# Seguridad WooCommerce: el pago vigilado y los pedidos falsos cortados. > Seguridad WooCommerce: reviso plugins, checkout y usuarios, corto la prueba de tarjetas (pedidos falsos) y vigilo la tienda. Plan Tienda online, 69 €/mes. URL: https://webintacta.com/seguridad-woocommerce Última actualización: 2026-10-17 **En resumen:** Una tienda WooCommerce tiene los riesgos de WordPress más uno propio: el checkout, donde se insertan formularios de tarjeta falsos y se prueban tarjetas robadas con pedidos falsos. En WebIntacta (Jose Soriano, en remoto para España y Latinoamérica) empiezo con un análisis externo gratuito; el informe para tiendas cuesta 169 € y el mantenimiento Tienda online, que vigila el pago y prueba una compra cada mes, 69 €/mes, IVA no incluido. WooCommerce hereda los riesgos de WordPress (plugins sin actualizar, contraseñas débiles) y añade uno propio: el checkout. Un plugin vulnerable basta para que alguien inserte un formulario de tarjeta falso, y un checkout sin límites sirve a otros para probar tarjetas robadas con pedidos falsos. ## Qué reviso en una tienda WooCommerce - Versión de WooCommerce y de cada plugin de pago, envío y facturación frente a fallos publicados - Scripts de terceros cargados en las páginas de carrito y pago - Pedidos falsos en serie (prueba de tarjetas) y cuentas de cliente creadas por bots - Archivos del núcleo y de plugins que no coinciden con los originales - Usuarios con rol de administrador o gestor de la tienda - Copias de seguridad, registros o exportaciones de pedidos accesibles desde internet ## Cómo lo hago 1. **Análisis gratuito.** Empieza con el análisis externo: versión, plugins visibles, archivos expuestos, cabeceras y listas negras. 2. **Informe interno.** Con el conector de solo lectura reviso la integridad de los archivos, la base de datos y los usuarios, sin darme FTP. 3. **Mantenimiento Tienda online.** Actualizo con copia previa, vigilo la integridad cada día, hago una compra de prueba al mes y, si te atacan, la limpieza está incluida. ## Los dos ataques que más veo en WooCommerce ## Pedidos falsos y prueba de tarjetas (card testing) Decenas de pedidos de importe pequeño, casi todos fallidos, con nombres y correos inventados: alguien usa tu checkout para comprobar qué tarjetas robadas siguen activas. No significa que te hayan hackeado, pero te cuesta comisiones, puede hacer que la pasarela te bloquee y llena la tienda de clientes falsos. - Límite de intentos de pago por IP y por sesión - Comprobación anti-bots en el pago (la de tu pasarela o un CAPTCHA) - Reglas de riesgo en la pasarela (Stripe Radar, por ejemplo) - Desactivar la creación de cuentas sin pedido si no la necesitas Paso a paso, en la [guía de pedidos falsos en WooCommerce](https://webintacta.com/guias/pedidos-falsos-woocommerce). ## Skimmers: el formulario de tarjeta que no pusiste tú Un skimmer es un JavaScript que copia lo que tus clientes escriben en el pago y lo envía a otro servidor. La tienda sigue vendiendo con normalidad; te enteras cuando el banco te avisa. En WooCommerce suele llegar por un plugin vulnerable y quedarse en la base de datos o en un archivo del tema. Cómo detectarlo y qué hacer, en la [guía sobre robo de tarjetas en tiendas online](https://webintacta.com/guias/robo-de-tarjetas-tienda-online). ## Precio Puedes quedarte en el análisis gratuito. Si tu tienda vende a diario, el plan Tienda online es lo que evita el susto. ### Análisis externo — Gratis Nota de seguridad y problemas visibles desde internet, en unos minutos y sin registro. - Plataforma y versión (WordPress, PrestaShop, WooCommerce, Shopify…) - Módulos y plugins visibles con fallos publicados - Archivos que no deberían verse (copias, .git, configuraciones) - HTTPS, certificado y cabeceras de seguridad - Correo del dominio (SPF, DKIM, DMARC) y listas negras - Preparación para agentes de IA (puntuación aparte) ### Informe de seguridad · tienda online — 169 € (IVA no incluido) Lo mismo que el informe web, más la revisión del pago y de los módulos de la tienda. 169 US$ en Latinoamérica. - Todo lo del informe para webs corporativas - Skimmers: scripts que copian tarjetas en el checkout - Overrides y módulos de pago modificados - Base de datos: scripts inyectados en contenidos y configuración > Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días. ### Mantenimiento · Tienda online — 69 €/mes (IVA no incluido) PrestaShop o WooCommerce: lo de la web corporativa y la vigilancia del pago. 59 US$/mes en Latinoamérica. - Todo lo del plan Web corporativa - Análisis diario y control de integridad de archivos con el conector - Revisión de módulos antes de actualizar (en copia de pruebas cuando se puede) - Prueba de compra mensual - 1 hora de trabajo técnico al mes - Limpieza incluida si se infecta (desde el 3.er mes de alta) > Sin permanencia. Pago anual: 10 meses. **+ Plus urgencia: +25 €/mes** (+19 US$/mes en Latinoamérica). Tus incidencias pasan delante de la cola de trabajo y, si te hackean, la limpieza va con prioridad sin pagar más. ### Plus urgencia — 25 €/mes (IVA no incluido) Complemento para cualquiera de los dos planes: tu caso pasa delante. 19 US$/mes en Latinoamérica. - Tus incidencias pasan delante de la cola de trabajo - Si te hackean, la limpieza se hace con prioridad sin pagar el complemento Prioridad - Canal directo para avisarme de un problema > Se añade a un plan de mantenimiento; no se contrata suelto. Para tiendas en línea con WooCommerce en Latinoamérica, el plan Tienda online cuesta 59 US$/mes. ## Preguntas frecuentes ### ¿Qué plugin de seguridad necesito? Un plugin ayuda (cortafuegos, límite de intentos de acceso), pero no sustituye a mantener todo actualizado ni a revisar que nadie ha tocado el checkout. Lo comparo en [qué plugin de seguridad para WordPress](https://webintacta.com/guias/mejor-plugin-seguridad-wordpress). ### Me llegan pedidos falsos, ¿me han hackeado? No necesariamente: suele ser prueba de tarjetas robadas usando tu checkout. Se corta con límites de intentos, comprobación anti-bots en el pago o reglas en la pasarela. Si además hay usuarios o scripts que no reconoces, sí es una intrusión. ### ¿El mantenimiento incluye la limpieza? En el plan Tienda online, sí, a partir del tercer mes de alta. Si te infectan antes, la limpieza se presupuesta aparte. ### ¿Funciona con cualquier hosting? Sí. El conector se instala como un plugin más y no depende del hosting. Solo necesito acceso al servidor si hay que limpiar. Contratar o preguntar: https://webintacta.com/soporte