Si usas WordPress para el sitio web de tu empresa, tienes en tus manos la herramienta más popular del mundo. Pero esa misma popularidad la convierte en el objetivo favorito de los ciberdelincuentes.

La buena noticia es que no necesitas un máster en programación para proteger tu negocio. La mayoría de los ataques no los hacen hackers de película, sino programas automáticos (“bots”) que buscan puertas abiertas por descuido.

Si quieres asegurarte de que tu tienda online o web corporativa esté blindada, repasa este checklist en dos niveles: el básico (para el día a día) y el avanzado (para cuando quieras meter las manos en la masa o pedirle ayuda a tu proveedor de hosting).

Nivel 1: Dentro del panel de WordPress (Para no técnicos)

Estas acciones las puedes realizar tú mismo desde el administrador de tu web en menos de 30 minutos.

1. El dúo dinámico: Usuarios y Contraseñas

  • Elimina el usuario “admin”: Si tu nombre de usuario principal es admin, cámbialo ya. Es el primer nombre que intentan adivinar los atacantes.
  • Contraseñas robóticas: Utiliza un gestor de contraseñas (como 1Password o Bitwarden) para generar claves largas con símbolos, números y letras.
  • Cero usuarios innecesarios: Revisa la lista de usuarios. Si alguien ya no trabaja en tu empresa o un proveedor externo terminó su trabajo, borra su cuenta o degrada sus permisos a “Suscriptor”.

2. Actualizaciones al día (Sin miedo)

  • Activa actualizaciones automáticas de seguridad: En WordPress puedes configurar que las actualizaciones menores de seguridad se instalen solas.
  • Plugins y Temas al día: Un plugin sin actualizar es una puerta abierta. Revisa las actualizaciones al menos una vez a la semana.
  • Limpieza de primavera: Si tienes plugins o temas instalados que no estás usando (aunque estén desactivados), elimínalos. Siguen ocupando espacio y pueden ser vulnerables.

3. Doble Factor de Autenticación (2FA)

  • Instala un plugin para 2FA: Utiliza plugins sencillos como Two Factor Authentication o la función integrada de plugins de seguridad. Te pedirá un código desde tu móvil al entrar, haciendo casi imposible que alguien adivine tu acceso.

4. Copias de seguridad: Tu seguro de vida

  • Automatiza tus Backups: Instala un plugin como UpdraftPlus para guardar copias automáticas diarias o semanales en un servicio externo como Google Drive o Dropbox.
  • La regla de oro: Nunca guardes las copias de seguridad únicamente en el mismo servidor web.

Nivel 2: Del lado del Servidor y Hosting (Un poquito más técnico)

Si tienes acceso al panel de tu hosting (cPanel, Plesk, etc.) o cuentas con el apoyo de un técnico, asegúrate de marcar estas casillas.

1. Certificado SSL y HTTPS

  • El candadito verde visible: Asegúrate de que toda tu web navega bajo https://. La mayoría de los hostings ofrecen certificados gratuitos (Let’s Encrypt). Esto cifra la información que envían tus clientes.

2. Permisos de archivos y carpetas

  • Estructura correcta de permisos: Vía FTP o Administrador de Archivos, verifica que los archivos tengan permisos 644 (o 640) y las carpetas 755 (o 750).
  • Protege el archivo wp-config.php: Este archivo contiene las claves de tu base de datos. Asegúrate de que sus permisos sean estrictos (600 o 640).

3. Ocultar la información sensible

  • Desactiva la edición de archivos: Añade la línea define('DISALLOW_FILE_EDIT', true); en tu archivo wp-config.php. Esto evita que, si alguien logra entrar al panel, pueda editar el código PHP directamente.
  • Desactiva el listado de directorios: Añade Options -Indexes a tu archivo .htaccess para evitar que cualquiera pueda navegar por las carpetas internas de tu servidor desde el navegador.

4. Versión de PHP

  • Utiliza una versión moderna de PHP: Comprueba en tu servidor que estás usando una versión de PHP con soporte activo (idealmente PHP 8.1 o superior). Las versiones antiguas no reciben parches de seguridad y son más lentas.

💡 Consejo de oro para dueños de negocio: La seguridad no es un evento único, es un hábito. Dedica 15 minutos al mes a repasar este checklist y mantendrás a tu empresa fuera del radar de las vulnerabilidades más comunes. O si estás buscando delegar este trabajo tengamos una llamada de 15 minutos sin compromisos.