En resumen
Un WordPress seguro depende menos del plugin de seguridad que de tener pocos plugins, todos actualizados, copias fuera del servidor y ningún administrador que sobre. En WebIntacta (Jose Soriano) lo compruebo con un análisis externo gratuito, corrijo lo urgente con la puesta a punto (299 €) y lo mantengo con el plan Web corporativa (35 €/mes, sin permanencia), IVA no incluido.
Revisado por Jose Soriano ·
Casi todos los WordPress hackeados que he visto tenían un plugin de seguridad instalado. El problema no suele ser la falta de un plugin, sino un componente sin actualizar, un usuario que sobra o un archivo olvidado a la vista. Aquí reúno lo que de verdad protege un WordPress y dónde está cada guía.
Protección de datos. Responsable: Jose Soriano Castro. Finalidad: enviarte el PDF del diagnóstico, avisarte por email durante 30 días si se publica un fallo de seguridad que afecte a tu web (con un análisis de repaso el día 30) y responder por escrito a tu consulta; las ofertas, solo si marcas esa casilla. Legitimación: tu consentimiento. Destinatarios: nadie, salvo obligación legal. Puedes darte de baja cuando quieras con el enlace de cada correo o escribiéndome. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad. Política de privacidad.
PASO 01
En unos minutos ves la nota y lo que cualquiera puede ver desde fuera.
PASO 02
Actualizo lo pendiente, quito plugins y usuarios que sobran, cierro los archivos expuestos y configuro copias y cabeceras.
PASO 03
Lo dejo en mantenimiento con análisis semanal, copia diaria y aviso si la web cae. Si se infecta, la limpieza está incluida.
Un buen plugin de seguridad pone un cortafuegos de aplicación, limita los intentos de acceso, avisa de archivos cambiados y busca firmas de malware conocidas. Es útil. Lo que no hace: actualizar por ti el plugin vulnerable, saber qué usuario sobra, revisar a fondo la base de datos ni decirte por dónde entró alguien que ya está dentro.
Con uno conocido y bien mantenido basta; dos a la vez suelen estorbarse. La comparación, en cuál es el mejor plugin de seguridad para WordPress. Si dudas entre un plugin, un servicio de pago o que se encargue alguien, lo tienes con fuentes en la comparativa: Wordfence, Sucuri o un técnico.
Una copia sirve si cumple tres cosas: está fuera de tu servidor, es de antes de la infección y alguien ha probado a restaurarla. La copia que guarda el propio hosting en la misma máquina no cumple la primera. Cómo montarlas bien, en la guía de copias de seguridad de WordPress.
Los fallos de plugins se publican y se aprovechan en días, así que las actualizaciones van cada semana, con copia previa. Que el panel no muestre nada pendiente no basta: un plugin cerrado, abandonado o con la licencia caducada no avisa. Cómo comprobarlo, en plugins de WordPress vulnerables. Para los accesos (contraseñas, verificación en dos pasos y xmlrpc.php), está la guía de fuerza bruta en WordPress. Las cabeceras de seguridad (HSTS, CSP, X-Frame-Options) cuestan poco y cierran ataques enteros: están explicadas en cabeceras de seguridad HTTP.
Si quieres una revisión completa por dentro, con PDF y plan de acción, eso es la auditoría de seguridad de WordPress, con sus 14 comprobaciones. Si ya te han hackeado, ve directo a WordPress hackeado.
El análisis es gratis. La puesta a punto corrige lo urgente; el mantenimiento lo mantiene así, sin permanencia.
Nota de seguridad y problemas visibles desde internet, en unos minutos y sin registro.
Gratis
Sin registro y sin compromiso
El informe de seguridad y la corrección de lo urgente (hasta 3 horas).
299 €
IVA no incluido299 US$ en Latinoamérica
WordPress o web de empresa: actualizada, con copias y vigilada.
35 €/mes
IVA no incluido29 US$/mes en Latinoamérica
¿Cómo proteger mi sitio WordPress desde México, Colombia o Argentina? Igual: análisis gratuito y, si lo quieres, el mantenimiento por 29 US$/mes. Todos los precios
Guías
Para la mayoría basta uno conocido y bien mantenido (con cortafuegos y límite de intentos). Más importante que cuál: tener pocos plugins, todos actualizados, y nadie con permisos de administrador que no los necesite. Lo explico en la guía de plugins de seguridad.
Las actualizaciones, cada semana: los fallos se publican y se aprovechan en días. Una revisión completa, al menos una vez al año o después de cualquier cambio grande.
Hay señales que puedes comprobar tú: usuarios que no conoces, archivos .php en uploads, redirecciones en el móvil. Están todas en cómo saber si mi WordPress está hackeado.
Sí, aunque cada sitio de la red se revisa por separado y la limpieza lleva un suplemento de 90 €.
Análisis externo gratuito. Sin registro y sin instalar nada.
Protección de datos. Responsable: Jose Soriano Castro. Finalidad: enviarte el PDF del diagnóstico, avisarte por email durante 30 días si se publica un fallo de seguridad que afecte a tu web (con un análisis de repaso el día 30) y responder por escrito a tu consulta; las ofertas, solo si marcas esa casilla. Legitimación: tu consentimiento. Destinatarios: nadie, salvo obligación legal. Puedes darte de baja cuando quieras con el enlace de cada correo o escribiéndome. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad. Política de privacidad.