La mayoría de las webs que se hackean no son objetivos elegidos a mano: son webs que alguien encontró de forma automática porque tenían una puerta abierta. La buena noticia es que cerrar casi todas esas puertas no es complicado. Esta es la lista que reviso en el WordPress de cualquier negocio, ordénala y ve marcando.
Actualizaciones
- WordPress, plugins y tema al día. La mayoría de los ataques aprovechan fallos ya corregidos en versiones nuevas. Actualiza con regularidad, mejor con una copia de seguridad antes.
- Fuera los plugins y temas que no usas. Aunque estén desactivados, sus archivos siguen ahí y pueden tener fallos.
- Nada de plugins o temas «gratis» de páginas no oficiales. Las versiones piratas de plugins de pago suelen venir con código malicioso incluido.
- Una versión de PHP con soporte. Revísala en el panel de tu hosting: las versiones antiguas ya no reciben parches de seguridad.
Usuarios y contraseñas
- Ningún usuario llamado «admin». Es el primero que prueban los ataques automáticos.
- Contraseñas largas y únicas para WordPress, el hosting, el FTP y el correo. Un gestor de contraseñas te lo pone fácil.
- Verificación en dos pasos para los administradores.
- Cada persona con su usuario y solo con los permisos que necesita: quien escribe en el blog no tiene por qué ser administrador.
- Revisa la lista de usuarios de vez en cuando y borra los de personas que ya no trabajan contigo.
- Limita los intentos de acceso para frenar los ataques que prueban contraseñas una y otra vez.
Copias de seguridad
- Automáticas, de los archivos y de la base de datos.
- Guardadas fuera del servidor (Google Drive, Dropbox…): si el servidor falla o lo atacan, las copias que están dentro se pierden con él.
- Probadas. Una copia que nunca has restaurado no sabes si funciona.
Configuración
- Certificado SSL (el candado) en toda la web, no solo en la portada.
- Un cortafuegos, ya sea el de tu hosting o un plugin como Wordfence.
- Edición de archivos desactivada desde el escritorio, añadiendo
define( 'DISALLOW_FILE_EDIT', true );alwp-config.php: si alguien consigue entrar, no podrá tocar el código desde ahí. - Formularios con antispam (reCAPTCHA o similar), para que no se usen para enviar basura.
- Un hosting fiable, que aísle tu web de las demás y tenga sus propias copias y vigilancia.
Vigilancia
- Avisos de cambios en archivos y de accesos sospechosos.
- Google Search Console conectado: es el primero que te avisa si detecta malware en tu web.
- Revisión periódica de que formularios, pagos y páginas clave funcionan.
Ten un plan por si pasa
Aunque lo hagas todo bien, el riesgo cero no existe. Ten a mano quién te ayuda, dónde están las copias y las contraseñas del hosting. Si un día ocurre, en qué hacer si han hackeado tu WordPress te explico los primeros pasos.
¿Quieres saber cómo de segura está tu web?
Si no tienes tiempo de revisar todo esto, o quieres que lo revise alguien que sabe dónde mirar, te ayudo:
- Con una auditoría de seguridad reviso tu WordPress, WooCommerce o PrestaShop y te entrego un informe claro con cada riesgo ordenado por gravedad.
- Con el mantenimiento web me encargo de las actualizaciones, las copias y la vigilancia todos los meses.
- Y si tu web ya está infectada, mira la limpieza de malware en WordPress.
