WordPress es seguro cuando se mantiene bien. La mayoría de sitios vulnerados no caen por fallas del propio WordPress, sino por contraseñas débiles, plugins sin actualizar o la falta de copias de seguridad. Estos 12 pasos cubren lo esencial.

Accesos

1. Contraseñas largas y únicas para cada administrador, guardadas en un gestor de contraseñas.
2. Verificación en dos pasos (2FA) para todas las cuentas con permisos de edición.
3. Sin usuario «admin» y con los permisos mínimos que cada persona necesita.
4. Límite de intentos de inicio de sesión para frenar ataques de fuerza bruta.

Actualizaciones

5. WordPress, tema y plugins al día. Las actualizaciones corrigen fallas que los atacantes ya conocen.
6. Solo plugins y temas de fuentes oficiales y con licencia. Las versiones «gratis» de productos de pago suelen traer código malicioso.
7. Elimina lo que no usas: plugins y temas desactivados siguen siendo una puerta.

Servidor y configuración

8. HTTPS en todo el sitio, con redirección forzada desde http.
9. Firewall de aplicación, desde un plugin de seguridad o desde tu hosting.
10. Desactiva la edición de archivos desde el panel y XML-RPC si no lo usas.

Respaldo y monitoreo

11. Copias de seguridad automáticas fuera del servidor, por ejemplo en la nube, y prueba restaurarlas de vez en cuando.
12. Monitoreo de disponibilidad y de cambios en archivos, con alertas por correo.

Si tu web ya fue atacada

• Cambia todas las contraseñas: WordPress, hosting, base de datos y correo.
• Restaura una copia limpia o limpia los archivos modificados.
• Actualiza todo y revisa usuarios administradores desconocidos.
• Pide a Google una nueva revisión si tu sitio fue marcado como peligroso.

Conclusión

La seguridad de WordPress es un hábito, no una tarea única. Con accesos protegidos, todo actualizado y copias de seguridad que funcionan, reduces mucho el riesgo y, si algo pasa, vuelves a estar en línea rápido.