¿Es segura mi web? Cómo comprobar la seguridad de tu WordPress en 15 minutos

«¿Mi web es segura?» es una de las preguntas que más me hacen, y casi siempre después de un susto: un aviso de Google, un correo raro o una web que de pronto va lenta. La buena noticia es que hay muchas cosas que puedes comprobar tú mismo, sin ser técnico y sin instalar nada. Estas son las comprobaciones de seguridad para WordPress que hago al empezar cualquier revisión, ordenadas de más fácil a menos. Con 15 minutos tendrás una idea bastante clara de cómo está tu web.

Un aviso antes de empezar: haz estas pruebas solo en tu propia web, o en una que gestiones con permiso de su dueño.

1. ¿Google te tiene marcado como sitio peligroso?

Es lo primero, porque si Google ha detectado malware, tus visitas ya están viendo una pantalla roja de aviso en lugar de tu web.

• Escribe tu dominio en el informe de Navegación Segura de Google. Debe decir «No se ha encontrado contenido no seguro».
• Si tienes Google Search Console, entra en Seguridad y acciones manuales → Problemas de seguridad. Si aparece algo ahí, es prioritario.
• Un escáner externo gratuito como Sucuri SiteCheck te da una segunda opinión sobre malware visible y listas negras.

Si aquí ya sale algo, no sigas con el resto de la lista: ve directamente a qué hacer si han hackeado tu WordPress.

2. El candado: certificado SSL bien configurado

• Abre tu web con http:// (sin la «s») y comprueba que te lleva sola a https://.
• Navega por varias páginas, no solo la portada: el candado debe salir en todas, sin avisos de «contenido mixto».
• Si quieres afinar, el test de SSL Labs te da una nota: lo razonable hoy es una A.

3. Salud del sitio: el chequeo que ya trae WordPress

Muy poca gente lo usa y es gratis. En el escritorio entra en Herramientas → Salud del sitio. Fíjate sobre todo en:

• La versión de PHP: si te avisa de que está desactualizada, ya no recibe parches de seguridad.
• Los avisos de plugins y temas inactivos o pendientes de actualizar.
• Si la web puede comunicarse con WordPress.org para recibir actualizaciones.

4. Actualizaciones: WordPress, plugins y tema

En Escritorio → Actualizaciones deberías ver todo al día. Más del 90 % de los problemas de seguridad que veo en WordPress vienen de plugins, y casi siempre de fallos que ya estaban corregidos en una versión nueva que nadie instaló.

Ojo con algo que pocos miran: que un plugin esté «actualizado» no significa que esté mantenido. Busca cada plugin en WordPress.org y mira la fecha de su última actualización. Si lleva más de un año sin cambios, o directamente ya no aparece, es un candidato a sustituir.

5. Plugins y temas que no usas

Un plugin desactivado sigue teniendo sus archivos en el servidor, y si tiene un fallo, se puede aprovechar igual. Lo mismo con los temas: deja el que usas (y su tema padre, si lo tiene) y borra el resto.

Y si alguno lo descargaste «gratis» de una web que no es la oficial, cámbialo cuanto antes: las versiones piratas de plugins de pago son una de las vías de infección más habituales.

6. Usuarios: ¿quién puede entrar en tu web?

En Usuarios → Todos los usuarios, filtra por Administrador y pregúntate por cada uno si sabes quién es y si todavía necesita ese acceso. Es muy habitual encontrar administradores de antiguas agencias, de un becario que ya no está o, peor, uno que nadie reconoce (señal de que alguien entró).

• Que ninguno se llame «admin»: es el primero que prueban los ataques automáticos.
• Activa la verificación en dos pasos al menos para los administradores.

Una prueba rápida: escribe en el navegador tu-web.es/?author=1. Si la dirección cambia a /author/tu-usuario/, cualquiera puede averiguar tu nombre de usuario, que es la mitad de lo que necesita para intentar entrar. No es grave por sí solo, pero conviene que tu nombre de usuario no coincida con el nombre que se muestra en la web.

7. Archivos que no deberían verse desde fuera

Esta parte es la que más sorpresas da. Prueba a abrir estas direcciones en tu navegador, cambiando tu-web.es por tu dominio:

• tu-web.es/wp-content/uploads/: si ves un listado de carpetas tipo «Index of», tu servidor permite curiosear todos tus archivos. Debería salir una página en blanco o un error.
• tu-web.es/wp-content/debug.log: si se descarga o muestra texto, tu web está publicando su registro de errores, que puede incluir rutas del servidor y otros datos internos.
• tu-web.es/readme.html: si existe, revela que usas WordPress y a veces la versión. Es un detalle menor, pero no aporta nada tenerlo público.

Pregunta también a quien te hizo la web si hay copias de seguridad (archivos .zip o .sql) guardadas dentro de la carpeta pública. Si alguien adivina el nombre, se descarga tu web entera con la base de datos.

8. La puerta trasera de XML-RPC

Abre tu-web.es/xmlrpc.php. Si ves el mensaje «XML-RPC server accepts POST requests only», está activo. Es un sistema antiguo que hoy casi nadie necesita (salvo algunas apps y el plugin Jetpack) y que se usa mucho para probar contraseñas de forma masiva. Si no lo usas, lo mejor es desactivarlo.

9. Cabeceras de seguridad

Las cabeceras son instrucciones que tu servidor envía al navegador para protegerse de ciertos ataques. En securityheaders.com escribes tu dominio y te da una nota de la A a la F. Muchas webs sacan una F sin saberlo. No es lo primero que hay que arreglar, pero subir de nota es sencillo y suma.

10. Copias de seguridad: la comprobación que de verdad importa

No basta con «tener copias». Responde a estas tres preguntas:

• ¿Se hacen solas? Archivos y base de datos, con la frecuencia que cambie tu web.
• ¿Están fuera del servidor? Si el servidor cae o lo atacan, las copias que están dentro se pierden con él.
• ¿Alguna vez has restaurado una? Una copia que nunca se ha probado es una esperanza, no una copia.

11. Accesos fuera de WordPress

La seguridad de tu web no termina en el escritorio de WordPress. Revisa también las contraseñas y los usuarios del panel del hosting, del FTP, de la base de datos y de las cuentas de correo del dominio. Si alguien entra en tu hosting, da igual lo bien protegido que tengas WordPress.

12. ¿Tu web se está portando raro?

Hay señales que no salen en ningún escáner y que conviene no ignorar:

• Va más lenta de repente, sin que hayas cambiado nada.
• Aparecen en Google páginas tuyas que no reconoces, a veces en otros idiomas.
• Tu hosting te avisa de un consumo anormal o de envío masivo de correos.
• Algunos visitantes te dicen que la web les redirige a otra página, sobre todo desde el móvil.

Cualquiera de estas cosas merece una revisión a fondo.

Lo que estas pruebas no ven

Con esta lista detectas los problemas más visibles, y eso ya es mucho. Pero hay cosas que solo se ven desde dentro: código malicioso escondido en archivos del tema o en la base de datos, permisos del servidor mal configurados, plugins con fallos conocidos que aún no se han hecho públicos en tu panel, o formularios que se pueden usar para enviar spam.

Eso es lo que reviso en una auditoría. Soy programador con más de 10 años de experiencia en WordPress y tengo un Máster en Ciberseguridad, así que sé dónde mirar y, sobre todo, cómo explicártelo sin tecnicismos.

¿Quieres que lo revise por ti?

• Con una auditoría de seguridad WordPress reviso tu web a fondo y te entrego un informe claro, con cada riesgo ordenado por gravedad y cómo solucionarlo.
• Si prefieres olvidarte, con el mantenimiento web me encargo cada mes de las actualizaciones, las copias y la vigilancia.
• Si alguna prueba te ha dado un mal resultado y crees que tu web ya está infectada, mira la limpieza de malware en WordPress.

Y si quieres una lista de buenas prácticas para dejar tu web bien protegida desde el principio, la tienes en seguridad en WordPress para pymes.