--- title: "Cómo mantener la seguridad en nuestro WordPress" url: "https://piensaenweb.com/como-mantener-seguro-nuestro-wordpress/" language: es-ES published: "2020-12-29T09:30:00+01:00" updated: "2026-10-19T00:00:00+02:00" author: "Piensaenweb" category: "Diseño web" summary: "Para mantener seguro un WordPress conviene combinar varias medidas: actualizar el núcleo, los plugins y los temas, hacer copias de seguridad de archivos y base de datos que se puedan restaurar, usar contraseñas únicas con verificación en dos pasos, dar a cada usuario el mínimo privilegio y eliminar lo que no se use. Ninguna medida garantiza un riesgo cero." publisher: "Piensaenweb" --- # Cómo mantener la seguridad en nuestro WordPress > Para mantener seguro un WordPress conviene combinar varias medidas: actualizar el núcleo, los plugins y los temas, hacer copias de seguridad de archivos y base de datos que se puedan restaurar, usar contraseñas únicas con verificación en dos pasos, dar a cada usuario el mínimo privilegio y eliminar lo que no se use. Ninguna medida garantiza un riesgo cero. WordPress es uno de los gestores de contenidos más usados, y por eso es un objetivo habitual de ataques automáticos. La buena noticia es que la mayoría de los problemas se previenen con hábitos básicos y constantes. Ninguna medida garantiza un riesgo cero, pero sí reduce mucho la probabilidad de un incidente y su impacto. En esta guía repasamos las medidas esenciales, siguiendo las [recomendaciones de endurecimiento de WordPress.org](https://developer.wordpress.org/advanced-administration/security/hardening/). ## Autodiagnóstico: ¿está tu WordPress protegido? Ocho preguntas de sí o no para saber por dónde empezar. Se resuelve en tu navegador: no se envía ni se guarda nada. 1. ¿Actualizas WordPress, los plugins y el tema al menos una vez al mes? - Sí - A veces o no lo sé - No 2. ¿Usas una versión de PHP que todavía recibe parches de seguridad? - Sí - A veces o no lo sé - No 3. ¿Tienes copias de seguridad automáticas guardadas fuera del servidor? - Sí - A veces o no lo sé - No 4. ¿Has comprobado alguna vez que esas copias se pueden restaurar? - Sí - A veces o no lo sé - No 5. ¿Todas las cuentas de administrador usan contraseña larga y única? - Sí - A veces o no lo sé - No 6. ¿Tienes activada la verificación en dos pasos en las cuentas con permisos altos? - Sí - A veces o no lo sé - No 7. ¿Has eliminado los plugins y temas que no usas? - Sí - A veces o no lo sé - No 8. ¿Todos tus plugins se han actualizado en los últimos meses y vienen de fuentes de confianza? - Sí - A veces o no lo sé - No **Resultados posibles** - **Tu punto débil: las actualizaciones**. Es la puerta de entrada más habitual. Empieza por poner al día el núcleo, los plugins, el tema y la versión de PHP. - **Tu punto débil: las copias de seguridad**. Sin una copia que funcione, cualquier fallo puede ser definitivo. Automatízalas, guárdalas fuera del servidor y prueba a restaurar una. - **Tu punto débil: los accesos**. Contraseñas débiles o repetidas y cuentas sin verificación en dos pasos son un riesgo fácil de evitar. - **Tu punto débil: los plugins y temas**. Cada plugin es código que se ejecuta en tu web. Quita lo que no uses y revisa que el resto tenga mantenimiento. - **Vas por buen camino**. Tienes cubiertos los básicos. Mantén la rutina y revisa de vez en cuando los permisos de cada usuario y del servidor. ## Mantén todo actualizado WordPress.org recuerda que las versiones antiguas del núcleo dejan de recibir correcciones de seguridad. Lo mismo ocurre con los plugins y los temas: una actualización suele cerrar vulnerabilidades ya conocidas. - Actualiza el núcleo de WordPress, los plugins y los temas con regularidad, o activa las actualizaciones automáticas. - Mantén también actualizada la versión de PHP de tu alojamiento. Los [requisitos recomendados por WordPress](https://wordpress.org/about/requirements/) indican PHP 8.3 o superior y avisan de que las versiones antiguas están fuera de soporte. - Descarga WordPress, plugins y temas solo de fuentes de confianza, como wordpress.org. ## Haz copias de seguridad que puedas restaurar Una copia de seguridad es lo que te permite recuperarte de un fallo, de una actualización que sale mal o de un ataque. Según [WordPress.org](https://developer.wordpress.org/advanced-administration/security/backup/), una copia completa incluye dos partes: los archivos (núcleo, plugins, temas y subidas) y la base de datos. Sin las dos no se puede restaurar la web entera. - Haz una copia semanal si la web cambia poco y diaria si cambia a menudo. Haz siempre una antes de actualizar o migrar. - Guarda varias copias recientes y en sitios distintos: el servidor, la nube o tu equipo. Si solo está en el mismo servidor, un fallo grave se las lleva también. - Comprueba de vez en cuando que la copia se restaura. Una copia que nunca has probado es una suposición. ### Con un plugin o a mano Puedes automatizarlas con un plugin de copias del directorio de WordPress.org o con las copias de tu [alojamiento web](https://piensaenweb.com/alojamiento-web/), si las incluye. Si prefieres hacerlo a mano, descarga los archivos por FTP o SFTP y exporta la base de datos desde phpMyAdmin con la opción «Exportar». Hazlo con cuidado y no sobrescribas nada en el servidor sin tener otra copia. ## Protege el acceso: contraseñas y verificación en dos pasos - Usa contraseñas largas y únicas, mejor con un gestor de contraseñas. Evita nombres, el nombre del sitio o palabras del diccionario. - Activa la verificación en dos pasos (2FA) en las cuentas de administrador. - No uses el usuario «admin» por defecto. - Cuando alguien deje de colaborar contigo, elimina su cuenta. ## Aplica el principio de mínimo privilegio Cada persona y cada pieza de software debe tener solo los permisos que necesita. WordPress.org lo recomienda en varios niveles: - **Usuarios:** da el rol de administrador solo a quien lo necesite. Un redactor no necesita instalar plugins. - **Archivos:** que solo tu cuenta pueda escribirlos y que el servidor tenga permiso de escritura únicamente donde haga falta, como `wp-content`. Las pautas de WordPress.org son 755 para carpetas, 644 para archivos y un permiso más restringido para `wp-config.php`. - **Base de datos:** el usuario de la base de datos solo debe tener los permisos de lectura y escritura necesarios, y cada web debería tener su propia base de datos y su propio usuario. - **Editor del panel:** desactiva la edición de archivos desde el escritorio de WordPress. ```php define( 'DISALLOW_FILE_EDIT', true ); ``` Esa línea se añade a `wp-config.php` y quita el editor de código del panel. Haz antes una copia, porque un error en ese fichero puede dejar la web sin funcionar. ## Plugins y temas: menos y de confianza Cada plugin es código que se ejecuta en tu web. WordPress.org aconseja eliminar los plugins y temas que no uses, mantener actualizados los demás e instalarlos solo desde fuentes de confianza. - Elige plugins con mantenimiento activo, actualizaciones recientes y buena reputación en el directorio oficial. - Evita los plugins y temas «nulled», es decir, versiones de pago descargadas de sitios no oficiales. Suelen incluir código malicioso. - Desactivar un plugin no basta: si no lo usas, elimínalo. ### ¿Y los plugins de seguridad? Un plugin de seguridad con cortafuegos y analizador de archivos puede añadir una capa más, pero no sustituye a lo anterior: no arregla una contraseña débil ni un plugin sin actualizar. Si instalas uno, que sea de un desarrollador reconocido, con soporte activo, y no instales varios a la vez, porque pueden entrar en conflicto. ## ¿Estás preparado si algo falla? Tres preguntas rápidas sobre tu plan de recuperación. 1. Si mañana tu web no carga, ¿sabes a quién llamar o qué hacer primero? - Sí, está claro quién se encarga - Más o menos - No 2. ¿Tienes a mano los accesos al alojamiento, al dominio y al panel de WordPress? - Sí, guardados en un gestor de contraseñas - Algunos sí y otros no - No los tengo yo 3. ¿Cuánto tardarías en volver a una copia de ayer? - Menos de una hora - Un día o más - No sabría hacerlo **Resultados posibles** - **Sin plan de recuperación**. Recupera los accesos a tu nombre y deja por escrito quién hace qué. Si prefieres no ocuparte, el [mantenimiento de WordPress](https://piensaenweb.com/mantenimiento-de-wordpress/) lo incluye. - **Preparado a medias**. Tienes parte del camino hecho. Completa los accesos que faltan y prueba a restaurar una copia antes de necesitarla. - **Preparado**. Sabes qué hacer y tienes con qué hacerlo. Repasa el plan cada pocos meses. > **Qué hacer si sospechas que te han hackeado.** Cambia las contraseñas desde un equipo limpio, haz una copia del estado actual para analizarlo y restaura una copia anterior al problema. Si no sabes cómo, pide ayuda a un profesional antes de tocar nada. ## Preguntas frecuentes sobre la seguridad de WordPress ### ¿Es seguro WordPress? El núcleo de WordPress recibe correcciones de seguridad, pero la seguridad real depende de cómo lo mantengas: actualizaciones, plugins fiables, contraseñas y copias. [WordPress.org](https://developer.wordpress.org/advanced-administration/security/hardening/) lo detalla en su guía de endurecimiento. ### ¿Qué debe incluir una copia de seguridad de WordPress? Los archivos del sitio (núcleo, plugins, temas y subidas) y la base de datos. Hacen falta ambas para restaurar la web completa ([WordPress.org](https://developer.wordpress.org/advanced-administration/security/backup/)). ### ¿Cada cuánto debo hacer copias? WordPress.org sugiere semanal para webs pequeñas y diaria para las que cambian mucho, y siempre una antes de actualizar o migrar. ### ¿Necesito un plugin de seguridad? No es obligatorio, y no sustituye a las actualizaciones, las copias ni las contraseñas fuertes. Si lo usas, elige uno con mantenimiento activo y no combines varios. ### ¿Es obligatoria la verificación en dos pasos? No es obligatoria, pero WordPress.org la recomienda para las cuentas de administrador. Reduce el riesgo si una contraseña se filtra. **¿Prefieres no ocuparte de la seguridad de tu WordPress?** Nos encargamos de actualizaciones, copias de seguridad y revisiones para que tu web esté siempre al día. [Ver mantenimiento de WordPress](https://piensaenweb.com/mantenimiento-de-wordpress/) --- Fuente: [Cómo mantener la seguridad en nuestro WordPress](https://piensaenweb.com/como-mantener-seguro-nuestro-wordpress/), por Piensaenweb.