda una copia separada a la que puedas acceder sin depender del hosting.
Prueba una restauración esta semana. Usa un sitio de staging u otra ubicación segura, restaura los archivos y la base de datos, y revisa los inicios de sesión, el contenido, los formularios, las imágenes y las transacciones importantes. Si la restauración falla, anota qué falta y pregunta al hosting o al proveedor de copias cómo corregirlo. No canceles la cuenta de hosting anterior hasta que la copia de reemplazo y el sitio en vivo funcionen como se espera.
Para una mudanza, conserva una copia de seguridad limpia, las credenciales de administrador, las credenciales de la base de datos, el acceso al DNS y un registro de las cuentas de correo. Confirma si la migración incluye el correo y el DNS o solo los archivos de WordPress. La guía de precios de renovación de hosting web puede ayudarte a revisar el costo de seguir con un hosting antes de comprometerte con un plazo nuevo.
¿Qué hacen los plugins de seguridad, los escáneres y los WAF?
Un escáner de malware busca archivos sospechosos o modificados y otros indicios. Puede identificar un problema que necesita revisión, pero un análisis puede pasar por alto un compromiso o marcar como sospechoso un archivo legítimo. Un escáner es una pista para la siguiente acción, no una garantía de que el sitio esté limpio.
Un firewall de aplicaciones web, o WAF, filtra el tráfico o las solicitudes antes de que lleguen a la aplicación o al servidor. Puede bloquear patrones maliciosos conocidos, limitar la frecuencia de las solicitudes y reducir parte del tráfico de fuerza bruta. Su protección se limita a lo que el firewall puede ver. No corrige una contraseña robada, una cuenta de administrador comprometida, archivos maliciosos que ya están en el servidor ni todos los problemas a nivel de aplicación.
Un plugin de seguridad puede combinar escaneo, reglas de firewall, protección de inicio de sesión, 2FA, alertas de vulnerabilidades, monitoreo de cambios en archivos y límite de solicitudes. Estas funciones pueden facilitar la vigilancia habitual, sobre todo para un titular que necesita recibir las alertas en un solo lugar. Aun así, el plugin no reemplaza las actualizaciones, las cuentas con permisos mínimos, las copias de seguridad independientes ni el trabajo de limpieza después de una intrusión.
Un hosting puede ofrecer controles a nivel de servidor, copias de seguridad, escaneo de malware o actualizaciones administradas. Pregunta qué familia de productos y qué plan exacto incluye cada función. El hosting compartido, el hosting administrado para WordPress, el hosting en la nube y los planes VPS pueden tener reglas de copias distintas, horarios de soporte, límites de correo, límites de inodos, alcance de migración y costos de restauración. «Ilimitado» debe leerse junto con las condiciones de uso justo o de inodos del plan.
Usa un plugin gratuito cuando puedas revisar las alertas y actuar en consecuencia. El monitoreo de pago o la respuesta administrada a incidentes pueden encajar en un negocio donde la caída cuesta más que el servicio, pero el contrato importa. Pregunta si el soporte cubre una instalación de WordPress o todos los sitios de la cuenta, si la limpieza está incluida y qué pasa cuando el sitio supera el límite indicado.
Wordfence y Sucuri: funciones, costos y límites
Wordfence ofrece un nivel gratuito con escaneo de malware, un firewall de endpoint, 2FA y protección contra fuerza bruta. Sus páginas del proveedor indican que las reglas de firewall y las firmas de malware del nivel gratuito tienen un retraso de 30 días. Ese retraso importa si quieres inteligencia actual sobre amenazas en cuanto Wordfence la publica.
Los productos de pago de Wordfence, Premium, Care y Response, añaden reglas y firmas de firewall en tiempo real, y los niveles superiores añaden monitoreo, trabajo de auditoría y asistencia ante incidentes. El monto anual exacto en EE. UU., el monto de renovación, el canal de facturación y las condiciones de reembolso deben confirmarse con Wordfence antes de comprar. El monto anual que se paga no es lo mismo que un pago mensual, aunque se muestre un equivalente mensual.
Wordfence Care y Response se aplican a una instalación de WordPress definida, y no a cada aplicación ni a cada sitio de un servidor. El acuerdo de servicio indica que Care cubre una instalación aislada de WordPress alojada en Linux y excluye los sitios alojados en Windows. También indica que los sitios más grandes y los sitios de staging o desarrollo pueden tener cargos adicionales en circunstancias específicas; revisa los montos actuales en el acuerdo de servicio antes de comprar. La página de precios de Wordfence, consultada el 31 de octubre de 2026, mostraba Premium a $149 al año, Care a $590 al año y Response a $1,250 al año.
Wordfence indica que su servicio no actualizará el núcleo de WordPress, los temas ni los plugins distintos de Wordfence. Eso te deja responsable de una parte del mantenimiento continuo, salvo que otro servicio se encargue de ello. Pregunta qué condiciones de instalación, monitoreo, limpieza, tiempo de respuesta, staging y almacenamiento aplican al plan exacto.
Sucuri describe su producto como un WAF en la nube y un servicio de prevención de intrusiones, un servicio de monitoreo y una plataforma de limpieza de malware. Su material técnico describe el WAF como un proxy inverso que inspecciona las solicitudes HTTP y HTTPS entrantes antes de que lleguen al servidor. Sucuri anuncia en su página de producto solicitudes ilimitadas de eliminación de malware, soporte 24/7/365 por tickets y una garantía de devolución de dinero de 30 días.
La página de producto de Sucuri no muestra un precio en dólares. Pide a Sucuri el precio actual del plan en EE. UU. antes de comprar, y luego confirma por escrito el plan anual, el monto de renovación, si el reembolso aplica, los límites de recursos, las exclusiones y el canal de facturación. Trata las afirmaciones de rendimiento y seguridad como afirmaciones del proveedor, salvo que una medición independiente identificada documente el método, el plan y la fecha.
Ninguno de los dos servicios garantiza que WordPress no pueda ser hackeado ni dejar de funcionar. Elige el producto que coincida con la tarea que puedes realizar, el soporte que necesitas y el costo de una caída. Un plugin gratuito puede encajar en un sitio de bajo riesgo con un titular atento. La respuesta administrada puede encajar en un negocio que necesita ayuda durante un incidente, pero los límites del contrato en cuanto a sitio, tamaño, plataforma y soporte determinan si aplica.
¿Qué debes hacer después de un hackeo o una advertencia de malware?
Anota qué pasó, cuándo empezó, los síntomas visibles, los cambios recientes y el entorno de hosting. Conserva una copia de seguridad o una instantánea que incluya el estado infectado cuando sea posible. Contacta al hosting, porque un compromiso puede afectar a otros sitios o al servidor, no solo a la instalación visible de WordPress. No sobrescribas la evidencia antes de haber conservado una copia.
Analiza el sitio con más de un método adecuado cuando sea posible, y también el equipo local que se usa para administrarlo. Una contraseña de administrador robada o un equipo local infectado pueden volver a introducir archivos maliciosos después de una limpieza del servidor. Si existe una copia de seguridad que se sabe limpia, restáurala después de confirmar que contiene la base de datos y los archivos necesarios. La restauración puede eliminar entradas, pedidos, comentarios o ajustes creados después de esa copia.
Si reconstruyes los archivos, WordPress recomienda reemplazar los directorios wp-admin y wp-includes de la misma versión por FTP o SFTP, en lugar de confiar solo en una reinstalación desde el panel. Revisa wp-content, .htaccess, index.php, header.php, footer.php y functions.php. Busca usuarios desconocidos, tareas programadas, redirecciones alteradas y plugins o temas que no reconozcas.
Después de la limpieza, actualiza WordPress, los plugins y los temas. Cambia las contraseñas otra vez, incluida la cuenta de la base de datos cuando corresponda, y actualiza wp-config.php. Investiga cómo entró el atacante y cierra esa vía, como una credencial expuesta, un plugin desactualizado, un permiso de archivo inseguro o una cuenta de administrador sin protección.
Si Google informa de un problema de seguridad, corrígelo primero y solicita una revisión desde el informe Security Issues de Search Console (Problemas de seguridad). Una revisión pide a Google que vuelva a evaluar el sitio corregido. No es un servicio de limpieza y no reemplaza el soporte del hosting ni la eliminación de malware.
Mantén disponible el entorno anterior hasta que se hayan revisado el sitio limpio, el DNS, los formularios, el correo, las copias de seguridad y el acceso de administrador. Si el hosting no ofrece copias de seguridad útiles, SFTP, asistencia contra malware o ayuda para restaurar, planifica un cambio con una copia limpia y un destino verificado. Si prefieres no administrar el sitio tú mismo, compara los mejores planes y costos de hosting administrado para WordPress.
¿Qué preguntas debes hacer antes de pagar por hosting o seguridad?
Pide al hosting que indique, para el plan exacto, qué respalda, con qué frecuencia hace copias, cuánto tiempo las conserva, dónde las guarda, cómo funciona la restauración y si restaurar tiene un costo adicional. Pregunta si la copia incluye tanto los archivos como la base de datos, si puedes descargar una copia y si el soporte puede restaurar una versión anterior.
Pregunta por SFTP, asistencia contra malware, cobertura del WAF, actualizaciones de plugins y temas, horarios de soporte, alcance de la migración, límites de correo, límites de inodos, reglas de uso justo, cobertura de SSL, ubicación del centro de datos y exclusiones de copias de seguridad. Verifica esas respuestas con las condiciones escritas del plan, la política de uso aceptable vigente y el acuerdo de suscripción.
Antes de pagar, confirma el plan anual exacto, el monto que se paga por adelantado, el monto de renovación, si el reembolso aplica, la ruta de cancelación y cualquier tiempo de bonificación por separado del tiempo pagado. Guarda una copia de las condiciones. En los servicios de seguridad, pregunta si el plan cubre un solo sitio, una instalación de Linux, un tamaño de sitio específico o un canal de facturación concreto.
Trata las afirmaciones del proveedor sobre rendimiento y seguridad como afirmaciones, salvo que una medición independiente identificada indique el método, el plan y la fecha. Una garantía de tiempo de actividad (uptime) es un contrato con condiciones y posibles créditos, no un registro de que el sitio se mantuvo en línea. Compara los límites y las exclusiones escritos antes de comprar, y luego elige el servicio cuyo proceso de recuperación realmente puedes usar.
Preguntas frecuentes
Las respuestas siguientes abordan las decisiones que vienen después de la lista de verificación.
¿Cómo protejo un sitio de WordPress paso a paso?
Confirma si el sitio está comprometido o solo no está disponible, anota los síntomas y conserva tanto los archivos como la base de datos. Luego actualiza el software de confianza, elimina los accesos que no se usan, añade contraseñas únicas y 2FA, revisa los permisos de archivos, crea copias de seguridad separadas y prueba una restauración.
¿Qué debo hacer primero si mi sitio de WordPress ha sido hackeado?
Conserva una copia de seguridad o una instantánea, incluido el estado infectado cuando sea posible, y contacta al hosting. Anota los síntomas y los cambios recientes antes de limpiar, porque reemplazar archivos demasiado pronto puede borrar información necesaria para identificar la vía de entrada.
¿Necesito un plugin de seguridad para WordPress?
Puede que lo necesites si quieres escaneo, protección de inicio de sesión, 2FA, alertas de cambios en archivos o controles de firewall en un solo lugar. El plugin sigue siendo una capa adicional, así que no reemplaza las actualizaciones, los roles con permisos mínimos, las copias de seguridad independientes ni la limpieza después de un incidente.
¿Con qué frecuencia debo hacer copias de seguridad de mi sitio de WordPress?
Haz copias con la frecuencia suficiente para que la cantidad de trabajo reciente que podrías perder sea aceptable. Una tienda o publicación que se actualiza con frecuencia necesita un intervalo más corto que un sitio que casi no cambia, y todo calendario debe incluir tanto los archivos como la base de datos.
¿Un firewall o un plugin de seguridad pueden detener todos los ataques a WordPress?
No. Un WAF filtra el tráfico que puede ver, y un plugin puede añadir escaneo y controles de inicio de sesión, pero ninguno corrige credenciales robadas, cuentas comprometidas, archivos maliciosos que ya están en el servidor ni todas las debilidades a nivel de aplicación.
¿Las copias de seguridad del hosting bastan para recuperar WordPress?
No siempre. Una copia del hosting puede requerir una solicitud de soporte, tener una retención limitada, excluir partes del sitio o tener un costo adicional para restaurarla, así que guarda una copia separada y prueba la restauración de los archivos y de la base de datos.
¿Debo usar las actualizaciones automáticas de WordPress?
Las actualizaciones automáticas pueden reducir el tiempo que los problemas conocidos permanecen sin parche, y WordPress admite actualizaciones automáticas de plugins y temas. Revisa el sitio después de las actualizaciones y conserva una copia de seguridad que puedas restaurar, porque la configuración del hosting, los conflictos entre plugins o el código a medida pueden interferir.
¿Cuál es la diferencia entre un escáner de malware y un WAF?
Un escáner busca archivos sospechosos e indicios después de que existen, mientras que un WAF filtra las solicitudes entrantes antes de que lleguen a la aplicación o al servidor. Un sitio puede necesitar ambos, pero ninguno demuestra que toda la actividad maliciosa se haya eliminado.
¿Cuándo debo pagar por seguridad administrada?
Paga cuando el costo de la caída, de la investigación o de la limpieza sea mayor que el costo del servicio y el contrato cubra tu sitio. Confirma el tipo de instalación del plan, el límite de tamaño del sitio, el tiempo de respuesta, el alcance de la limpieza, los horarios de soporte, las exclusiones, el precio anual, la renovación y las condiciones de reembolso.
¿Debo cambiar WordPress de hosting después de un problema de seguridad?
Cambia solo después de conservar una copia limpia y de revisar el nuevo entorno. Confirma que el destino admite la versión de WordPress requerida, SFTP, las cuentas de correo, el DNS, las copias de seguridad, la restauración y la asistencia contra malware antes de cancelar el servicio anterior.
Empieza por los controles que puedes verificar hoy y luego prueba si funcionan. Una configuración segura es un proceso repetible de actualizaciones, revisión de accesos, copias de seguridad separadas, pruebas de restauración y una respuesta rápida cuando cambien los síntomas.
Encuentra más reseñas y guías en Even Reviews. ¿Viste algo que corregir? Escríbenos e incluye el título de la página.
