WordPress mueve una parte enorme de la web, y eso lo convierte en un blanco constante de bots que escanean automáticamente en busca de configuraciones débiles. "Hardening" (endurecimiento) es el proceso de cerrar esas puertas comunes antes de que las encuentren.
1. Mantén todo actualizado — sin excepción
Núcleo de WordPress, plugins y tema. La gran mayoría de los sitios comprometidos lo son por una vulnerabilidad conocida en una versión desactualizada de un plugin, no por un ataque sofisticado. Activa actualizaciones automáticas de seguridad cuando el plugin lo permita.
2. Elimina lo que no usas
Cada plugin y tema instalado (incluso desactivado) es superficie de ataque potencial. Borra — no solo desactives — plugins y temas que no estés usando activamente.
3. Cambia el usuario "admin" por defecto
Si tu usuario administrador se llama admin, ya le ahorraste al atacante la mitad del trabajo de un ataque de fuerza bruta (solo necesita adivinar la contraseña). Crea un usuario admin con un nombre distinto y elimina o degrada el genérico.
4. Protege el login
- Limita los intentos de login (plugins como Limit Login Attempts Reloaded) para frenar ataques de fuerza bruta.
- Activa 2FA en el panel de administración.
- Considera cambiar la URL de login (de
/wp-admina algo personalizado) para reducir el ruido de bots automatizados — no es seguridad real por sí sola, pero baja mucho el volumen de intentos.
5. Firewall de aplicación web (WAF)
Un WAF filtra tráfico malicioso antes de que llegue a WordPress. Cloudflare (incluso en su plan gratuito) ya aporta una capa de protección importante; plugins como Wordfence agregan reglas específicas para WordPress.
6. Permisos de archivos correctos
Los archivos y carpetas de WordPress no deberían tener permisos de escritura más amplios de lo necesario. Como referencia general: carpetas en 755, archivos en 644, y wp-config.php aún más restringido si tu hosting lo permite.
7. Deshabilita la edición de archivos desde el panel
Por defecto, un administrador puede editar archivos PHP de temas y plugins directamente desde el panel de WordPress. Si alguien compromete esa cuenta, puede inyectar código malicioso ahí mismo. Se desactiva agregando una línea en wp-config.php: define('DISALLOW_FILE_EDIT', true);
8. Respaldos automáticos (sí, otra vez)
Ningún hardening es 100% infalible. Un respaldo reciente y probado es lo que convierte un sitio hackeado en "lo restauramos en 20 minutos" en vez de "perdimos todo". Ver la guía de respaldos.
Checklist rápido
- ☐ Núcleo, plugins y tema actualizados.
- ☐ Plugins/temas sin uso, eliminados.
- ☐ Sin usuario "admin" genérico.
- ☐ 2FA + límite de intentos de login activos.
- ☐ WAF activo (Cloudflare u otro).
- ☐ Respaldo automático funcionando.