Seguridad en WordPress: checklist por orden de impacto y qué hacer si te hackean

La seguridad de WordPress consiste en reducir el riesgo: mantener todo actualizado, controlar quién puede entrar, tener copias fuera del servidor y saber qué hacer cuando algo falla. La mayoría de las vulnerabilidades registradas están en plugins y temas, no en el núcleo de WordPress.

En esta guía tienes la lista de medidas ordenada por lo que más protege, los comandos para comprobar si tu web ya está comprometida y un protocolo de siete pasos para limpiarla, avisar a la AEPD si hay datos personales y pedir a Google que quite la alerta. Es parte del trabajo diario de un servicio de mantenimiento de WordPress.

Cómo se hackea de verdad un WordPress

El riesgo está en los plugins y temas que instalas. El informe State of WordPress Security in 2026 de Patchstack (actualizado el 25 de febrero de 2026, con datos de 2025) contó 11.334 vulnerabilidades nuevas en WordPress, un 42 % más que en 2024. De ellas, el 91 % estaba en plugins, el 9 % en temas y solo 6 en el núcleo.

Traducido a la práctica:

• Cada plugin que añades es código de un tercero que tienes que mantener al día.
• Un plugin que no usas también hay que mantenerlo al día, o borrarlo.
• Un plugin descargado de una fuente que no es WordPress.org o una empresa conocida puede traer una puerta trasera incluida.

En la revisión de 71 webs WordPress que hicimos en octubre de 2026 encontramos justo eso. En una web hackeada había un plugin llamado «antyspam-wp», con nombre de plugin antispam y una puerta trasera dentro. Y en otras había ficheros que nadie debía ver, accesibles desde el navegador: copias de la base de datos en .sql y un CSV de pedidos. No hacía falta hackear nada para llevárselos.

Checklist de seguridad WordPress por orden de impacto

La guía oficial de hardening de WordPress insiste en que se trata de reducir el riesgo. Este es el orden que seguimos nosotros, de más a menos impacto.

1. Actualiza el núcleo, los plugins y los temas

Es la medida que más pesa, por los datos de arriba. Actualiza con regularidad, borra lo que no uses e instala solo desde WordPress.org o de empresas conocidas. Con acceso por terminal:

wp core check-update
wp plugin list
wp plugin update --all

Haz una copia antes (la guía de copias explica cómo) y no olvides PHP, que también caduca: lo tienes en actualizar PHP en WordPress.

2. Controla los accesos

Contraseña larga y única para cada cuenta, autenticación en dos pasos, el mínimo de usuarios posible y ningún usuario llamado «admin». Revisa quién tiene rol de administrador:

wp user list --role=administrator

Si ves alguien que no reconoces, ya tienes un problema que resolver antes de seguir leyendo.

3. Ajusta permisos y bloquea la edición de ficheros

Según la guía oficial, los directorios van en 755, los ficheros en 644 y wp-config.php en 400 o 440, de modo que solo lo lea el propietario y el servidor web. Añade en wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );

Quita el editor de temas y plugins del escritorio. La propia guía advierte que el editor suele ser la primera herramienta de un atacante que consigue entrar, aunque esta línea no impide que suba ficheros por otra vía.

4. Copias fuera del servidor, y probadas

Si alguien te cuela algo y lo descubres tarde, necesitas una copia anterior a la intrusión. La guía oficial lo ilustra con un caso: si la intrusión ocurrió el 1 de mayo y la detectas el 12, tienes que poder reconstruir desde una copia previa y conservar las posteriores para ver cómo pasó. Detalles en copias de seguridad de WordPress.

5. SFTP en lugar de FTP, y HTTPS en el administrador

El FTP clásico envía usuario y contraseña sin cifrar. El SFTP no.

6. Un cortafuegos, si el resto está en orden

Lo vemos en la sección siguiente.

7. Lo cosmético, al final

Ocultar la versión de WordPress, cambiar el prefijo de las tablas o renombrar la página de acceso son medidas de «seguridad por oscuridad», según la guía oficial: no estorban, pero no sustituyen a nada de lo anterior.

¿Hace falta un plugin de seguridad para WordPress?

Un plugin de seguridad no sustituye a las actualizaciones ni a las copias. Lo que aporta es un cortafuegos (WAF), y la guía oficial distingue tres niveles:

Nivel	Dónde filtra	Ejemplos que cita la guía
Servidor (Apache, .htaccess)	Antes de que cargue WordPress	iThemes Security, All in One WP Security
WordPress	Dentro de WordPress	Wordfence, Shield
Proxy inverso externo	Antes de que la petición llegue a tu servidor	Cloudflare, Sucuri

No hacemos ranking de «el mejor plugin»: no hemos encontrado ninguna fuente primaria que lo respalde, y la eficacia depende de cómo esté configurado y de si todo lo demás está al día. Un cortafuegos en el servidor filtra antes de que WordPress cargue; el de un plugin actúa cuando WordPress ya está cargando.

Cómo saber si tu WordPress ha sido hackeado

Las señales más habituales:

• Redirecciones a páginas que no son la tuya, sobre todo al entrar desde Google.
• Páginas con spam que no has creado, visibles al buscar tu dominio.
• Usuarios administradores que no reconoces.
• Un aviso en Search Console («Problemas de seguridad») o en el navegador.
• El hosting suspende la cuenta por actividad anómala.

Si tienes terminal, WP-CLI compara los ficheros con los de WordPress.org:

wp core verify-checksums
wp plugin verify-checksums --all

El primero descarga las sumas de comprobación de tu versión de WordPress y las compara con lo que hay instalado. Un fallo en un fichero como readme.html puede ser benigno, pero un fichero desconocido dentro de wp-admin o wp-includes no lo es. El segundo solo comprueba plugins del directorio de WordPress.org: un plugin de pago o uno falso queda fuera. Por eso conviene mirar también la lista de plugins instalados y desconfiar de cualquiera que no recuerdes haber puesto.

Qué hacer si te hackean: protocolo en 7 pasos

El orden importa. Si limpias sin cerrar la puerta, te reinfectan.

1. Aísla y haz una copia de lo que hay

Antes de tocar nada, copia ficheros y base de datos. La copia infectada sirve para analizar cómo entraron. Avisa a tu hosting; muchos pueden poner la web en modo mantenimiento o aislarla.

2. Corta el acceso del atacante

Cambia todas las contraseñas: WordPress, panel del hosting, SFTP y base de datos. Cierra las sesiones abiertas, borra los administradores desconocidos y cambia las claves de seguridad:

wp user session destroy <usuario> --all
wp user list --role=administrator
wp config shuffle-salts

wp config shuffle-salts sustituye las claves de seguridad de wp-config.php.

3. Limpia o restaura

Hay dos caminos:

• Restaurar una copia anterior a la intrusión. Es lo más seguro si la tienes y sabes cuándo empezó.
• Reinstalar el núcleo y los plugins. Con wp core download --force --skip-content se descarga un WordPress limpio, y con wp plugin install <plugin> --force se reinstala cada plugin desde WordPress.org. Antes de ejecutarlos haz una copia y comprueba qué ficheros se sobrescriben: no damos por hecho que conserven tus ajustes. Después borra los ficheros que no deberían estar y revisa wp-content/uploads y wp-content/mu-plugins.

Si no sabes leer código, pide ayuda. Una puerta trasera oculta en un plugin de apariencia inocente se esconde justo de quien no sabe qué mirar.

4. Cierra la puerta por la que entraron

Busca la causa: un plugin o un tema desactualizado, una contraseña débil o un acceso que no debería existir. Vuelve a la checklist y arregla la causa; si no, volverán.

5. Verifica

Repite wp core verify-checksums y wp plugin verify-checksums --all, revisa los usuarios y las tareas programadas, y busca la web en Google con site:tudominio.com para ver si quedan páginas ajenas.

6. Avisa a quien haya que avisar

Lo explicamos a continuación.

7. Vigila los días siguientes

Mira ficheros nuevos, usuarios nuevos e intentos de acceso.

¿Hay que avisar a la AEPD si hackean tu web?

Si la intrusión afecta a datos personales (formularios de contacto, clientes, tienda), el responsable debe notificarlo a la AEPD sin dilación indebida y, si es posible, a más tardar 72 horas después de tener constancia, salvo que sea improbable que suponga un riesgo para las personas (RGPD, artículo 33). Si el riesgo es alto, hay que informar también a los afectados (artículo 34).

La AEPD añade que toda brecha se documenta, se notifique o no. La notificación se hace por la sede electrónica, y existe una herramienta de ayuda, ASESORA BRECHA, que no sustituye al responsable. Esto no es asesoramiento jurídico; ante la duda, consulta con quien lleve tu protección de datos.

Para orientarte, el INCIBE tiene la línea 017: es gratuita y confidencial, atiende de 8:00 a 23:00 todos los días y también a empresas. No es un canal de denuncia.

Cómo pedirle a Google que quite el aviso

Si Google ha marcado tu web, Search Console lo muestra en «Problemas de seguridad». Según la ayuda de Google, primero hay que solucionar el problema en todas las páginas; después se pulsa «Solicitar revisión» y se explica qué pasaba, qué pasos se han dado y cuál fue el resultado. La revisión tarda de varios días a varias semanas, y no conviene reenviar la solicitud mientras haya una pendiente.

Cómo evitar que te pase otra vez

Casi todo se reduce a un trabajo sostenido: actualizar, tener copias, revisar accesos y vigilar. Es lo que hace un servicio de mantenimiento y lo que incluye un hosting WordPress bien llevado. Si quieres ver el conjunto de tareas, tienes la guía de mantenimiento web; si la limpieza te obliga a cambiar de servidor, migrar WordPress a otro hosting cuenta cómo hacerlo sin perder el correo.

Preguntas frecuentes sobre seguridad en WordPress

Si prefieres que lo hagamos nosotros

Vigilar plugins, aplicar actualizaciones con una copia previa y actuar rápido cuando algo falla es lo que se descuida cuando nadie tiene tiempo. Si prefieres que lo hagamos nosotros: Blooglee, de MKPRO. Los planes están en precios.

Fuentes citadas

• Guía de hardening de WordPress: https://developer.wordpress.org/advanced-administration/security/hardening/ (consultada el 2 de noviembre de 2026)
• Patchstack, State of WordPress Security in 2026 (actualizado el 25-02-2026): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
• RGPD, texto publicado por el BOE: https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807
• AEPD, brechas de datos personales: https://www.aepd.es/preguntas-frecuentes/2-tus-obligaciones-como-responsable-del-tratamiento/11-brechas-de-datos-personales/FAQ-0233-a-quien-hay-que-notificar-las-brechas-de-datos-personales
• INCIBE, línea de ayuda 017: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad/faq
• Ayuda de Search Console, problemas de seguridad: https://support.google.com/webmasters/answer/9044101?hl=es
• WP-CLI, comandos: https://developer.wordpress.org/cli/commands/