Cómo mantener la seguridad en nuestro WordPress

Para mantener seguro un WordPress conviene combinar varias medidas: actualizar el núcleo, los plugins y los temas, hacer copias de seguridad de archivos y base de datos que se puedan restaurar, usar contraseñas únicas con verificación en dos pasos, dar a cada usuario el mínimo privilegio y eliminar lo que no se use. Ninguna medida garantiza un riesgo cero.

WordPress es uno de los gestores de contenidos más usados, y por eso es un objetivo habitual de ataques automáticos. La buena noticia es que la mayoría de los problemas se previenen con hábitos básicos y constantes. Ninguna medida garantiza un riesgo cero, pero sí reduce mucho la probabilidad de un incidente y su impacto.

En esta guía repasamos las medidas esenciales, siguiendo las recomendaciones de endurecimiento de WordPress.org.

Mantén todo actualizado

WordPress.org recuerda que las versiones antiguas del núcleo dejan de recibir correcciones de seguridad. Lo mismo ocurre con los plugins y los temas: una actualización suele cerrar vulnerabilidades ya conocidas.

• Actualiza el núcleo de WordPress, los plugins y los temas con regularidad, o activa las actualizaciones automáticas.
• Mantén también actualizada la versión de PHP de tu alojamiento. Los requisitos recomendados por WordPress indican PHP 8.3 o superior y avisan de que las versiones antiguas están fuera de soporte.
• Descarga WordPress, plugins y temas solo de fuentes de confianza, como wordpress.org.

Haz copias de seguridad que puedas restaurar

Una copia de seguridad es lo que te permite recuperarte de un fallo, de una actualización que sale mal o de un ataque. Según WordPress.org, una copia completa incluye dos partes: los archivos (núcleo, plugins, temas y subidas) y la base de datos. Sin las dos no se puede restaurar la web entera.

• Haz una copia semanal si la web cambia poco y diaria si cambia a menudo. Haz siempre una antes de actualizar o migrar.
• Guarda varias copias recientes y en sitios distintos: el servidor, la nube o tu equipo. Si solo está en el mismo servidor, un fallo grave se las lleva también.
• Comprueba de vez en cuando que la copia se restaura. Una copia que nunca has probado es una suposición.

Con un plugin o a mano

Puedes automatizarlas con un plugin de copias del directorio de WordPress.org o con las copias de tu alojamiento web, si las incluye. Si prefieres hacerlo a mano, descarga los archivos por FTP o SFTP y exporta la base de datos desde phpMyAdmin con la opción «Exportar». Hazlo con cuidado y no sobrescribas nada en el servidor sin tener otra copia.

Protege el acceso: contraseñas y verificación en dos pasos

• Usa contraseñas largas y únicas, mejor con un gestor de contraseñas. Evita nombres, el nombre del sitio o palabras del diccionario.
• Activa la verificación en dos pasos (2FA) en las cuentas de administrador.
• No uses el usuario «admin» por defecto.
• Cuando alguien deje de colaborar contigo, elimina su cuenta.

Aplica el principio de mínimo privilegio

Cada persona y cada pieza de software debe tener solo los permisos que necesita. WordPress.org lo recomienda en varios niveles:

• Usuarios: da el rol de administrador solo a quien lo necesite. Un redactor no necesita instalar plugins.
• Archivos: que solo tu cuenta pueda escribirlos y que el servidor tenga permiso de escritura únicamente donde haga falta, como wp-content. Las pautas de WordPress.org son 755 para carpetas, 644 para archivos y un permiso más restringido para wp-config.php.
• Base de datos: el usuario de la base de datos solo debe tener los permisos de lectura y escritura necesarios, y cada web debería tener su propia base de datos y su propio usuario.
• Editor del panel: desactiva la edición de archivos desde el escritorio de WordPress.

define( 'DISALLOW_FILE_EDIT', true );

Esa línea se añade a wp-config.php y quita el editor de código del panel. Haz antes una copia, porque un error en ese fichero puede dejar la web sin funcionar.

Plugins y temas: menos y de confianza

Cada plugin es código que se ejecuta en tu web. WordPress.org aconseja eliminar los plugins y temas que no uses, mantener actualizados los demás e instalarlos solo desde fuentes de confianza.

• Elige plugins con mantenimiento activo, actualizaciones recientes y buena reputación en el directorio oficial.
• Evita los plugins y temas «nulled», es decir, versiones de pago descargadas de sitios no oficiales. Suelen incluir código malicioso.
• Desactivar un plugin no basta: si no lo usas, elimínalo.

¿Y los plugins de seguridad?

Un plugin de seguridad con cortafuegos y analizador de archivos puede añadir una capa más, pero no sustituye a lo anterior: no arregla una contraseña débil ni un plugin sin actualizar. Si instalas uno, que sea de un desarrollador reconocido, con soporte activo, y no instales varios a la vez, porque pueden entrar en conflicto.