Seguridad de WordPress para empresas: guía práctica

La seguridad de WordPress en una empresa depende de seis prácticas: mantener actualizados el núcleo, los plugins, los temas y PHP, eliminar plugins abandonados, limitar usuarios y exigir autenticación de dos pasos, filtrar el tráfico con un firewall de aplicaciones (WAF), tener respaldos fuera del servidor que sí se puedan restaurar y vigilar el sitio para detectar cambios a tiempo. La mayoría de los sitios comprometidos no caen por una falla sofisticada, sino por algo que llevaba meses sin actualizarse.

Esta guía está basada en la guía oficial de endurecimiento de WordPress y la aterrizamos al caso de una empresa mexicana con un sitio corporativo o una tienda en WooCommerce. Llega en un momento oportuno: en octubre de 2026 se publicó PHP2Shell, una vulnerabilidad crítica en PHP que afecta a WordPress aunque el sitio y sus plugins estén al día, porque la falla está en el servidor. Si todavía no revisaste tu versión de PHP, empieza por ahí.

¿Por qué WordPress es un blanco frecuente?

Porque es muy popular, no porque sea especialmente inseguro. Cuando una plataforma la usan millones de sitios, a los atacantes les conviene automatizar: escanean internet buscando un plugin con una falla conocida o una página de acceso con contraseña débil, y atacan todos los sitios que encuentran. No es personal; tu sitio cae en la red por estadística.

Definición rápida: endurecer (en inglés, hardening) un sitio WordPress es reducir su superficie de ataque: menos componentes, menos permisos, menos usuarios y más capas de protección, para que una sola falla no baste para comprometerlo.

Para una empresa, el riesgo va más allá de “que se caiga la página”: robo de datos de clientes, redirecciones a sitios fraudulentos que dañan tu marca, correos de spam enviados desde tu dominio, el aviso de Google de “este sitio puede haber sido hackeado” y, en una tienda, pedidos o pagos alterados.

¿Cómo mantener WordPress actualizado sin romper el sitio?

Las actualizaciones son la medida que más riesgo elimina. Hay cuatro capas que mantener, y cada una tiene su propio ritmo:

Capa	Quién la actualiza	Recomendación
Núcleo de WordPress	Las versiones menores (de seguridad) se instalan solas desde WordPress 3.7	Aplicar las versiones mayores después de probarlas en una copia del sitio
Plugins	Tú, o automáticamente si lo activas	Automáticas para plugins sencillos; probar primero los críticos (WooCommerce, pagos, facturación)
Tema	Tú	Usar un tema hijo para que las personalizaciones no se pierdan al actualizar
PHP y servidor	Tu hosting o tu equipo técnico	Usar una rama con soporte; a octubre de 2026, WordPress recomienda PHP 8.3 o superior

La guía oficial insiste en descargar WordPress, plugins y temas solo de fuentes confiables, como el directorio de wordpress.org o el sitio del desarrollador. Los plugins “premium” descargados gratis de sitios no oficiales son una de las vías más comunes para meter código malicioso.

Para no romper nada, la práctica sana es tener una copia de pruebas (staging) del sitio. Muchos hostings la ofrecen con un clic. Ahí pruebas las actualizaciones grandes y, si todo funciona, las aplicas en producción. Si el problema de fondo es que tu servidor está en una versión vieja de PHP, lo explicamos paso a paso en cómo actualizar PHP sin romper tu sistema.

Plugins abandonados: el riesgo que nadie revisa

Cada plugin es código de un tercero corriendo en tu servidor con acceso a tu base de datos. Más plugins significa más puntos de entrada y más cosas que pueden impedirte actualizar.

Cómo revisar tus plugins:

1. Haz la lista completa desde Plugins > Plugins instalados, incluidos los desactivados. Un plugin desactivado sigue teniendo sus archivos en el servidor.
2. Revisa cada uno en wordpress.org: fecha de última actualización y versión de WordPress con la que se probó. Si el directorio lo cerró, su página lo indica.
3. Pregunta para qué sirve. Es común encontrar plugins que alguien instaló para una campaña de hace años.
4. Decide: mantener, reemplazar por uno mantenido o eliminar.

Señales de que un plugin debe salir:

• No se actualiza desde hace más de un año.
• Fue cerrado en el directorio de wordpress.org.
• Es una versión “nulled” o pirata de un plugin de pago.
• Duplica lo que hace otro plugin que ya tienes.
• Nadie en la empresa sabe para qué está.

Lo mismo aplica a los temas: deja solo el tema activo (y su tema padre, si usas uno hijo) más un tema por defecto de WordPress como respaldo, y borra el resto.

Si tu tienda creció a base de extensiones y ya no puedes actualizar sin que algo falle, quizá es momento de evaluar otra arquitectura; lo platicamos en cuándo dar el salto de WooCommerce a desarrollo a la medida y en la comparativa de Shopify, WooCommerce y tienda a la medida.

Usuarios, contraseñas y autenticación de dos pasos

Las cuentas son la segunda vía de entrada más común. Medidas concretas:

• Una cuenta por persona. Nada de un usuario “admin” compartido entre la agencia, el programador y marketing. Si alguien se va, borras su cuenta y listo.
• El rol mínimo necesario. WordPress tiene roles de administrador, editor, autor, colaborador y suscriptor. Quien solo publica entradas del blog no necesita ser administrador. En WooCommerce existe además el rol de gestor de tienda.
• Autenticación de dos pasos (2FA) obligatoria para administradores y editores. WordPress no la incluye de fábrica; la documentación oficial sobre autenticación de dos pasos menciona plugins como Two-Factor, Duo, Google Authenticator, Rublon y Wordfence.
• Contraseñas largas y únicas, guardadas en un gestor de contraseñas de la empresa, no en un archivo de Excel compartido.
• Revisión trimestral de usuarios: borra cuentas de exempleados, proveedores que ya no trabajan contigo y administradores que no reconoces. Un administrador desconocido es una señal clara de compromiso.
• Revisa las contraseñas de aplicación (Usuarios > Perfil), que permiten acceso por API. Revoca las que no uses.

No olvides los accesos fuera de WordPress: panel del hosting, FTP o SSH, base de datos, registrador del dominio y DNS. Si alguien entra al panel del hosting, no necesita tu contraseña de WordPress. Activa 2FA también ahí.

¿Necesito un firewall de aplicaciones (WAF)?

Para un sitio de empresa, sí. Un WAF filtra peticiones maliciosas antes de que lleguen a WordPress: bloquea intentos de explotar fallas conocidas, ataques de fuerza bruta contra la página de acceso y tráfico de bots.

La guía oficial distingue tres niveles:

Tipo	Ejemplos citados por WordPress	Ventaja	Limitación
Plugin de seguridad	Wordfence, Shield, iThemes Security	Fácil de instalar, ve lo que pasa dentro de WordPress	Corre en tu mismo servidor y consume sus recursos
WAF en el servidor	ModSecurity	Filtra antes de PHP	Requiere configuración técnica
Proxy inverso en la nube	Cloudflare, Sucuri, Incapsula	Filtra antes de que el tráfico llegue a tu servidor y ayuda contra ataques de volumen	Hay que impedir que alguien acceda al servidor directamente, sin pasar por el proxy

Un WAF es una capa más, no un sustituto de actualizar. En el caso de PHP2Shell, por ejemplo, el WAF puede reducir la exposición mientras aplicas el parche, pero la corrección real es actualizar PHP.

Permisos de archivos y configuración del servidor

Esta parte es técnica; pásale la lista a quien administre tu servidor. Las primeras seis medidas vienen de la guía oficial de endurecimiento; las dos últimas son prácticas comunes de administración de servidores:

• Permisos base: directorios en 755 y archivos en 644. Nunca 777.
• Solo wp-content (y en particular la carpeta de uploads) debe ser escribible por el servidor web. El núcleo (wp-admin, wp-includes) y la carpeta de plugins deben ser escribibles solo por tu usuario.
• wp-config.php protegido: permisos 400 o 440, y bloqueo de acceso desde la web. La guía también sugiere moverlo un nivel arriba de la instalación.
• Desactivar el editor de archivos del panel con define( 'DISALLOW_FILE_EDIT', true ); en wp-config.php. Así, quien robe una cuenta de administrador no puede editar código de plugins o temas desde el navegador. No impide que suban archivos, pero corta algunos ataques.
• Usuario de base de datos con permisos limitados. Para la operación diaria basta con SELECT, INSERT, UPDATE y DELETE. La guía advierte que quitar permisos como ALTER puede romper actualizaciones que modifican tablas, así que hazlo solo con un buen plan de respaldos.
• Un sitio, una base de datos y un usuario. Si tienes varios sitios en el mismo servidor, que no compartan credenciales; así, si uno cae, no arrastra a los demás.
• Bloquear la ejecución de PHP en uploads. Esa carpeta solo debe contener imágenes y documentos; un .php ahí casi siempre es malicioso.
• Nada de archivos sueltos: borra phpinfo.php, respaldos .zip o .sql dentro de la carpeta pública e instaladores viejos.

Respaldos que sí te salvan

Un respaldo es lo que convierte un hackeo en un mal día y no en un desastre. La guía oficial recomienda respaldar con regularidad la base de datos y los archivos, cifrar los respaldos y conservar copias de diferentes fechas, para poder regresar a un punto anterior al compromiso.

Reglas mínimas para un sitio de empresa:

• Respaldos diarios de base de datos y archivos; en tiendas con muchos pedidos, con mayor frecuencia para la base.
• Fuera del servidor. Un respaldo guardado en el mismo hosting desaparece junto con él, o lo cifra el mismo atacante.
• Varias fechas. Si solo guardas el respaldo de ayer y el hackeo ocurrió hace dos semanas, ese respaldo también está infectado.
• Prueba de restauración al menos una vez por trimestre en un ambiente de pruebas.

La regla 3-2-1, los respaldos inmutables y cómo definir cuánta información puedes perder los explicamos a detalle en respaldos 3-2-1 para PyMEs.

Monitoreo: enterarte antes que tus clientes

Muchas empresas se enteran del hackeo porque un cliente les avisa. Para enterarte antes:

• Monitoreo de disponibilidad que te avise si el sitio se cae o responde con errores.
• Google Search Console con tu dominio verificado: si Google detecta malware o contenido inyectado, te avisa en el informe de problemas de seguridad.
• Revisión de integridad de archivos. Muchos plugins de seguridad comparan los archivos del núcleo y de los plugins con los originales y avisan de cambios.
• Registros de acceso y de errores. La guía oficial recomienda conservarlos y revisarlos; son la base para investigar qué pasó.
• Alertas de nuevos administradores y de cambios en la configuración.
• Avisos del hosting sobre envío masivo de correo o uso anormal de CPU: no los ignores.

¿Qué hacer si hackearon tu WordPress?

Si ves redirecciones extrañas, administradores que no reconoces, archivos .php nuevos en uploads o el aviso de Google, actúa en este orden:

1. Contén. Pon el sitio en mantenimiento o restringe el acceso. Si es una tienda, considera pausar pagos mientras revisas.
2. Cambia todas las credenciales desde un equipo limpio: WordPress (todos los administradores), hosting, base de datos, FTP o SSH, correo del dominio. Actualiza las claves de seguridad (salts) de wp-config.php para cerrar las sesiones abiertas.
3. Guarda evidencia. Antes de borrar nada, copia los registros y una imagen del sitio infectado; los necesitarás para entender qué pasó.
4. Restaura desde un respaldo limpio, anterior al incidente. Si no sabes desde cuándo estás comprometido, restaura uno anterior y recupera manualmente los cambios legítimos (por ejemplo, pedidos recientes).
5. Actualiza todo antes de volver a publicar: núcleo, plugins, tema y PHP. Si el punto de entrada fue un plugin abandonado, quítalo.
6. Busca accesos ocultos. Los atacantes suelen dejar usuarios extra, tareas programadas o archivos camuflados. Revisa usuarios, wp-config.php, .htaccess y la carpeta de uploads.
7. Solicita la revisión en Google Search Console cuando el sitio esté limpio, para que se quite la advertencia.
8. Evalúa obligaciones con tus clientes. Si se expusieron datos personales, revisa con tu área legal qué debes comunicar a los titulares, conforme a la ley de protección de datos personales aplicable.

Si no tienes un respaldo limpio, no te limites a borrar los archivos sospechosos que encuentres: lo habitual es que queden puertas traseras. Una limpieza a fondo requiere experiencia.

Checklist de seguridad de WordPress para empresas

• Núcleo, plugins, tema y PHP en versiones con soporte.
• Inventario de plugins: sin abandonados, sin piratas, sin duplicados.
• Una cuenta por persona, rol mínimo y 2FA obligatorio para administradores.
• WAF activo (plugin, servidor o proxy en la nube).
• Permisos 755/644, wp-config.php protegido y DISALLOW_FILE_EDIT activado.
• Ejecución de PHP bloqueada en uploads.
• Respaldos diarios fuera del servidor, con varias fechas y restauración probada.
• Monitoreo de disponibilidad, Search Console y alertas de cambios.
• Plan escrito de qué hacer si te hackean, con nombres y teléfonos.

Cómo te ayuda Tecsolt

En Tecsolt desarrollamos sitios, tiendas en línea y sistemas a la medida desde junio de 2017, con un equipo 100% remoto con base en León, Guanajuato. Para sitios en WordPress y WooCommerce podemos:

• Auditar tu sitio: versiones, plugins, usuarios, permisos y respaldos, con una lista priorizada de riesgos.
• Endurecer y mantener el sitio con actualizaciones probadas en un ambiente de pruebas.
• Migrar a hosting administrado o a la nube, con WAF, respaldos automáticos y monitoreo, en nube e infraestructura.
• Rediseñar o reconstruir tu sitio cuando el problema es la base, con nuestro servicio de diseño y desarrollo web.

Los accesos y el código quedan a nombre de tu empresa. Agenda una reunión para revisar tu sitio.

Preguntas frecuentes

¿WordPress es seguro para una empresa?

Sí, si se mantiene. El núcleo de WordPress tiene un equipo de seguridad y recibe actualizaciones frecuentes; la mayoría de los problemas vienen de plugins y temas desactualizados o abandonados, contraseñas débiles y servidores con versiones de PHP sin soporte. Un WordPress con mantenimiento, pocos plugins y respaldos probados es una base razonable para el sitio de una empresa.

¿Qué plugin de seguridad para WordPress conviene usar?

La guía oficial de endurecimiento de WordPress menciona opciones como Wordfence, Shield o iThemes Security a nivel de plugin, y servicios como Cloudflare o Sucuri como proxy que filtra el tráfico antes de llegar a tu servidor. Ningún plugin sustituye a las actualizaciones, la autenticación de dos pasos y los respaldos. Elige uno, configúralo bien y evita instalar varios que hagan lo mismo.

¿Cómo activo la autenticación de dos pasos en WordPress?

WordPress no la trae activada de fábrica: se agrega con un plugin. La documentación oficial menciona opciones como Two-Factor, Duo, Google Authenticator, Rublon y Wordfence. Actívala como obligatoria para todas las cuentas con rol de administrador o editor, y guarda los códigos de recuperación en un lugar seguro.

¿Cómo sé si un plugin de WordPress está abandonado?

En su página de WordPress.org revisa la fecha de última actualización y la versión de WordPress con la que se probó. Si el directorio lo cerró, la página muestra un aviso de que el plugin ya no está disponible para descarga. Un plugin sin actualizaciones en más de un año o cerrado debe reemplazarse, sobre todo si maneja formularios, pagos o archivos.

¿Qué hago si hackearon mi página de WordPress?

Primero contén el daño: pon el sitio en mantenimiento, cambia todas las contraseñas (WordPress, hosting, base de datos, FTP o SSH) desde un equipo limpio y avisa a tu proveedor de hosting. Después restaura desde un respaldo anterior al incidente, actualiza todo y busca el punto de entrada. Si no tienes un respaldo limpio, la limpieza debe hacerla alguien con experiencia, porque los atacantes suelen dejar accesos ocultos.

¿Cada cuánto hay que actualizar WordPress y sus plugins?

Las actualizaciones menores de seguridad del núcleo se instalan solas desde WordPress 3.7, y los plugins se pueden configurar para actualizarse automáticamente. En un sitio de empresa conviene revisar actualizaciones al menos cada semana y aplicar de inmediato las de seguridad, probando primero en una copia del sitio los cambios grandes, como versiones mayores de WooCommerce.

• #wordpress
• #seguridad web
• #woocommerce
• #plugins
• #respaldos