# Seguridad WordPress comprobada, no supuesta. > Seguridad WordPress sin cuentos: qué hacen y qué no los plugins de seguridad, copias que sirven, actualizaciones y vigilancia. Empieza con un análisis gratis. URL: https://webintacta.com/seguridad-wordpress Última actualización: 2026-10-23 **En resumen:** Un WordPress seguro depende menos del plugin de seguridad que de tener pocos plugins, todos actualizados, copias fuera del servidor y ningún administrador que sobre. En WebIntacta (Jose Soriano) lo compruebo con un análisis externo gratuito, corrijo lo urgente con la puesta a punto (299 €) y lo mantengo con el plan Web corporativa (35 €/mes, sin permanencia), IVA no incluido. Casi todos los WordPress hackeados que he visto tenían un plugin de seguridad instalado. El problema no suele ser la falta de un plugin, sino un componente sin actualizar, un usuario que sobra o un archivo olvidado a la vista. Aquí reúno lo que de verdad protege un WordPress y dónde está cada guía. ## Lo que reviso en un WordPress - Versión de WordPress, plugins y tema contra las bases de vulnerabilidades - Plugins abandonados o copias «nulled» - Usuarios administradores, contraseñas por defecto y acceso a `wp-login.php` y `xmlrpc.php` - Archivos expuestos: copias `.zip`, `wp-config.php.bak`, registros de depuración - Integridad del núcleo: cada archivo comparado con el original - Cabeceras de seguridad, HTTPS y correo del dominio (SPF, DKIM, DMARC) ## Cómo lo hago 1. **Análisis externo, gratis.** En unos minutos ves la nota y lo que cualquiera puede ver desde fuera. 2. **Blindaje.** Actualizo lo pendiente, quito plugins y usuarios que sobran, cierro los archivos expuestos y configuro copias y cabeceras. 3. **Vigilancia.** Lo dejo en mantenimiento con análisis semanal, copia diaria y aviso si la web cae. Si se infecta, la limpieza está incluida. ## Seguridad WordPress, por partes ## Plugins de seguridad: lo que hacen y lo que no Un buen plugin de seguridad pone un cortafuegos de aplicación, limita los intentos de acceso, avisa de archivos cambiados y busca firmas de malware conocidas. Es útil. Lo que no hace: actualizar por ti el plugin vulnerable, saber qué usuario sobra, revisar a fondo la base de datos ni decirte por dónde entró alguien que ya está dentro. Con uno conocido y bien mantenido basta; dos a la vez suelen estorbarse. La comparación, en [cuál es el mejor plugin de seguridad para WordPress](https://webintacta.com/guias/mejor-plugin-seguridad-wordpress). Si dudas entre un plugin, un servicio de pago o que se encargue alguien, lo tienes con fuentes en la [comparativa: Wordfence, Sucuri o un técnico](https://webintacta.com/comparativa). ## Copias de seguridad Una copia sirve si cumple tres cosas: está fuera de tu servidor, es de antes de la infección y alguien ha probado a restaurarla. La copia que guarda el propio hosting en la misma máquina no cumple la primera. Cómo montarlas bien, en la [guía de copias de seguridad de WordPress](https://webintacta.com/guias/copia-de-seguridad-wordpress). ## Actualizaciones y cabeceras Los fallos de plugins se publican y se aprovechan en días, así que las actualizaciones van cada semana, con copia previa. Que el panel no muestre nada pendiente no basta: un plugin cerrado, abandonado o con la licencia caducada no avisa. Cómo comprobarlo, en [plugins de WordPress vulnerables](https://webintacta.com/guias/plugins-wordpress-vulnerables). Para los accesos (contraseñas, verificación en dos pasos y `xmlrpc.php`), está la guía de [fuerza bruta en WordPress](https://webintacta.com/guias/fuerza-bruta-wordpress-xmlrpc). Las cabeceras de seguridad (HSTS, CSP, X-Frame-Options) cuestan poco y cierran ataques enteros: están explicadas en [cabeceras de seguridad HTTP](https://webintacta.com/guias/cabeceras-de-seguridad-http). Si quieres una revisión completa por dentro, con PDF y plan de acción, eso es la [auditoría de seguridad de WordPress](https://webintacta.com/auditoria-seguridad-web#auditoria-wordpress), con sus 14 comprobaciones. Si ya te han hackeado, ve directo a [WordPress hackeado](https://webintacta.com/limpieza-malware-wordpress). ## Precio El análisis es gratis. La puesta a punto corrige lo urgente; el mantenimiento lo mantiene así, sin permanencia. ### Análisis externo — Gratis Nota de seguridad y problemas visibles desde internet, en unos minutos y sin registro. - Plataforma y versión (WordPress, PrestaShop, WooCommerce, Shopify…) - Módulos y plugins visibles con fallos publicados - Archivos que no deberían verse (copias, .git, configuraciones) - HTTPS, certificado y cabeceras de seguridad - Correo del dominio (SPF, DKIM, DMARC) y listas negras - Preparación para agentes de IA (puntuación aparte) ### Informe + puesta a punto — 299 € (IVA no incluido) El informe de seguridad y la corrección de lo urgente (hasta 3 horas). 299 US$ en Latinoamérica. - Informe de seguridad completo - Corrección de los hallazgos urgentes, hasta 3 horas de trabajo - Nuevo análisis para comprobarlo > Tienda online: 389 € (389 US$ en Latinoamérica). ### Mantenimiento · Web corporativa — 35 €/mes (IVA no incluido) WordPress o web de empresa: actualizada, con copias y vigilada. 29 US$/mes en Latinoamérica. - Actualizaciones supervisadas de núcleo, plugins y tema, con copia previa - Copia de seguridad diaria fuera de tu servidor - Análisis de seguridad semanal - Aviso si la web se cae (comprobación cada 5 minutos) - Informe mensual en PDF - Una limpieza al año incluida si se infecta (desde el 3.er mes de alta) > Sin permanencia. Pago anual: 10 meses. **+ Plus urgencia: +25 €/mes** (+19 US$/mes en Latinoamérica). Tus incidencias pasan delante de la cola de trabajo y, si te hackean, la limpieza va con prioridad sin pagar más. ¿Cómo proteger mi sitio WordPress desde México, Colombia o Argentina? Igual: análisis gratuito y, si lo quieres, el mantenimiento por 29 US$/mes. ## Preguntas frecuentes ### ¿Qué plugin de seguridad me recomiendas? Para la mayoría basta uno conocido y bien mantenido (con cortafuegos y límite de intentos). Más importante que cuál: tener pocos plugins, todos actualizados, y nadie con permisos de administrador que no los necesite. Lo explico en la [guía de plugins de seguridad](https://webintacta.com/guias/mejor-plugin-seguridad-wordpress). ### ¿Cada cuánto debería revisar la seguridad? Las actualizaciones, cada semana: los fallos se publican y se aprovechan en días. Una revisión completa, al menos una vez al año o después de cualquier cambio grande. ### ¿Cómo sé si mi WordPress ya está hackeado? Hay señales que puedes comprobar tú: usuarios que no conoces, archivos .php en `uploads`, redirecciones en el móvil. Están todas en [cómo saber si mi WordPress está hackeado](https://webintacta.com/guias/como-saber-si-mi-wordpress-esta-hackeado). ### ¿Sirve para WordPress multisitio? Sí, aunque cada sitio de la red se revisa por separado y la limpieza lleva un suplemento de 90 €. Contratar o preguntar: https://webintacta.com/soporte