WordPress alimenta el 43% de tots els llocs web del món. Això el converteix en l'objectiu favorit dels atacants automatitzats. La bona notícia és que la majoria dels atacs reeixits s'aprofiten de configuracions per defecte que es poden corregir en menys d'una hora. Aquí tens les 8 més importants.
Dada important: El 90% dels WordPress compromesos ho són per plugins desactualitzats o contrasenyes febles, no per vulnerabilitats al nucli de WordPress. La configuració que estàs a punt de llegir mitiga exactament això.
Canvia el prefix de les taules de la base de dades
Per defecte, WordPress usa el prefix wp_ per a totes les seves taules. Qualsevol intent automatitzat de SQL Injection ho sap i ho prova directament. Canviar aquest prefix durant la instal·lació elimina un vector d'atac trivial.
Elimina l'usuari "admin" per defecte
El nom d'usuari "admin" és el primer que proven els atacs de força bruta. Si el mantens, l'atacant ja té la meitat de la feina feta — només li falta la contrasenya.
Usa contrasenyes fortes i úniques
Una contrasenya com "empresa2026" pot trencar-se en segons amb atacs de diccionari. WordPress genera contrasenyes segures automàticament — usa-les, o usa un gestor de contrasenyes.
Activa l'autenticació en dos passos (2FA)
Encara que algú aconsegueixi la teva contrasenya, el 2FA impedeix l'accés sense el segon factor (el teu mòbil). És la mesura de major impacte per menor esforç en qualsevol WordPress.
Limita els intents de login fallits
Per defecte, WordPress permet intents de login il·limitats. Un atac de força bruta pot provar milers de contrasenyes per hora. Limitar els intents ho fa inviable.
Mantingues WordPress, temes i plugins actualitzats
El 60% de les vulnerabilitats conegudes en WordPress tenen pedaç disponible — el problema és que ningú l'instal·la. Cada actualització pendent és una vulnerabilitat amb exploit públic.
Desactiva l'edició d'arxius des del panell
L'editor d'arxius de WordPress permet modificar PHP directament des del navegador. Si algú compromet una compte admin, pot injectar codi maliciós sense tocar el servidor.
define('DISALLOW_FILE_EDIT', true);
Configura backups automàtics diaris externs
Un backup no val de res si està en el mateix servidor que la web compromesa. Els backups han de ser automàtics, diaris i emmagatzemats en un servei extern.
I si ja tinc la web publicada?
No és tard. Pots aplicar la majoria d'aquests canvis en una web ja publicada sense afectar el funcionament. L'ordre recomanat si parteixes de zero:
- Actualitza WordPress, plugins i temes a les seves últimes versions.
- Canvia contrasenyes de tots els usuaris administradors.
- Activa 2FA per a administradors.
- Instal·la i configura Limit Login Attempts Reloaded.
- Afegeix DISALLOW_FILE_EDIT al wp-config.php.
- Configura backups automàtics externs amb UpdraftPlus.
- Verifica les teves capçaleres de seguretat HTTP.
- Si tens dubtes sobre vulnerabilitats existents, contracta una auditoria.
Vols que revisem el teu WordPress?
Auditem la teva instal·lació amb eines específiques per a WordPress: WPScan, anàlisi de plugins, configuracions exposades i proves manuals.
Veure auditoria web →