Wordfence, Sucuri o Solid Security: cuál elegir (y cuándo no basta)
En resumen
Para la mayoría de webs pequeñas basta Wordfence gratuito o Solid Security (hoy Kadence Security) gratuito, con verificación en dos pasos; Wordfence gratis recibe las reglas y firmas con 30 días de retraso. Sucuri destaca por su cortafuegos de pago en la nube y MalCare por escanear en sus servidores. Ningún plugin actualiza por ti, frena a quien entra con una contraseña robada ni te dice por dónde entraron.
Veo estos plugins instalados a diario en las webs que reviso, también en las hackeadas. Esta comparativa explica qué hace realmente cada uno, en qué se diferencia la versión gratuita de la de pago y, sobre todo, qué no hace ninguno. Las características están comprobadas en sus páginas oficiales a fecha de octubre de 2026.
Por Jose SorianoPublicada: Última actualización: 8 min de lectura
Antes de comparar: tres tipos de protección
Los plugins de seguridad mezclan funciones muy distintas. Conviene separarlas porque no todas valen lo mismo:
- Cortafuegos (WAF): bloquea peticiones de ataque antes de que lleguen al código vulnerable. Puede vivir dentro de WordPress (lo carga el propio plugin en el servidor) o en la nube (el tráfico pasa antes por los servidores del proveedor, cambiando el DNS). El de la nube frena el ataque antes de que toque tu servidor; el de dentro entiende mejor WordPress, pero se ejecuta en el mismo sitio que quiere proteger.
- Escáner: busca malware y cambios en los archivos. Puede ejecutarse en tu servidor o en los del proveedor. Detecta lo que ya ha pasado; no lo evita.
- Endurecimiento del acceso: verificación en dos pasos, límite de intentos de acceso, bloqueo de bots. Sencillo y muy eficaz contra el robo de contraseñas.
Wordfence
El más instalado. La versión gratuita ya incluye cortafuegos dentro de WordPress, escáner de malware de núcleo, temas y plugins, y verificación en dos pasos. La diferencia clave con la de pago: en la gratuita, las reglas nuevas del cortafuegos y las firmas de malware llegan con 30 días de retraso. Premium las recibe en tiempo real, añade una lista de IPs maliciosas actualizada al momento y el bloqueo por países.
Los planes Care y Response añaden personas: configuración, auditoría anual, vigilancia y limpieza si te hackean. Premium no incluye limpieza: te dice qué ha encontrado y cómo quitarlo.
Lo mejor: el gratuito es muy completo. A vigilar: consume recursos del servidor (los escaneos se ejecutan en tu hosting) y 30 días de retraso es mucho frente a fallos que se explotan en horas.
Sucuri
Aquí hay que distinguir el plugin del servicio. El plugin gratuito (Sucuri Security) hace auditoría de actividad, vigilancia de integridad de archivos, escaneo remoto de malware con SiteCheck, comprobación de listas negras, endurecimiento y acciones para después de un hackeo. No incluye cortafuegos.
El cortafuegos de Sucuri es un servicio de pago en la nube: el tráfico de tu web pasa por sus servidores, que filtran ataques y mitigan DDoS sin instalar nada en WordPress. Con su clave se desbloquean en el plugin el escaneo de vulnerabilidades y la protección contra fuerza bruta.
Lo mejor: el WAF en la nube no carga tu servidor y frena el ataque antes de que llegue. A vigilar: el plugin gratis solo vigila, no protege; y el WAF hay que configurarlo bien en el DNS y en el servidor, o se puede esquivar atacando directamente a la IP del hosting.
Solid Security (ahora Kadence Security)
Es el antiguo iThemes Security, que pasó a llamarse Solid Security y, desde su versión 10, aparece en WordPress.org como Kadence Security. Es el mismo plugin y muchos lo siguen buscando por el nombre anterior.
La versión gratuita se centra en el acceso: protección contra fuerza bruta local y en red, verificación en dos pasos (app, correo, códigos de respaldo) y un escáner de vulnerabilidades que comprueba núcleo, plugins y temas cuatro veces al día. La de pago añade el parcheo virtual de vulnerabilidades con Patchstack (protege un fallo conocido aunque el plugin afectado todavía no tenga actualización), la gestión automática de actualizaciones, el registro de actividad de usuarios y escaneos cada hora.
Lo mejor: muy bueno endureciendo el acceso, y el parcheo virtual de la versión Pro es justo lo que falta en los demás. A vigilar: el gratuito no tiene escáner de malware al nivel de Wordfence.
MalCare
Su diferencia es que escanea en sus servidores, no en el tuyo, así que no ralentiza la web. El plan gratuito incluye escaneo de archivos y base de datos, un cortafuegos con reglas que se actualizan cada 7 días (en los planes de pago, mucho más a menudo), protección contra bots y del acceso. La limpieza automática, ver el detalle de los archivos infectados, el bloqueo por países y el endurecimiento son de pago.
Lo mejor: el escaneo externo no pesa y es difícil de desactivar desde la web infectada. A vigilar: la versión gratuita te avisa, pero para limpiar hay que pagar.
Jetpack (Protect y Scan)
Jetpack Protect gratuito revisa a diario las versiones de WordPress, plugins y temas contra la base de datos de vulnerabilidades de WPScan (de Automattic, la empresa de Jetpack). Mejorándolo, se añade el escaneo de malware con arreglos de un clic y el cortafuegos con reglas automáticas. La protección contra ataques de fuerza bruta es una función aparte de Jetpack.
Lo mejor: si ya usas Jetpack o WordPress.com, encaja sin más. A vigilar: el gratuito solo te dice qué tienes vulnerable; no bloquea ni limpia.
Resumen
| Plugin | Versión gratuita | Lo que añade el pago |
|---|---|---|
| Wordfence | Cortafuegos dentro de WordPress, escáner de malware, 2FA. Reglas y firmas con 30 días de retraso | Reglas y firmas en tiempo real, lista de IPs, bloqueo por países. Limpieza solo en Care y Response |
| Sucuri | Auditoría, integridad de archivos, escaneo remoto con SiteCheck, listas negras, endurecimiento | Cortafuegos en la nube, mitigación de DDoS, fuerza bruta, escaneo de vulnerabilidades |
| Solid Security (Kadence Security) | Fuerza bruta, 2FA, escáner de vulnerabilidades cuatro veces al día | Parcheo virtual con Patchstack, actualizaciones automáticas, registro de usuarios, escaneo cada hora |
| MalCare | Escaneo en sus servidores (archivos y base de datos), cortafuegos con reglas cada 7 días, protección del acceso | Limpieza, detalle de archivos infectados, bloqueo por países, endurecimiento |
| Jetpack Protect | Comprobación diaria de versiones vulnerables (WPScan) | Escaneo de malware con arreglos de un clic, cortafuegos con reglas automáticas |
Según las páginas oficiales de cada plugin en WordPress.org y sus webs, consultadas el 8 de octubre de 2026. No incluyo precios porque cambian a menudo: consúltalos en cada web.
Lo que ningún plugin hace
Esto es lo que veo en las webs hackeadas que tenían un plugin de seguridad instalado:
- No arreglan el plugin vulnerable. Si un plugin tiene un fallo y no lo actualizas, el escáner te avisa y el cortafuegos puede frenar algunos ataques, pero el fallo sigue ahí. Solo el parcheo virtual se acerca, y solo para fallos conocidos. Cómo revisar tú los plugins, en plugins de WordPress vulnerables.
- No protegen de las credenciales robadas. Si alguien entra por FTP, por el panel del hosting o con la contraseña de un administrador, el plugin no ve nada raro. Lo que sí protege los accesos (contraseñas, verificación en dos pasos y
xmlrpc.php) está en fuerza bruta en WordPress. - Pueden ser desactivados por el propio malware. Un escáner que se ejecuta dentro de la web infectada depende de que el atacante no lo haya tocado. Lo he visto: plugin activo, panel en verde y web infectada.
- No revisan a fondo la base de datos ni la lógica de una tienda (un skimmer guardado en una opción del tema o del checkout pasa a menudo desapercibido).
- No hacen copias fuera del servidor (salvo servicios aparte) ni comprueban que se puedan restaurar.
- No te dicen por dónde entraron. Detectan síntomas, no causas.
Cuál elegir según tu web
- Web corporativa pequeña, sin tienda ni usuarios registrados: Wordfence gratuito o Solid/Kadence Security gratuito, con verificación en dos pasos para todos los administradores. Y actualizaciones semanales: eso pesa más que el plugin.
- Web con muchas visitas o en un hosting justo de recursos: algo que no escanee en tu servidor (MalCare) o un WAF en la nube (Sucuri), para no cargar el hosting.
- WooCommerce o área de clientes: un cortafuegos con reglas al día (Wordfence Premium o un WAF en la nube), verificación en dos pasos obligatoria y, si puedes, parcheo virtual. Y algo que vigile el checkout, que es lo que ningún plugin cubre del todo.
- Agencias con muchas webs: lo que puedas gestionar de forma centralizada. El mejor plugin es el que alguien revisa de verdad.
Para la configuración básica de WordPress (usuarios, permisos, wp-config.php, cabeceras), tengo los detalles en seguridad WordPress. Si quieres ver cómo se ve tu web desde fuera (versiones con fallos publicados, archivos expuestos, cabeceras), pasa el análisis gratuito. Y si la web ya muestra síntomas, empieza por las 10 señales de WordPress hackeado y sigue con cómo recuperar una web hackeada: instalar un plugin de seguridad después del hackeo no limpia lo que ya está dentro.
Si dudas entre un plugin gratuito, un servicio de pago como Wordfence Care o Sucuri, o que se encargue una persona, tienes los datos de cada opción, con fuentes y fecha de consulta, en la comparativa: Wordfence, Sucuri o un técnico.
Cuándo no basta
Un plugin es una capa más, no un responsable. Si nadie actualiza, nadie revisa los avisos y nadie comprueba que las copias funcionan, el plugin acaba siendo un icono verde en el escritorio. Por eso mi plan de mantenimiento para webs corporativas (35 €/mes (IVA no incluido)) consiste sobre todo en eso: actualizaciones supervisadas con copia previa, copia diaria fuera del servidor, análisis semanal y aviso si la web se cae. Detalles en mantenimiento WordPress. Y si el plugin ya ha encontrado malware, borrar lo que señala no cierra la entrada: eso es una limpieza de WordPress hackeado.
Fuentes
Preguntas frecuentes
¿Cuál es el mejor plugin de seguridad gratuito para WordPress?
Para la mayoría de webs pequeñas, Wordfence gratuito o Solid Security (hoy Kadence Security) gratuito, con la verificación en dos pasos activada. Ten en cuenta que Wordfence gratis recibe las reglas y firmas con 30 días de retraso.
¿Wordfence o Sucuri?
Wordfence protege desde dentro de WordPress y su versión gratuita ya trae cortafuegos y escáner. Sucuri brilla con su cortafuegos de pago en la nube, que filtra antes de llegar a tu servidor; su plugin gratuito solo vigila.
¿Qué pasó con iThemes Security y Solid Security?
iThemes Security pasó a llamarse Solid Security y, desde la versión 10, aparece en WordPress.org como Kadence Security. Es el mismo plugin.
¿Un plugin de seguridad limpia una web hackeada?
Algunos planes de pago incluyen limpieza (Wordfence Care y Response, MalCare de pago, Jetpack Scan con arreglos de un clic). Los gratuitos detectan, pero no buscan la entrada ni revisan la base de datos a fondo.
¿Puedo usar dos plugins de seguridad a la vez?
No es buena idea si los dos tienen cortafuegos: se pisan y ralentizan la web. Como mucho, uno con cortafuegos y un escáner externo que no se ejecute en tu servidor.