WordPress alimenta el 43% de todos los sitios web del mundo. Eso lo convierte en el objetivo favorito de los atacantes automatizados. La buena noticia es que la mayoría de los ataques exitosos se aprovechan de configuraciones por defecto que se pueden corregir en menos de una hora. Aquí tienes las 8 más importantes.
Dato importante: El 90% de los WordPress comprometidos lo son por plugins desactualizados o contraseñas débiles, no por vulnerabilidades en el núcleo de WordPress. La configuración que estás a punto de leer mitiga exactamente eso.
Cambia el prefijo de las tablas de la base de datos
Por defecto, WordPress usa el prefijo wp_ para todas sus tablas. Cualquier intento automatizado de SQL Injection lo sabe y lo prueba directamente. Cambiar este prefijo durante la instalación (o con un plugin como Brozzme DB Prefix) elimina un vector de ataque trivial.
Elimina el usuario "admin" por defecto
El nombre de usuario "admin" es el primero que prueban los ataques de fuerza bruta. Si lo mantienes, el atacante ya tiene la mitad del trabajo hecho — solo le falta la contraseña.
Usa contraseñas fuertes y únicas
Una contraseña como "empresa2026" puede romperse en segundos con ataques de diccionario. WordPress genera contraseñas seguras automáticamente — úsalas, o usa un gestor de contraseñas como Bitwarden.
Activa la autenticación en dos pasos (2FA)
Aunque alguien consiga tu contraseña, el 2FA impide el acceso sin el segundo factor (tu móvil). Es la medida de mayor impacto por menor esfuerzo en cualquier WordPress.
Limita los intentos de login fallidos
Por defecto, WordPress permite intentos de login ilimitados. Un ataque de fuerza bruta puede probar miles de contraseñas por hora. Limitar los intentos lo hace inviable.
Mantén WordPress, temas y plugins actualizados
El 60% de las vulnerabilidades conocidas en WordPress tienen parche disponible — el problema es que nadie lo instala. Cada actualización pendiente es una vulnerabilidad con exploit público.
Desactiva la edición de archivos desde el panel
El editor de archivos de WordPress (Apariencia → Editor de temas) permite modificar PHP directamente desde el navegador. Si alguien compromete una cuenta admin, puede inyectar código malicioso sin tocar el servidor.
define('DISALLOW_FILE_EDIT', true);
Configura backups automáticos diarios externos
Un backup no vale de nada si está en el mismo servidor que la web comprometida. Los backups deben ser automáticos, diarios y almacenados en un servicio externo (Google Drive, Dropbox, S3).
¿Y si ya tengo la web publicada?
No es tarde. Puedes aplicar la mayoría de estos cambios en una web ya publicada sin afectar al funcionamiento. El orden recomendado si partes de cero:
- Actualiza WordPress, plugins y temas a sus últimas versiones.
- Cambia contraseñas de todos los usuarios administradores.
- Activa 2FA para administradores.
- Instala y configura Limit Login Attempts Reloaded.
- Añade DISALLOW_FILE_EDIT al wp-config.php.
- Configura backups automáticos externos con UpdraftPlus.
- Verifica tus headers de seguridad HTTP.
- Si tienes dudas sobre vulnerabilidades existentes, contrata una auditoría.
¿Quieres que revisemos tu WordPress?
Auditamos tu instalación con herramientas específicas para WordPress: WPScan, análisis de plugins, configuraciones expuestas y pruebas manuales.
Ver auditoría web →