“Tengo WordPress actualizado, así que estoy seguro.”
Es la creencia más extendida y la más peligrosa, porque genera una tranquilidad que no está justificada. Actualizar es necesario, pero no es suficiente.
Vamos a ver qué cubre realmente y qué se queda fuera.
Qué sí resuelve actualizar
Empecemos por lo bueno, que es mucho. Mantener WordPress, plugins y tema al día cierra las vulnerabilidades conocidas, y esas son la vía de entrada de la inmensa mayoría de ataques automáticos.
Los bots no buscan objetivos concretos: escanean internet buscando versiones vulnerables publicadas en listas públicas. Si estás actualizado, ese escaneo pasa de largo.
Por eso actualizar es lo primero. Solo que no es lo único.
Lo que no cubre
1. Contraseñas débiles
Puedes tener todo actualizado y un usuario administrador con la contraseña Empresa2024. Los ataques de fuerza bruta prueban miles de combinaciones por minuto contra la página de acceso, y no necesitan ninguna vulnerabilidad: solo paciencia.
Añade a esto que mucha gente reutiliza contraseñas. Si esa misma clave apareció en la filtración de otro servicio, ya está en las listas que usan los atacantes.
Qué hacer: contraseñas largas y únicas, un gestor de contraseñas, y sobre todo doble factor de autenticación en los usuarios administradores. Con 2FA, aunque acierten la contraseña, no entran.
2. El usuario “admin”
Si tu usuario administrador se llama admin, le has dado a los atacantes la mitad del trabajo hecho: solo tienen que adivinar la contraseña.
Crea un usuario nuevo con otro nombre, dale permisos de administrador, y elimina el antiguo reasignando su contenido.
3. Permisos mal repartidos
Es habitual que todo el mundo en la empresa tenga permisos de administrador “por comodidad”. El becario que solo escribe en el blog, la persona de marketing, el diseñador externo que trabajó hace dos años y sigue teniendo acceso.
Cada administrador es una puerta más. WordPress tiene roles con permisos limitados por algo: usa el mínimo necesario para cada persona.
Y cuando alguien deja de colaborar, quítale el acceso ese mismo día.
4. Software legítimo mal configurado
Muchos problemas no vienen de código malicioso sino de configuraciones descuidadas: listados de directorios abiertos, archivos de copia de seguridad accesibles desde el navegador, el archivo debug.log público con rutas internas, o un wp-config.php con permisos demasiado permisivos.
Nada de eso lo arregla una actualización.
5. El hosting
Tu WordPress puede estar impecable y el servidor tener una versión de PHP obsoleta sin parches de seguridad. En hosting compartido mal aislado, incluso la web infectada de otro cliente puede llegar a afectarte.
6. Vulnerabilidades de día cero
Son las que aún no tienen parche porque acaban de descubrirse. Por definición, estar actualizado no protege de ellas. Es poco frecuente en webs pequeñas, pero conviene saber que existe: es la razón por la que la seguridad se plantea por capas y no como una casilla que se marca.
Las capas que sí faltan
Sin volverse paranoico, esto es lo razonable para una web de pyme:
- Doble factor en los administradores. Es la medida con mejor relación entre esfuerzo y protección
- Limitar intentos de acceso, para que la fuerza bruta no sea viable
- Cambiar la URL de acceso. No es seguridad real, pero elimina de golpe casi todo el ruido de bots automáticos
- Un firewall que filtre peticiones maliciosas antes de que lleguen a WordPress
- Copias de seguridad externas. No previenen, pero convierten un desastre en un contratiempo
- Revisar quién tiene acceso, cada cierto tiempo
Lo que nadie te puede prometer
Aquí conviene ser claro, aunque comercialmente sea menos atractivo: ningún proveedor puede garantizar que tu web nunca será atacada.
Si alguien te lo promete, o no sabe de lo que habla o está exagerando para cerrar la venta. Cualquier sistema conectado a internet es atacable.
Lo que sí se puede hacer, y es mucho:
- Reducir drásticamente la probabilidad, cerrando las vías por las que entra el 95% de los ataques
- Detectarlo pronto si ocurre, en lugar de semanas después
- Tener una vía de vuelta: una copia limpia y reciente para restaurar
Esa es la diferencia entre un susto de una tarde y una crisis de dos semanas.
Lo mínimo que puedes hacer esta semana
Si solo vas a hacer tres cosas:
- Activa el doble factor en tu usuario administrador
- Revisa la lista de usuarios y quita los que ya no deberían tener acceso
- Comprueba que tienes copias de seguridad fuera de tu servidor y que funcionan
Son gratis, se hacen en una tarde, y cubren buena parte del riesgo real.
El resto —firewall, monitorización, revisión periódica, actualizaciones verificadas— es lo que incluimos en nuestro servicio de mantenimiento. No porque no puedas hacerlo tú, sino porque requiere constancia, y la constancia es justo lo que falta cuando tienes un negocio que atender.
¿Prefieres que lo revisemos nosotros? Echa un vistazo a nuestro servicio de mantenimiento WordPress o cuéntanos qué necesita tu web y te respondemos en menos de 24 horas.