Respuesta rápida: la mayoría de webs WordPress se hackean por plugins desactualizados y contraseñas débiles o robadas, no por WordPress en sí. Según el informe de Patchstack de 2026 citado por investigadores de seguridad, cerca del 91 % de las vulnerabilidades publicadas en 2025 estaban en plugins, el 9 % en temas y menos del 1 % en el núcleo de WordPress. Por eso lo que más protege es sencillo: mantener todo actualizado, borrar los plugins que no usas, usar contraseñas fuertes con verificación en dos pasos, tener copias fuera del servidor y añadir un plugin de seguridad o cortafuegos fiable.
De dónde vienen las vulnerabilidades
| Origen | Porcentaje de vulnerabilidades (2025) |
|---|---|
| Plugins | ~91 % |
| Temas | ~9 % |
| Núcleo de WordPress | Menos del 1 % |
Cifras de Patchstack 2026 según guías de seguridad. El mismo estudio indica que algunas vulnerabilidades se explotan de forma masiva a las pocas horas de hacerse públicas: por eso es clave actualizar rápido.
Los 15 pasos
1. Actualiza WordPress, plugins y temas
Las actualizaciones corrigen fallos conocidos. Activa las actualizaciones automáticas de las versiones menores del núcleo y de los plugins de confianza, y revisa la pantalla de Actualizaciones cada semana. Haz siempre una copia antes de las grandes.
2. Borra los plugins y temas que no uses
Un plugin desactivado puede seguir teniendo archivos vulnerables. Si no lo necesitas, bórralo. Deja un tema por defecto como reserva y elimina el resto.
3. Instala solo plugins de confianza
Antes de instalar, mira la fecha de la última actualización, las instalaciones activas, las valoraciones y si el desarrollador responde en el soporte. Evita los plugins premium “nulled” (pirateados): a menudo traen malware.
4. Usa contraseñas fuertes y únicas
Usa un gestor de contraseñas para crear claves largas y aleatorias para cada cuenta de administrador, hosting, FTP y base de datos.
5. Activa la verificación en dos pasos (2FA)
La verificación en dos pasos frena la mayoría de ataques con contraseñas robadas. Actívala para todos los administradores y editores con un plugin de seguridad o de 2FA.
6. Limita los intentos de acceso
Bloquea o ralentiza los intentos fallidos repetidos para frenar a los bots de fuerza bruta. Muchos plugins y hostings lo incluyen.
7. Usa un cortafuegos de aplicaciones web (WAF)
Un cortafuegos filtra el tráfico malicioso antes de que llegue a tu web. Puede funcionar como plugin, en el hosting o como servicio en la nube. Algunos ofrecen “parches virtuales” que bloquean ataques conocidos antes de que actualices.
8. Guarda copias fuera del servidor
Las copias son tu red de seguridad. Programa copias diarias automáticas guardadas en un lugar distinto a tu servidor y prueba a restaurar al menos una vez.
9. Usa HTTPS en todo
Instala un certificado SSL (la mayoría de hostings lo dan gratis) y comprueba que todas las páginas cargan por HTTPS.
10. Elige un hosting seguro
Un buen hosting aísla las cuentas, usa PHP moderno (se recomienda 8.3+), busca malware y te ayuda cuando algo falla. Consulta nuestra guía del mejor hosting para WordPress. Pero no dependas solo del hosting: la mayoría de ataques van contra plugins y accesos.
11. Da a cada usuario el rol mínimo necesario
No todo el mundo necesita ser Administrador. Usa los roles Editor, Autor o Colaborador y elimina las cuentas antiguas.
12. Desactiva la edición de archivos desde el escritorio
Añade define( 'DISALLOW_FILE_EDIT', true ); a wp-config.php para que quien entre en una cuenta no pueda editar el código de temas y plugins desde el escritorio.
13. Protege wp-config.php y los permisos
Los permisos seguros habituales son 755 para carpetas y 644 para archivos, con permisos más estrictos para wp-config.php. Tu hosting puede revisarlos.
14. Sigue las noticias de vulnerabilidades
Consulta bases de datos de vulnerabilidades y los registros de cambios de tus plugins para saber cuándo actualizar con urgencia.
15. Vigila tu web
Usa monitorización de disponibilidad y análisis de seguridad para enterarte de los problemas antes que tus visitantes. Revisa Herramientas → Salud del sitio con regularidad.
¿Necesitas un plugin de seguridad?
Un plugin de seguridad fiable reúne cortafuegos, protección del acceso, 2FA, análisis de malware y alertas. Opciones conocidas: Wordfence, Solid Security, Sucuri y Patchstack. Elige solo uno: varios a la vez pueden entrar en conflicto y ralentizar la web.
Lista rápida de seguridad
| Tarea | ¿Hecho? |
|---|---|
| Núcleo, plugins y temas actualizados | ☐ |
| Plugins y temas sin uso eliminados | ☐ |
| 2FA en todas las cuentas de administrador | ☐ |
| Copias diarias fuera del servidor y probadas | ☐ |
| HTTPS en todas las páginas | ☐ |
| Cortafuegos o plugin de seguridad activo | ☐ |
| Edición de archivos desactivada | ☐ |
| PHP 8.3+ en el servidor | ☐ |
Qué hacer si hackean tu web
- No entres en pánico ni lo borres todo.
- Pon la web en mantenimiento o pide al hosting que la aísle.
- Cambia todas las contraseñas: usuarios de WordPress, hosting, FTP/SFTP y base de datos.
- Restaura una copia limpia anterior al ataque, si la tienes.
- Actualiza todo y elimina plugins, temas y administradores desconocidos.
- Analiza la web con una herramienta de seguridad o contrata un servicio de limpieza.
- Si Google muestra una advertencia, solicita una revisión en Search Console tras limpiarla.
- Si se han visto afectados datos personales de clientes en la UE, el RGPD exige en muchos casos notificarlo a la autoridad de protección de datos (en España, la AEPD) en un plazo de 72 horas.
La capa que se olvida: el servidor
La seguridad también depende del software del servidor: sistema operativo, servidor web y PHP. En octubre de 2026, dos fallos críticos de PHP conocidos como PHP2Shell permitieron ejecutar código en servidores sin parchear sin entrar en WordPress. Actualizar plugins no servía: solo una versión de PHP parcheada. Revisa tu versión en Herramientas → Salud del sitio → Información → Servidor y elige un hosting que aplique los parches rápido.
Un caso real
La web de una pequeña ONG empezó a redirigir a una página falsa de premios. La causa: un plugin de formularios sin actualizar desde hacía ocho meses con un fallo conocido. Restauraron una copia limpia, actualizaron todo, eliminaron cuatro plugins sin uso, activaron la verificación en dos pasos y añadieron un cortafuegos. Desde entonces, un voluntario dedica 15 minutos a la semana a revisar actualizaciones y copias.
Crea un hábito semanal
Una vez por semana, aplica actualizaciones, comprueba la copia de la noche anterior y revisa las alertas. Una vez al mes, revisa usuarios y plugins. Cada trimestre, prueba a restaurar una copia.
Preguntas frecuentes
¿WordPress es seguro?
El núcleo está bien mantenido y es muy seguro. La mayoría de problemas vienen de plugins desactualizados, contraseñas débiles y hostings malos.
¿Necesito un plugin de seguridad de pago?
No siempre. Las versiones gratuitas y buenos hábitos protegen a la mayoría de webs pequeñas.
¿Debo ocultar la página de acceso?
Reduce el ruido de los bots, pero la 2FA y las contraseñas fuertes importan mucho más.
¿Dónde están las recomendaciones oficiales?
En la guía Hardening WordPress de WordPress.org (en inglés).
Conclusión
La seguridad es sobre todo cuestión de hábitos: actualiza, borra lo que no uses, activa la 2FA y guarda copias. Y si algo falla tras una actualización, consulta cómo arreglar el error crítico de WordPress.
WordPressPrime.com es una guía independiente y no está afiliada a la WordPress Foundation, WordPress.org ni Automattic. Haz siempre una copia de seguridad de tu web antes de hacer cambios y consulta las fuentes oficiales para ver la información más reciente.