SEGURIDAD · WORDPRESS

Los hackeos de WordPress continúan: por qué ocurren y cómo proteger tu web

WordPress es el gestor de contenidos más usado del mundo, y justo por eso es también el objetivo de ataque más frecuente. La buena noticia es que la mayoría de los hackeos no aprovecha un fallo profundo del sistema, sino descuidos evitables: un plugin sin actualizar, una contraseña débil, un formulario de registro abierto que nadie vigila. Este artículo repasa, de forma concreta y sin dramatismos, qué revisar y qué hacer.

¿Por qué WordPress es el objetivo de ataque más frecuente del mundo?

WordPress hace funcionar una parte enorme de las webs del planeta. Esa cuota de mercado es también su punto débil: cuando un atacante encuentra una forma de entrar en una instalación típica de WordPress, esa misma técnica sirve para millones de sitios más. Por eso el trabajo se automatiza. No hay una persona eligiendo tu web a mano; hay bots que recorren internet probando las mismas cerraduras conocidas, una tras otra, día y noche.

Conviene separar dos cosas. El núcleo de WordPress, el software base que mantiene el proyecto, está razonablemente bien cuidado y sus fallos se corrigen rápido. El problema está en todo lo que se apila encima: la plantilla, el maquetador y la decena de plugins que convierten una web sencilla en una torre de piezas de terceros, cada una con su propio calendario de mantenimiento y su propia calidad.

¿De dónde vienen realmente los hackeos de WordPress?

Si miras los informes de seguridad del sector, el patrón se repite año tras año. La inmensa mayoría de las intrusiones no explota un agujero en el núcleo de WordPress, sino plugins y plantillas vulnerables, muchas veces por estar sin actualizar, y credenciales débiles o reutilizadas. Son problemas de mantenimiento y de higiene, no de tecnología imposible de arreglar.

La buena noticia de esto es que la mayor parte del riesgo está bajo tu control. No necesitas ser experto en seguridad para cerrar las rutas más habituales; necesitas revisar unas pocas cosas y hacerlo de forma constante. Elaboramos una lista de los cinco puntos más importantes que conviene revisar. Los vemos a continuación uno por uno:

1. La calidad, la fuente y el autor de cada plugin
2. Instalar las actualizaciones con frecuencia
3. Evitar y eliminar los plugins innecesarios
4. Desactivar los comentarios y el registro si no los necesitas
5. Buena higiene de usuarios y contraseñas para todas las cuentas

¿Cómo eliges plugins seguros y de fuente fiable?

Un plugin no es un simple añadido decorativo: es software que corre dentro de tu sitio y puede leer y escribir en tu base de datos. Por eso el riesgo empieza en el momento de elegirlo. Instala solo plugins con buena reputación desde una fuente de confianza, como el directorio oficial de wordpress.org o un autor conocido y establecido.

Antes de instalar, dedica dos minutos a comprobar señales sencillas. ¿Cuándo se actualizó por última vez? Un plugin que lleva un año sin tocarse es una bandera roja. ¿Cuántas instalaciones activas tiene y qué valoraciones? ¿El autor responde a los problemas de seguridad? Un plugin popular y mantenido de forma activa recibe correcciones rápidas cuando aparece una vulnerabilidad; uno abandonado se queda con el agujero abierto para siempre. Evita las versiones "nulled" o pirateadas de plugins de pago: son una vía habitual de infección.

¿Con qué frecuencia debes instalar las actualizaciones?

Cuando se publica una corrección de seguridad, el detalle del fallo se hace público. A partir de ese momento, los bots empiezan a buscar precisamente las webs que aún no han aplicado el parche. Por eso el tiempo importa: cada día que tu instalación va por detrás es un día en que la cerradura está descrita en internet para cualquiera que quiera probarla.

En la práctica: activa las actualizaciones automáticas al menos para las de seguridad, tanto del núcleo como de los plugins. Revisa el sitio con regularidad, por ejemplo una vez por semana, para instalar el resto de actualizaciones y comprobar que nada se ha roto. Haz una copia de seguridad antes de las actualizaciones grandes, para poder volver atrás si un cambio provoca un conflicto. Es un trabajo modesto, pero constante, y no se puede saltar.

¿Por qué conviene eliminar los plugins innecesarios?

Es fácil ir acumulando plugins: uno para un formulario, otro para una galería que probaste una vez, un tercero que vino con una plantilla antigua. Cada uno de ellos es código que puede contener una vulnerabilidad, y su archivo sigue en el servidor aunque no lo estés usando. Un plugin desactivado pero no borrado todavía puede ser una vía de entrada.

La regla es sencilla: si no lo necesitas, elimínalo del todo, no te limites a desactivarlo. Revisa tu lista de plugins cada cierto tiempo y quítate de encima lo que no aporta. Menos piezas móviles significa menos cosas que actualizar, menos cosas que puedan romperse y menos puertas que vigilar. La superficie de ataque más segura es la que no existe.

¿Deberías desactivar los comentarios y el registro de usuarios?

Muchos sitios de empresa llevan activados los comentarios y el registro de usuarios sin ninguna razón, simplemente porque venían encendidos por defecto. Ambos son funciones que aceptan datos de desconocidos, y eso las convierte en objetivos. Los comentarios abiertos se llenan de spam con enlaces, y en el peor caso son una vía para intentar inyectar contenido. El registro libre permite que los bots creen cuentas en masa en tu sitio.

Si tu web no depende de una comunidad de comentarios ni necesita que la gente se registre, desactiva las dos cosas en los ajustes de WordPress. Si sí necesitas comentarios, exige moderación antes de publicar y considera un filtro anti-spam. Cerrar una función que no usas no te quita nada y elimina de golpe una categoría entera de problemas.

¿Qué es una buena higiene de usuarios y contraseñas?

Los bots prueban sin descanso combinaciones de usuario y contraseña en la página de acceso de WordPress. Contra eso, la defensa es básica pero muy efectiva. Usa contraseñas largas, únicas y aleatorias en cada cuenta, idealmente guardadas en un gestor de contraseñas, y no reutilices la misma en varios servicios. Una contraseña filtrada en otro sitio es una llave que alguien ya tiene.

Activa la verificación en dos pasos para todas las cuentas con permisos de administración: aunque adivinen la contraseña, sin el segundo factor no entran. Evita el nombre de usuario admin, que es lo primero que prueban los bots, y da a cada persona solo los permisos que necesita. Revisa la lista de usuarios de vez en cuando y elimina las cuentas antiguas de colaboradores o proveedores que ya no trabajan contigo: cada cuenta abierta es una puerta más.

¿Cuál es el plan a largo plazo: dejar WordPress por un sitio estático?

Endurecer WordPress funciona, y si te quedas con él, conviene hacer todo lo anterior. Pero merece la pena ser honestos: el endurecimiento es un trabajo de mantenimiento que no termina nunca y no elimina el problema de fondo. Mientras tengas una amplia superficie de plugins y un flujo constante de actualizaciones, seguirás dedicando tiempo, semana tras semana, a mantener las cerraduras cerradas.

Por eso, cada vez más pymes hacen un plan a largo plazo para salir de WordPress y pasar a páginas estáticas, como las que genera la plataforma de Novavalo. Un sitio estático no tiene base de datos, ni panel de acceso, ni plugins que ejecuten código en cada visita. Simplemente no existe la maquinaria que los atacantes buscan. La superficie de ataque se reduce a una fracción, desaparecen las actualizaciones de seguridad semanales y la página se sirve rápido desde una CDN.

El camino de transición puede ser ligero y ordenado: inventaría el contenido actual (páginas, textos, imágenes), reconstruye lo equivalente en páginas estáticas, redirige las URLs antiguas a las nuevas para no perder posicionamiento, y por último cierra WordPress de forma controlada. No hace falta hacerlo todo de golpe. En Novavalo, la inteligencia artificial puede construir un sitio equivalente con rapidez, y tú editas los textos y las imágenes directamente en el navegador. Si quieres el trasfondo, contamos por qué dejamos WordPress y repasamos la historia de los sitios web, del HTML estático a WordPress y de vuelta a lo estático con IA.

Preguntas frecuentes