7 errores de seguridad en WordPress que ponen en riesgo tu negocio

1. Contraseñas débiles y sin 2FA

Síntoma: claves cortas o reutilizadas; accesos solo con usuario/contraseña.
Riesgo: fuerza bruta, relleno de credenciales filtradas, secuestro de sesiones.
Cómo corregirlo

• Impón contraseñas largas (≥12 caracteres, aleatorias, únicas).
• Activa 2FA (Doble factor de autenticación) para administradores y editores.
• Elimina el usuario “admin”

2. WordPress, temas y plugins desactualizados (o abandonados)

Síntoma: hay actualizaciones pendientes; usas plugins sin mantenimiento.
Riesgo: vulnerabilidades conocidas explotables en minutos.
Cómo corregirlo

• Actualiza core, temas y plugins; desinstala lo que no uses.
• Sustituye plugins sin soporte por alternativas mantenidas.
• Activa autoupdates donde tenga sentido y prueba cambios en staging.

3. Plugins/temas “nulled” o de baja calidad

Síntoma: versiones “gratuitas” de productos premium; desarrollos sin reputación.
Riesgo: backdoors ocultas, inyección de spam, malware persistente.
Cómo corregirlo

• Usa solo fuentes oficiales o repositorios reputados.
• Audita el inventario de plugins y reduce al mínimo.
• Reinstala desde origen limpio y elimina restos del código anterior.

4. Acceso de login y XML-RPC sin protección

Síntoma: /wp-login.php y xmlrpc.php expuestos sin controles adicionales.
Riesgo: fuerza bruta, abuso de admin-ajax.php, ataques de bots.
Cómo corregirlo

• Limita intentos de acceso y añade CAPTCHA en el login.
• Restringe o deshabilita XML-RPC si no lo usas.
• Considera listas de acceso (IP allowlist) o un WAF delante del sitio.

5. Permisos de archivos erróneos y edición desde el panel

Síntoma: permisos 777/775 indiscriminados; editor de archivos habilitado.
Riesgo: ejecución de código malicioso y escaladas de privilegios.
Cómo corregirlo

• Ajusta permisos: 644 archivos / 755 directorios (como base).
• Desactiva la edición de archivos en el panel: define('DISALLOW_FILE_EDIT', true);
• Revisa .htaccess y wp-config.php en busca de reglas o inclusiones extrañas.

6. Gestión deficiente de usuarios y roles

Síntoma: cuentas compartidas, exceso de administradores, roles sobredimensionados.
Riesgo: acciones críticas sin trazabilidad, fuga de credenciales.
Cómo corregirlo

• Cuentas personales y 2FA obligatoria para roles críticos.
• Principio de mínimo privilegio: da solo los permisos necesarios.
• Auditoría mensual: elimina usuarios inactivos y revisa roles/metacapacidades.

7. Sin HTTPS ni cabeceras de seguridad

Síntoma: candado ausente, avisos “no seguro”, cabeceras por defecto.
Riesgo: robo de credenciales, inyecciones, clickjacking.
Cómo corregirlo

• Fuerza HTTPS en todo el sitio y renueva certificados a tiempo.
• Añade cabeceras básicas: HSTS, X-Frame-Options, X-Content-Type-Options y una CSP prudente.
• Comprueba que no hay “mixto” (recursos HTTP cargados en páginas HTTPS).

Plan de acción en 30 minutos

1. Actualiza WordPress, tema y plugins; elimina lo innecesario.
2. Cambia contraseñas y activa 2FA en cuentas con acceso.
3. Ajusta permisos de archivos y desactiva la edición en el panel.
4. Protege el login (límite de intentos fallidos, CAPTCHA) y restringe XML-RPC.
5. Activa HTTPS y añade cabeceras de seguridad mínimas.
6. Revisa usuarios/roles y limpia cuentas inactivas.
7. Implementa un WAF (Cloudfare, por ejemplo) si recibes ataques o tienes un sitio crítico.

Checklist trimestral de seguridad

• ¿Todo actualizado y libre de plugins abandonados?
• ¿2FA activada y exigida en administradores/editores?
• ¿WAF activo o reglas de mitigación en el servidor/CDN?
• ¿Permisos de archivos correctos y DISALLOW_FILE_EDIT definido?
• ¿Login protegido y XML-RPC controlado?
• ¿HTTPS forzado y cabeceras de seguridad aplicadas?
• ¿Auditoría de usuarios y roles completada?
• ¿Copias de seguridad off-site probadas recientemente?

Estos fallos de seguridad se entienden mejor si los conectas con la autenticación 2FA, con una configuración correcta de SSL, con una política de actualizaciones constantes y con el rol de wp-config.php en la seguridad del sitio.