Checklist de seguridad para WordPress: 10 comprobaciones que puedes hacer hoy

Respuesta rápida: para proteger una web WordPress lo más importante es mantener al día el núcleo, los plugins y el tema, tener copias de seguridad fuera del servidor, usar una versión de PHP con soporte, activar la verificación en dos pasos y reducir al mínimo los plugins. Esta lista te guía punto por punto.

Las 10 comprobaciones

1. WordPress, plugins y tema actualizados

La gran mayoría de ataques aprovechan fallos conocidos en plugins sin actualizar. Actualiza con regularidad, pero siempre con una copia previa.

2. Copias de seguridad fuera del servidor

Una copia guardada en el mismo hosting no sirve si el servidor falla o es atacado. Guarda copias automáticas en otro lugar y prueba a restaurarlas de vez en cuando.

3. Versión de PHP con soporte

Las versiones antiguas de PHP dejan de recibir parches de seguridad. Pide a tu proveedor una versión actual (8.3 o superior; la 8.2 deja de recibir parches de seguridad a finales de 2026) y comprueba antes que tus plugins son compatibles.

4. Menos plugins, mejores plugins

Desinstala (no solo desactives) los plugins que no uses y evita los abandonados por su autor.

5. Contraseñas únicas y verificación en dos pasos

Activa la autenticación en dos pasos (2FA) para todos los administradores y usa un gestor de contraseñas.

6. Usuarios con el mínimo permiso

No todo el mundo necesita ser administrador. Usa los roles de editor o autor y elimina usuarios que ya no trabajan contigo.

7. Protege el acceso de administración

Limita los intentos de inicio de sesión y valora cambiar la dirección de acceso o restringirla. Muchos hostings lo incluyen en su plugin de seguridad.

8. HTTPS y cabeceras de seguridad

Además del certificado SSL, las cabeceras como HSTS, X-Content-Type-Options o X-Frame-Options dificultan ciertos ataques. Se configuran una sola vez.

9. Correo protegido con SPF y DMARC

Sin estos registros DNS, cualquiera puede enviar correos haciéndose pasar por tu dominio. Además, cada vez más proveedores rechazan correos de dominios sin ellos.

10. Monitorización

Un servicio que avise si la web cae o si cambia algún archivo te permite reaccionar en minutos y no en semanas.

Compruébalo automáticamente

Nuestro comprobador de seguridad web gratuito revisa en segundos el certificado, las cabeceras de seguridad, la versión de PHP y WordPress visible, la exposición del acceso de administración y los registros SPF y DMARC de tu dominio.

Si prefieres olvidarte, nuestros planes de mantenimiento web desde 70 € al mes incluyen actualizaciones, copias y vigilancia de seguridad.