Los 7 errores de seguridad en WordPress que ponen en riesgo tu web

Si tuviera que resumir en una frase el estado de la seguridad en WordPress, sería esta: la gran mayoría de webs WordPress que se vulneran, se vulneran por errores evitables. No hablamos de hackers genios ni de agencias gubernamentales: hablamos de plugins sin actualizar, contraseñas débiles y webs sin copias de seguridad.

WordPress alimenta a más del 43% de la web mundial, así que es lógicamente el objetivo número uno de los ataques automatizados. Pero eso no es una condena: es un motivo para hacer las cosas bien. En este artículo te enumero los 7 errores de seguridad más comunes que vemos a diario en las empresas, y te explico cómo corregir cada uno.

Los 7 errores de seguridad más comunes (y cómo corregirlos)

Error 1: plugins y temas desactualizados

Es, con diferencia, el error más grave y el más frecuente. Cada vez que se descubre una vulnerabilidad en un plugin, los atacantes la explotan de forma masiva en cuestión de horas. Las webs que tienen ese plugin sin actualizar caen en cadena. Las que lo actualizaron a tiempo, no.

La solución es simple en teoría y requiere constancia en la práctica: actualiza siempre el núcleo de WordPress, los plugins y los temas. Y hazlo con cabeza: en un entorno de prueba primero, porque a veces una actualización rompe algo.

Un plan de mantenimiento profesional incluye justamente esto: actualizaciones controladas, verificadas y con copia de seguridad previa. Si no tienes a nadie que lo haga, es de los mejores gastos que puedes hacer. En TakeYourDesign lo ofrecemos dentro de nuestros servicios de mantenimiento gestionado.

Error 2: contraseñas débiles y reutilizadas

El segundo gran clásico. La contraseña admin, la contraseña 123456, la misma contraseña para el panel de WordPress, el email del hosting y la cuenta del banco. Los ataques de fuerza bruta prueban millones de combinaciones por minuto; si tu contraseña es débil o conocida, es cuestión de tiempo.

Lo que recomendamos en todas las webs que tocamos:

• Contraseñas largas (mínimo 12 caracteres) y únicas para cada servicio.
• Un gestor de contraseñas para no volver a memorizar ni reutilizar.
• La autenticación en dos pasos (2FA) activada para el acceso al panel.
• Limitar los intentos de acceso para frenar la fuerza bruta.

No existe contraseña imposible de adivinar, pero una contraseña larga y única convierte tu web en un objetivo demasiado caro de atacar, y los atacantes se van a por objetivos más fáciles.

Error 3: no tener copias de seguridad (o no comprobarlas)

Aquí está la triste realidad: el 90% de las webs que sufren un ransomware o un hackeo recuperable no tienen una copia de seguridad reciente, o la tienen pero nunca la han probado. Tener una copia de seguridad que no funciona es como tener un extintor vacío.

Las reglas de una buena estrategia de backups son:

• Frecuencia: diaria, o al menos cada pocos días si la web se actualiza poco.
• Ubicación: al menos una copia fuera del servidor (en la nube, en local).
• Verificación: restaura una copia en un entorno de prueba de vez en cuando para asegurarte de que funciona.
• Versiones: guarda varias versiones, no solo la última, por si un ataque pasa desapercibido días.

Te dejo un dato: la mayoría de las webs que recuperamos tras un ataque se recuperan gracias a un backup que sí existía y sí funcionaba. No dejes tu negocio a la suerte.

Error 4: el panel de administración expuesto

WordPress expone el acceso de administración en una URL conocida por todos: /wp-admin. Eso significa que los atacantes saben dónde ir a intentar entrar. Es como dejar la puerta del almacén señalizada con un cartel gigante.

Mitigaciones habituales:

• Limitar los intentos de inicio de sesión.
• Proteger el acceso por IP o con un método de autenticación adicional.
• Usar contraseñas maestras y, si el hosting lo permite, proteger el directorio de administración con una capa extra.
• No mostrar la versión de WordPress, un dato que los atacantes usan para buscar vulnerabilidades concretas.

Estas medidas no hacen tu web infalible, pero hacen que el atacante prefiera irse a otra parte. Recuerda: en seguridad, el objetivo casi siempre es no ser la víctima más fácil.

Error 5: usuarios con privilegios de más

Cuantos más usuarios tengan acceso de administración, mayor es la superficie de ataque. Cada cuenta extra es una puerta más, y además una puerta que puede tener una contraseña débil o ser compartida entre varias personas.

Lo que hay que hacer:

• Asignar a cada persona el rol mínimo necesario: editor, autor o colaborador, no administrador.
• Eliminar las cuentas que ya no se usan (los exempleados suelen mantener el acceso olvidado).
• Nunca compartir credenciales entre miembros del equipo.

Parece de cajón, pero en casi todas las auditorías que hacemos encontramos cuentas fantasma con permisos de administrador que nadie sabía que existían.

Error 6: instalar cualquier plugin sin mirar

El ecosistema de plugins es la gran ventaja de WordPress y, a la vez, su talón de Aquiles. Cada plugin es código de terceros ejecutándose en tu servidor. Instalar plugins de fuentes dudosas o abandonados es abrir la puerta.

Criterios mínimos antes de instalar un plugin:

• Que tenga muchas instalaciones activas y buenas valoraciones.
• Que se haya actualizado recientemente (los plugins abandonados son bombas de relojería).
• Que tenga soporte y una página oficial.
• Que no sea una versión "nulled" o pirata: las versiones crackeadas suelen llevar malware integrado.

Y recuerda el consejo de siempre: menos plugins, mejores plugins. Cada uno que añades aumenta el riesgo y el peso de la web. En nuestro artículo sobre acelerar WordPress hablamos de la relación entre plugins y rendimiento.

Error 7: ignorar el resto de la infraestructura

WordPress no existe en el vacío: vive en un servidor, con una base de datos, un panel de control y unas credenciales FTP. Si alguno de esos puntos está débil, da igual lo seguro que esté WordPress.

Revisiones que solemos hacer:

• Cuentas de correo: las cuentas de email del dominio también se atacan; un email comprometido puede resetear tu panel.
• Panel de hosting: cambia la contraseña por defecto y activa el 2FA si tu proveedor lo ofrece.
• Accesos FTP/SFTP: elimina cuentas que no se usen y usa SFTP (cifrado) en lugar de FTP a secas.
• Certificado SSL: imprescindible, no solo por seguridad sino por SEO y confianza del usuario.

La seguridad es una cadena: es tan fuerte como su eslabón más débil.

Cómo trabajan los atacantes en la práctica

Cómo se producen la mayoría de los ataques reales

Para entender por qué ocurren estos errores, conviene saber cómo trabajan los atacantes en la práctica. La mayoría de los ataques no son "personalizados": son automatizados y oportunistas.

• Escaneo automático: bots recorren internet buscando webs con versiones vulnerables de plugins conocidos. No eligen víctima: eligen vulnerabilidad.
• Fuerza bruta: robots prueban combinaciones de usuario/contraseña en el panel de acceso de miles de webs a la vez.
• Explotación de plugins abandonados: se busca el plugin famoso que dejó de actualizarse y se explota su agujero en cadena.
• Suplantación: una vez dentro, el atacante se crea cuentas, instala puertas traseras y usa tu web para atacar a otras.

Esto explica por qué los errores "aburridos" (no actualizar, contraseñas débiles) son los que más daño hacen: son la puerta que esos robots buscan. Cuando actualizas, cambias contraseñas y limitas accesos, tu web deja de ser una presa fácil.

La secuencia de un ataque (para que veas el daño)

Quizá pienses que un ataque es "un susto y se arregla". Esta es la secuencia real que vemos en las empresas que nos llaman después de un incidente:

1. Compromiso: entran por una vulnerabilidad o una contraseña débil.
2. Destrucción silenciosa: borran o cifran contenido, o inyectan código malicioso que no se ve.
3. Detección tardía: el cliente se entera por la copia de seguridad, por un email raro o porque Google marca la web como peligrosa.
4. Recuperación dolorosa: restaurar el contenido, limpiar el código inyectado, recuperar la reputación y que Google vuelva a confiar.

El paso 3 es el más caro: cuanto más tarde se detecta, más daño acumulado (y más tiempo en el punto 4). Por eso la monitorización y las copias son tan importantes: convierten un incidente grave en un susto controlado.

El mito de "yo no soy un objetivo"

"Mi web no tiene nada valioso, ¿a quién le interesa?" Es la frase más peligrosa de todas. Y la respuesta es siempre la misma: no te atacan a ti, atacan a tu web. Para los bots no eres "una pyme sin interés": eres un servidor con WordPress con una vulnerabilidad conocida.

Además, tu web tiene más valor del que crees:

• Puede usarse como servidor para atacar a otros (spam, ataques DDoS).
• Puede servir malware a tus visitantes, arruinando tu reputación.
• Puede darte acceso al email del dominio y desde ahí a tu empresa.
• Puede secuestrarse para ransomware o redirecciones fraudulentas.

Una vez que entiendes que tu web es una pieza de valor para los atacantes, los 7 errores de este artículo dejan de parecer teóricos y se convierten en una lista de tareas concretas.

Cómo saber si tu web ya está comprometida

Hay señales que delatan una web comprometida, y conviene conocerlas para actuar rápido.

Las señales que delatan una web comprometida

• Tu web aparece marcada como "sitio engañoso" o "peligrosa" en Google.
• Los emails desde tu dominio acaban en spam o aparecen envíos que no hiciste.
• Hay cuentas de usuario nuevas que no reconoces.
• La web va mucho más lenta de lo normal (puede estar sirviendo malware).
• Aparecen archivos o plugins que no instalaste.

Si sospechas que tu web está comprometida, no la toques "a lo loco": primero saca una copia de seguridad completa (así conservas la evidencia) y contacta con un especialista. Actuar sin método puede borrar pruebas y complicar la recuperación.

¿Debería contratar un servicio de seguridad?

Si tu web es importante para tu negocio, la respuesta honesta es que sí merece la pena tener a alguien que vigile. Los plugins de seguridad (como Wordfence o iThemes) automatizan muchas de estas medidas y son un gran punto de partida. Pero nada sustituye al criterio humano de alguien que revisa, actualiza y responde ante un incidente.

En TakeYourDesign ofrecemos ciberseguridad y mantenimiento para webs WordPress: configuración segura, monitorización, actualizaciones controladas y respuesta ante incidentes. Si tu web se comprometiera mañana, ¿cuánto tardarías en darte cuenta y cuánto en recuperarte? Esa pregunta responde si necesitas ayuda o no.

El plan mínimo para dormir tranquilo

Si no haces nada más, haz al menos esto:

• Activa las actualizaciones automáticas del núcleo y revisa plugins y temas una vez al mes.
• Configura un plugin de copias de seguridad con copia externa y pruébala.
• Cambia las contraseñas débiles y activa el 2FA.
• Limita los intentos de acceso.
• Revisa la lista de usuarios y de plugins una vez al trimestre.

Con estas cinco acciones eliminas la mayoría de los escenarios de ataque que acaban en titular. La seguridad no es un destino al que llegar: es un hábito de mantenimiento. Y si prefieres delegarla, nosotros nos encargamos: cuéntanos tu caso.