Checklist de seguridad WordPress: qué activar y cómo saber si se desactiva

Por qué un checklist hecho una vez no basta

La mayor parte del riesgo está en los plugins, y se mueve rápido. Patchstack contabilizó 11.334 vulnerabilidades nuevas en el ecosistema WordPress en 2025, un 42 % más que en 2024: el 91 % estaban en plugins, el 9 % en temas, y solo 6 en WordPress mismo. El 46 % no tenía parche del desarrollador cuando se hicieron públicas, y para las vulnerabilidades más atacadas, la mediana de tiempo hasta el primer exploit masivo fue de 5 horas.

Así que un sitio que estaba seguro en enero puede quedar expuesto en marzo sin que nadie lo toque. Las medidas siguientes son las que recomiendan las páginas de hardening y de ataques de fuerza bruta de WordPress. Junto a cada una indicamos si se puede monitorizar de forma continua, y qué monitor de Relvato lo hace. Donde nada lo vigila, también lo decimos.

1. Cuentas e inicio de sesión

Usa una contraseña única y larga para cada cuenta que pueda iniciar sesión, y activa la autenticación en dos pasos para todos los administradores. WordPress no incluye autenticación en dos pasos de serie: su página sobre ataques de fuerza bruta recomienda activarla para todos los administradores y usuarios con privilegios mediante un plugin de confianza. El plugin Two Factor, creado por colaboradores de WordPress y publicado en WordPress.org, es una buena opción por defecto.

Mantén pocos administradores. Da a cada persona el rol más bajo que le permita hacer su trabajo, elimina las cuentas que nadie usa, y busca administradores que no reconozcas; nuestra guía sobre Roles de usuario de WordPress y cuentas de administrador explica por qué cada administrador de más es una vía de entrada adicional. También merece la pena revisar las contraseñas de aplicación y las claves de API de WooCommerce: están pensadas para programas, no para personas, así que inician sesión en la REST API y en XML-RPC sin pasar por el formulario de inicio de sesión ni por la autenticación en dos pasos.

Limita los intentos de inicio de sesión. La página de WordPress sobre ataques de fuerza bruta prefiere hacerlo en el borde, en el firewall de tu hosting o en un CDN, y dice que un plugin de seguridad puede frenar los intentos cuando el borde no lo hace; un CAPTCHA como Turnstile en el formulario de inicio de sesión también ayuda.

Qué se puede monitorizar: el monitor Lista de administradores reporta un nuevo administrador, un administrador oculto en la pantalla de Usuarios, una nueva contraseña de aplicación o clave de API, más de tres administradores, administradores que no han iniciado sesión en 90 días, y administradores sin la autenticación en dos pasos activada en el plugin de dos pasos que usa el sitio. Una vez activas el registro de actividad en el plugin, también reporta los editores y autores en cuyas cuentas nadie ha iniciado sesión en 90 días, y Registro de actividad e inicios de sesión de admins reporta picos de inicios de sesión fallidos y administradores que inician sesión desde una red nueva. El Escaneo de exposición avisa cuando la página de inicio de sesión está abierta sin nada que la proteja de forma visible: sin plugin de protección de login, CAPTCHA ni autenticación en dos pasos, y sin firewall delante. La autenticación en dos pasos activada en un plugin que Relvato no puede leer, como Shield, no cuenta en ningún sentido.

2. Actualizaciones, plugins y temas

Mantén WordPress, los plugins y los temas actualizados; la página de hardening de WordPress deja claro que las versiones antiguas no reciben actualizaciones de seguridad. Instala las versiones de seguridad en cuanto salgan, actualiza los plugins de uno en uno, y revisa después las páginas que importan. Nuestra guía de Mantenimiento WordPress incluye un calendario.

Menos plugins significa menos vulnerabilidades. Elimina los plugins y temas que no usas en vez de solo desactivarlos, porque el código inactivo sigue siendo accesible. Sustituye los plugins que WordPress.org haya cerrado o que no se hayan actualizado en años, y compra los plugins premium directamente a su desarrollador, nunca en un sitio que los redistribuye.

Qué se puede monitorizar: el Análisis de vulnerabilidades reporta plugins, temas y versiones de WordPress con vulnerabilidades conocidas, plugins con una actualización pendiente (e indica cuándo el changelog menciona una corrección de seguridad), plugins cerrados en WordPress.org o abandonados desde hace dos años, plugins y temas inactivos, y plugins activos que no vienen de WordPress.org, para que confirmes de dónde viene cada uno. En los planes de pago, cuando un nuevo aviso menciona un plugin que tu sitio usa, el sitio se vuelve a escanear.

3. HTTPS, TLS y cabeceras de seguridad

Sirve todo el sitio por HTTPS, y redirige a él cada dirección http. Acepta solo TLS 1.2 y 1.3: RFC 8996 declaró obsoletos TLS 1.0 y 1.1 en 2021, y dice que no deben usarse. Estos ajustes viven en tu hosting o en el CDN, no en WordPress, por lo que pueden cambiar cuando cambias de hosting o el hosting modifica sus valores por defecto.

Añade una cabecera HSTS para que los navegadores nunca vuelvan a http. Empieza con un max-age corto y súbelo cuando estés seguro de que todos los subdominios funcionan por HTTPS; la HSTS Preload List pide al menos un año (31536000 segundos), pero añade preload solo cuando lo tengas claro. Nuestra guía sobre Cabeceras de seguridad en WordPress explica HSTS y las demás cabeceras que merece la pena enviar.

Qué se puede monitorizar: el monitor Certificado SSL reporta un certificado caducado, no confiable o cerca de caducar, y un servidor que todavía acepta TLS 1.0 o 1.1. Redirecciones y host canónico reporta una dirección http que sirve la página en lugar de redirigir. Contenido mixto encuentra recursos http en páginas https, y el Escaneo de exposición reporta cabeceras de seguridad ausentes y un max-age de HSTS por debajo de 180 días.

4. Desactiva lo que no uses

Desactiva XML-RPC si nada lo usa; la página de WordPress sobre ataques de fuerza bruta dice justamente eso. Jetpack, la app móvil de WordPress y algunas integraciones todavía lo necesitan, así que compruébalo antes de desactivarlo.

Desactiva el editor de archivos de plugins y temas con define( 'DISALLOW_FILE_EDIT', true ); en wp-config.php. La página de hardening de WordPress señala que esto no impide que un atacante suba archivos, pero significa que una sesión de administrador robada no puede editar PHP en producción desde el escritorio.

Evita que el sitio liste sus usuarios y sus versiones: el endpoint de usuarios de la REST API, los archivos de autor en /?author=1, la etiqueta generator y un readme.html público ayudan a un atacante a averiguar nombres de usuario y versiones vulnerables. Y mantén la salida de depuración oculta para los visitantes: los errores de PHP en una página revelan rutas de archivos y consultas.

Qué se puede monitorizar: el Escaneo de exposición reporta XML-RPC activado, el editor de archivos habilitado, la enumeración de usuarios a través de la REST API o los archivos de autor, filtraciones de versión, y salida de depuración visible para los visitantes. La mayoría tiene una corrección con un clic y opción de deshacer, descrita en Hardening de seguridad de WordPress con un clic. Que WP_DEBUG escriba en un registro privado no se reporta, pero un debug.log que cualquiera pueda descargar sí.

5. Archivos, permisos y lo que queda en la raíz web

La página de WordPress sobre permisos de archivos fija los números: archivos 644 o 640, carpetas 755 o 750, y wp-config.php en 440 o 400 para que otros usuarios del servidor no puedan leerlo. Ninguna carpeta debería estar nunca en 777, ni siquiera uploads.

Elimina lo que no debería estar en la raíz web: volcados de base de datos, copias de seguridad en zip, copias de wp-config.php como wp-config.php.bak, archivos .env y carpetas .git. Cualquiera de ellos puede entregar el sitio entero a quien adivine la dirección.

Qué se puede monitorizar: el Escaneo de exposición busca archivos .env expuestos, carpetas .git, copias de wp-config.php, volcados SQL, archivos de copia de seguridad y un debug.log público. Con el plugin de Relvato conectado, el sitio reporta estos archivos desde dentro, además de archivos PHP en uploads y claves de seguridad de ejemplo. También lee los permisos de wp-config.php y .htaccess: cualquiera de los dos que alguien en el servidor pueda modificar, y un wp-config.php que otras cuentas puedan leer cuando PHP se ejecuta como su propietario. Los permisos del resto de archivos no se monitorizan. El monitor de Integridad de archivos compara los archivos de WordPress con los checksums oficiales y reporta archivos PHP inesperados y plugins ocultos, y Integridad del tema reporta ejecutables colocados en uploads y código malicioso añadido a wp-config.php o .htaccess.

6. Copias de seguridad que has restaurado

Haz copia de seguridad de la base de datos y de los archivos: semanal para un sitio pequeño, diaria para uno con mucho tráfico, y siempre antes de una actualización, como recomienda la página de copias de seguridad de WordPress. Guarda copias en sitios distintos, porque una copia almacenada en el mismo servidor que resulta hackeado o falla se pierde con él.

Una copia de seguridad solo cuenta si se puede restaurar. La página de hardening de WordPress pide copias que hayas comprobado que son válidas y se pueden restaurar con facilidad. Restaura una en un sitio de staging cada pocos meses para comprobar que funciona.

Qué se puede monitorizar: el monitor de Copias de seguridad lee UpdraftPlus, BackWPup, Duplicator, WPvivid y otros plugins de copias de seguridad. Reporta una última copia completada con más de siete días, copias fallidas o estancadas, ausencia de calendario, y copias almacenadas solo en el mismo servidor. Las restauraciones no las comprueba Relvato: eso se queda en tu propia lista.

7. Firewall, malware y las señales que un escáner no ve

Pon un firewall de aplicaciones web delante del sitio, en tu hosting, en el CDN, o como plugin. No confíes solo en el hosting: en las pruebas de Patchstack, las defensas del hosting bloquearon solo el 26 % de los ataques. Nuestra comparativa Wordfence vs Sucuri analiza las dos opciones más conocidas.

Relvato no reporta si hay un firewall delante de tu sitio. Vigila lo que consigue pasar: Señales de un hackeo busca páginas de spam, cloaking y redirecciones a otros sitios tal como las ven los visitantes y Google, y Scripts de terceros reporta un script de un origen nuevo en tus páginas clave, incluido el checkout, que es como entran los skimmers de tarjetas.

Si algo consigue entrar, nuestro Checklist para un WordPress hackeado explica qué hacer primero, incluidos los lugares que ningún escáner puede ver. Después de una limpieza, el Modo cuarentena tras una limpieza vigila los archivos, los administradores y los scripts del sitio cada hora durante 48 horas.

Qué necesita la monitorización, y qué no puede hacer

La mayoría de los elementos internos, como administradores, plugins, copias de seguridad e integridad de archivos, necesitan el plugin de Relvato para WordPress conectado, lo que además demuestra que el sitio es tuyo. Los elementos externos, como certificados, TLS, redirecciones y cabeceras, funcionan en cualquier sitio. La frecuencia depende del plan: como máximo semanal en Free, diaria en Pro y cada hora en Business, y después de cada actualización de plugin o tema en Pro y planes superiores.

La monitorización te avisa cuando un punto deja de cumplirse. No activa los puntos por ti, ni sustituye a un firewall, a un plugin de copias de seguridad o a la autenticación en dos pasos. Trata este checklist como dos listas: las medidas que activas una vez, y las que quieres que te avisen el día que cambien.