Esta es, punto por punto, la lista que repasamos para blindar cada WordPress que gestionamos. No necesitas ser técnico para entenderla: úsala como auditoría rápida de tu web.

Accesos

  • Contraseñas fuertes y únicas en todos los usuarios administradores. Nada de "admin1234".
  • Doble factor de autenticación (2FA) en el acceso al panel. Aunque roben la contraseña, no entran.
  • Limitar los intentos de login para frenar los ataques de fuerza bruta.
  • Eliminar el usuario "admin" por defecto y usar nombres de usuario no evidentes.
  • Revisar la lista de usuarios periódicamente y quitar los que ya no deban tener acceso.

Actualizaciones

  • Núcleo, plugins y temas al día, con backup previo y comprobación posterior.
  • Eliminar plugins y temas inactivos: aunque estén desactivados, siguen siendo una vía de entrada.
  • Evitar plugins abandonados (sin actualizaciones desde hace mucho o sin soporte).

Copias de seguridad

  • Backups automáticos de archivos y base de datos, guardados fuera del servidor.
  • Restauración probada al menos una vez: un backup sin probar no cuenta.

Protección

  • Firewall (WAF) que filtre el tráfico malicioso antes de que llegue a tu web.
  • Certificado SSL (HTTPS) activo y bien configurado en todo el sitio.
  • Escaneo de malware periódico con alertas si algo cambia.
  • Permisos de archivos correctos y edición de archivos deshabilitada desde el panel.

Refuerzos adicionales

  • Ocultar la versión de WordPress y otros datos que faciliten el trabajo a los atacantes.
  • Monitorización de disponibilidad 24/7 para enterarte de una caída al instante.
  • Un hosting con seguridad decente: la base sobre la que se apoya todo lo demás.
Cómo usar esta lista: repásala marcando lo que ya cumples. Cada punto sin marcar es una puerta entreabierta. No hace falta cerrarlas todas hoy, pero sí saber cuáles tienes abiertas.

De la lista a la práctica

Cumplir estos 17 puntos una vez está bien; mantenerlos en el tiempo es lo que de verdad protege tu web, porque la seguridad no es un estado, es un proceso. Si prefieres no estar pendiente, en el servicio de seguridad de Worver cubrimos todos estos puntos y los mantenemos activos 24/7.

Y si crees que ya es tarde y tu web podría estar comprometida, ve directo a nuestra guía de emergencia paso a paso.