Trusted WordPress tutorials, when you need them most.
Beginner’s Guide to WordPress
Copa WPB
25 Million+
Websites using our plugins
16+
Years of WordPress experience
3000+
WordPress tutorials
by experts

La guía definitiva de seguridad de WordPress – Paso a paso (2024)

Nota editorial: Ganamos una comisión de los enlaces de socios en WPBeginner. Las comisiones no afectan a las opiniones o evaluaciones de nuestros editores. Más información sobre Proceso editorial.

La seguridad en WordPress es un debate de gran importancia para todos los propietarios de sitios web.

Si te tomas en serio tu sitio web, debes prestar atención a las mejores prácticas de seguridad de WordPress. De lo contrario, puede convertirse en uno de los más de 10.000 sitios web que Google incluye a diario en sus listas negras de malware y suplantación de identidad.

En esta guía, compartiremos nuestros principales consejos de seguridad de WordPress para ayudarle a proteger su sitio web contra hackers y malware.

The Ultimate WordPress Security Guide - Step by Step

Aunque el núcleo de WordPress es muy seguro y es auditado regularmente por cientos de desarrolladores, aún queda mucho por hacer para mantener seguro su sitio.

En WPBeginner, creemos que la seguridad no es sólo acerca de la eliminación de riesgos. También se trata de reducir los riesgos. Como propietario de un sitio web, hay mucho que puedes hacer para mejorar la seguridad de tu WordPress, incluso si no eres un experto en tecnología.

En este artículo, hemos elaborado una lista de medidas prácticas que puede tomar para proteger su sitio web contra las vulnerabilidades de seguridad.

Para hacerlo más fácil, hemos creado una tabla de contenidos para ayudarle a navegar fácilmente a través de nuestra guía definitiva de seguridad de WordPress.

Índice

Conceptos básicos de seguridad en WordPress

Seguridad en WordPress en sencillos pasos (sin código)

Seguridad de WordPress para usuarios aficionados

¿Preparados? Primeros pasos.

Por qué es importante la seguridad de los sitios web

Un sitio web WordPress hackeado puede causar graves daños a los ingresos y la reputación de su empresa. Los hackers pueden robar información y contraseñas de los usuarios, instalar software malintencionado e incluso distribuir malware a tus usuarios.

En el peor de los casos, es posible que tenga que pagar un rescate a los piratas informáticos sólo para recuperar el acceso a su sitio web.

Ransomware Attack

Cada día, Google advierte a entre 12 y 14 millones de usuarios de que un sitio web que están intentando visitar puede contener malware o robar información.

Además, Google incluye en su lista negra más de 10.000 sitios web al día por malware o suplantación de identidad.

Al igual que los propietarios de negocios con una ubicación física tienen la responsabilidad de salvaguardar su propiedad, los propietarios de negocios en línea deben prestar especial atención a la seguridad de su WordPress.

[Volver al principio ↑]

Mantener actualizado WordPress

Easily update WordPress

WordPress es un software de código abierto que se mantiene y actualiza con regularidad. Por defecto, WordPress instala automáticamente actualizaciones menores.

Para las versiones principales, debe iniciar manualmente la actualización.

WordPress también incluye miles de plugins y temas que puedes instalar en tu sitio web. El mantenimiento de estos plugins y temas corre a cargo de desarrolladores externos, que también lanzan actualizaciones con regularidad.

Estas actualizaciones de WordPress son cruciales para la seguridad y estabilidad de su sitio de WordPress. Debes asegurarte de que el núcleo, los plugins y el tema de WordPress están actualizados.

[Volver al principio ↑]

Utilice contraseñas y permisos de usuario seguros

Manage strong passwords

Los intentos de pirateo de WordPress más comunes utilizan contraseñas robadas. Puedes dificultarlo utilizando contraseñas más seguras y exclusivas para tu sitio web.

No estamos hablando sólo del área de administrador de WordPress. Recuerde crear contraseñas seguras para sus cuentas FTP, bases de datos, cuentas de alojamiento de WordPress y direcciones de correo electrónico personalizadas que utilicen el nombre de dominio de su sitio.

A muchos principiantes no les gusta usar contraseñas seguras porque son difíciles de recordar. Lo bueno es que ya no necesitas recordar contraseñas porque puedes usar un gestor de contraseñas.

Consulte nuestra guía sobre cómo gestionar las contraseñas de WordPress para obtener más información.

Otra forma de reducir el riesgo es no dar acceso a nadie a su cuenta de administrador de WordPress a menos que sea absolutamente necesario.

Si tiene un equipo grande o autores invitados, asegúrese de comprender los perfiles y capacidades de los usuarios en WordPress antes de añadir nuevas cuentas de usuario y autores a su sitio de WordPress.

[Volver al principio ↑]

Entender el perfil de alojamiento de WordPress

WP Engine WordPress Hosting Homepage

Tu servicio de alojamiento WordPress juega el perfil más importante en la seguridad de tu sitio WordPress. Un buen proveedor de alojamiento compartido como Hostinger, Bluehost o SiteGround toma medidas adicionales para proteger sus servidores contra las amenazas más comunes.

He aquí algunas de las formas en que las buenas empresas de alojamiento web trabajan en segundo plano para proteger sus sitios web y sus datos:

  • Supervisan continuamente su red en busca de actividades sospechosas.
  • Todas las buenas empresas de alojamiento disponen de herramientas para evitar ataques DDoS a gran escala.
  • Mantienen actualizados el software de sus servidores, las versiones de PHP y el hardware para evitar que los piratas informáticos exploten una vulnerabilidad de seguridad conocida en una versión antigua.
  • Disponen de planes de recuperación en caso de catástrofe y accidentes listos para ser aplicados que les permiten proteger sus datos en caso de accidente grave.

En un plan de alojamiento compartido, usted comparte los recursos del servidor con muchos otros clientes. Existe el riesgo de contaminación entre sitios, en el que un hacker puede utilizar un sitio vecino para atacar su sitio web.

En cambio, utilizar un servicio de alojamiento gestionado de WordPress proporciona una plataforma más segura para su sitio web. Las empresas de alojamiento gestionado de WordPress ofrecen copias de seguridad automáticas, actualizaciones automáticas de WordPress y configuraciones de seguridad más avanzadas para proteger su sitio web.

Recomendamos WP Engine como nuestro proveedor preferido de alojamiento gestionado de WordPress. También es el proveedor más popular del sector.

Asegúrese de obtener la mejor oferta utilizando nuestro cupón especial WP Engine.

[Volver al principio ↑]

Seguridad de WordPress en pocos pasos (sin código)

Sabemos que mejorar la seguridad de WordPress puede ser una idea aterradora para los principiantes, especialmente si no eres un experto en tecnología. Adivina qué: no estás solo.

Hemos ayudado a miles de usuarios de WordPress a reforzar su seguridad.

Le mostraremos cómo puede mejorar la seguridad de su WordPress con sólo unos clics (sin necesidad de código).

Si sabes apuntar y hacer clic, ¡puedes hacerlo!

1. Instalar una solución de copia de seguridad de WordPress

WordPress Backup

Las copias de seguridad son tu primera defensa contra cualquier ataque a WordPress. Recuerde, nada es 100% seguro. Si los sitios web gubernamentales pueden ser pirateados, el tuyo también.

Las copias de seguridad le permiten restaurar rápidamente su sitio WordPress en caso de que ocurriera algo malo.

Hay muchos plugins de copia de seguridad de WordPress gratuitos y de pago que puede utilizar. Lo más importante que debe saber cuando se trata de copias de seguridad es que debe guardar regularmente copias de seguridad de todo el sitio en una ubicación remota (no en su cuenta de alojamiento).

Recomendamos almacenarlo en un servicio en la nube como Amazon, Dropbox o nubes privadas como Stash.

En función de la frecuencia con la que actualices tu sitio web, lo ideal sería establecer una vez al día o copias de seguridad en tiempo real.

Afortunadamente, esto se puede hacer fácilmente mediante el uso de plugins como Duplicator, UpdraftPlus, o BlogVault. Ambos son fiables y, lo que es más importante, fáciles de usar (sin necesidad de código).

Para obtener más información, consulte nuestra guía sobre cómo realizar copias de seguridad de su sitio web en WordPress.

[Volver al principio ↑]

Instale un plugin de seguridad para WordPress de buena reputación

Después de las copias de seguridad, lo siguiente que tenemos que hacer es establecer un sistema de auditoría y vigilancia que realice un seguimiento de todo lo que ocurre en su sitio web.

Esto incluye el seguimiento / vigilancia / supervisión de la integridad de los archivos, los intentos fallidos de acceso, la exploración de malware y mucho más.

Afortunadamente, puede ocuparse fácilmente de esto instalando uno de los mejores plugins de seguridad para WordPress, como Sucuri.

Necesitas instalar y activar el plugin gratuito Sucuri Security. Para más detalles, consulta nuestra guía paso a paso sobre cómo instalar un plugin de WordPress.

Ahora, puede dirigirse al Escritorio de Sucuri Security “ para ver si el plugin ha encontrado algún problema inmediato con su código de WordPress.

Setting up the Sucuri WordPress security plugin

Lo siguiente que tiene que hacer es navegar a la página Sucuri Security ” Ajustes y hacer clic en la pestaña ‘Refuerzo’.

Los ajustes por defecto funcionan bien para la mayoría de los sitios web, así que puede activarlos haciendo clic en el botón “Aplicar refuerzo” de cada opción.

Hardening your WordPress blog or website

Esto le ayuda a bloquear las áreas clave que los hackers suelen utilizar en sus ataques.

Consejo: Más adelante veremos otras formas de reforzar su sitio web, como cambiar el prefijo de la base de datos y el nombre de usuario del administrador. Sin embargo, estos son más técnicos y pueden requerir conocimientos de código.

Después de la parte de refuerzo, los otros ajustes por defecto del plugin son lo suficientemente buenos para la mayoría de los sitios web y no necesitan ningún cambio.

Lo único que recomendamos personalizar son las alertas por correo electrónico, que se encuentran en la pestaña “Alertas” de la página de ajustes.

Customizing your website's security alerts

Por defecto, recibirás un montón de alertas por correo electrónico que pueden saturar tu bandeja de entrada.

Le recomendamos activar las alertas solo para las acciones clave sobre las que desee recibir avisos, como los cambios de plugins y los registros de nuevos usuarios.

Customizing your WordPress security notifications

Este plugin de seguridad para WordPress es muy potente, así que navegue por todas las pestañas y ajustes para ver todo lo que hace, como explorar malware, registros de auditoría, seguimiento de intentos fallidos de acceso y mucho más.

Para más información, puede ver nuestra detallada reseña / valoración de Sucuri.

Activar un cortafuegos de aplicaciones web (WAF)

La forma más sencilla de proteger su sitio y estar tranquilo acerca de la seguridad de WordPress es utilizar un cortafuegos de aplicaciones web (WAF).

Un cortafuegos de sitios web bloquea todo el tráfico malintencionado incluso antes de que llegue a su sitio web.

  • Un cortafuegos de sitios web a nivel de DNS enruta el tráfico de su sitio web a través de sus servidores proxy en la nube. Esto le permite enviar solo tráfico genuino a su servidor web.
  • Un cortafuegos a nivel de aplicación examina el tráfico una vez que llega a su servidor pero antes de cargar la mayoría de los scripts de WordPress. Este método no es tan eficaz como el cortafuegos a nivel de DNS para reducir la carga del servidor.

Para obtener más información, consulte nuestra lista de los mejores plugins de cortafuegos para WordPress.

How website firewall blocks attacks

Utilizamos Sucuri en WPBeginner durante muchos años y todavía lo recomendamos como uno de los mejores cortafuegos de aplicaciones web para WordPress. Recientemente cambiamos de Sucuri a Cloudflare porque necesitábamos una red CDN más grande con características más enfocadas a clientes empresariales.

Puede leer acerca de cómo Sucuri nos ayudó a bloquear 450.000 ataques a WordPress en un mes.

Attacks blocked by Sucuri

La mejor parte acerca del cortafuegos de Sucuri es que también viene con una garantía de limpieza de malware y eliminación de listas negras. Eso significa que si fueras hackeado bajo su vigilancia, te garantizan que corregirán tu sitio web, sin importar cuántas páginas tengas.

Esta es una garantía bastante fuerte porque reparar sitios web hackeados es caro. Los expertos en seguridad normalmente cobran más de 250 dólares por hora, mientras que puedes obtener toda la pila de seguridad Sucuri por 199 dólares durante todo un año.

Dicho esto, Sucuri no es el solo proveedor de cortafuegos a nivel de DNS que existe. El otro competidor popular es Cloudflare. Vea nuestra comparación de Sucuri vs. Cloudflare (Pros y Contras).

[Volver al principio ↑]

Traslade su sitio WordPress a SSL/HTTPS

SSL (Secure Sockets Layer) es un protocolo que cifra la transferencia de datos entre su sitio web y el navegador / explorador del usuario. Este cifrado dificulta que alguien husmee y robe información.

How SSL Works

Una vez que active SSL, la dirección de su sitio web utilizará HTTPS en lugar de HTTP. También verá un candado o un icono similar al lado de la dirección de su sitio web en el navegador / explorador.

Los certificados SSL suelen ser emitidos por autoridades de certificación y sus precios oscilan entre 80 y cientos de dólares al año. Debido al coste añadido, la mayoría de los propietarios de sitios web han optado en el pasado por seguir utilizando este protocolo inseguro.

Para corregirlo, una organización sin ánimo de lucro llamada Let’s Encrypt decidió ofrecer certificados SSL gratuitos a los propietarios de sitios web. Su proyecto es compatible con / dar soporte a Google Chrome, Facebook, Mozilla, y muchas más empresas.

Ahora es más fácil que nunca empezar a utilizar SSL para todos sus sitios web WordPress. Muchas empresas de alojamiento ofrecen ahora un certificado SSL gratuito para su sitio web WordPress.

Si su empresa de alojamiento no ofrece uno, puede adquirir un certificado SSL en Domain.com. Tienen las mejores y más fiables ofertas de SSL del mercado. El certificado viene con una garantía de seguridad de 10.000 dólares y un sello de seguridad TrustLogo.

Si haces todo lo que hemos mencionado hasta ahora, entonces estás en muy buena forma.

Pero como siempre, hay más cosas que puede hacer para reforzar la seguridad de su WordPress.

Tenga en cuenta que algunos de estos pasos pueden requerir conocimientos de código.

Cambiar el nombre de usuario de administrador por defecto

Antiguamente, el nombre de usuario por defecto del administrador de WordPress era ‘admin’. Dado que los nombres de usuario constituyen la mitad de las credenciales de acceso, esto facilitaba a los hackers los ataques de fuerza bruta.

Afortunadamente, WordPress ha cambiado esto y ahora le obliga a seleccionar un nombre de usuario personalizado en el momento de instalar WordPress.

Sin embargo, algunos instaladores de WordPress de 1-click todavía establecen el nombre de usuario de administrador por defecto en ‘admin’. Si advierte que este es el caso, probablemente sea una buena idea cambiar de alojamiento web.

Dado que WordPress no permite cambiar los nombres de usuario por defecto, hay tres métodos que puede utilizar para cambiar el nombre de usuario.

  1. Crea un nuevo nombre de usuario administrador y borra el antiguo.
  2. Utiliza el plugin de cambio de nombre de usuario
  3. Actualizar nombre de usuario desde phpMyAdmin

Hemos cubierto estos tres aspectos en nuestra guía detallada sobre cómo cambiar correctamente su nombre de usuario de WordPress.

Nota: Para que quede claro, estamos hablando de cambiar el nombre de usuario llamado ‘admin’, no el perfil de usuario administrador, que a veces también se llama ‘admin’.

[Volver al principio ↑]

Desactivar la edición de archivos

WordPress incorpora un editor de código que permite editar los archivos de temas y plugins directamente desde el área de administración de WordPress.

En las manos equivocadas, esta característica puede ser un riesgo para la seguridad, por lo que recomendamos desactivarla.

Adding custom CSS in a child theme's stylesheet in the theme file editor

Puede hacerlo fácilmente añadiendo el siguiente código a su archivo wp-config. php o con un plugin de fragmentos de código como WPCode (recomendado):

// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );

Le mostramos cómo hacerlo paso a paso en nuestra guía sobre cómo desactivar los editores de temas y plugins desde el panel de administrador de WordPress.

Alternativamente, puede hacer esto con 1 clic usando la característica de Refuerzo en el plugin gratuito de Sucuri mencionado anteriormente.

[Volver al principio ↑]

Desactivar la ejecución de archivos PHP en ciertos directorios de WordPress

Otra forma de reforzar la seguridad de WordPress es desactivando la ejecución de archivos PHP en directorios donde no sea necesario, como /wp-content/uploads/.

Para ello, abre un editor de texto como el Bloc de notas y pega este código:

<Files *.php>
deny from all
</Files>

A continuación, debe guardar este archivo como .htaccess y subirlo a la carpeta /wp-content/uploads/ de su sitio web mediante un cliente FTP.

Para una explicación más detallada, consulte nuestra guía sobre cómo desactivar la ejecución de PHP en determinados directorios de WordPress.

Alternativamente, puede hacer esto con 1 clic usando la característica de Refuerzo en el plugin gratuito de Sucuri que mencionamos anteriormente.

[Volver al principio ↑]

Limitar los intentos de acceso

Por defecto, WordPress permite a los usuarios intentar acceder tantas veces como quieran. Esto hace que su sitio WordPress sea vulnerable a ataques de fuerza bruta. Aquí es donde los hackers intentan descifrar las contraseñas tratando de acceder con diferentes combinaciones.

Esto se puede corregir fácilmente limitando los intentos fallidos de acceso que puede hacer un usuario. Si utiliza el cortafuegos de aplicaciones web mencionado anteriormente, esto se solucionará automáticamente.

Sin embargo, si no tiene el cortafuegos establecido, puede seguir los pasos que se indican a continuación.

En primer lugar, debes instalar y activar el plugin gratuito Limit Login Attempts Reloaded. Para más detalles, consulta nuestra guía paso a paso sobre cómo instalar un plugin de WordPress.

Una vez activado, el plugin empezará a limitar el número de intentos de acceso que los usuarios pueden realizar.

Los ajustes por defecto funcionarán para la mayoría de los sitios web, sin embargo, puede personalizarlos visitando la página Ajustes ” Limitar intentos de acceso y haciendo clic en la pestaña “Ajustes” en la parte superior. Por ejemplo, para cumplir las leyes del RGPD, puede hacer clic en la casilla de verificación “Cumplimiento del RGPD”.

Limit Login Attempts

Para obtener instrucciones detalladas, eche un vistazo a nuestra guía sobre cómo y por qué debería limitar los intentos de acceso / acceso en WordPress.

[Volver al principio ↑]

Añadir autenticación de dos factores (2FA)

El método de autenticación de dos factores requiere 2 pasos diferentes para que los usuarios puedan acceder:

  1. El primer paso es el nombre de usuario y la contraseña.
  2. El segundo paso requiere que utilices un código de un dispositivo o aplicación en tu posesión al que los hackers no puedan acceder, como tu smartphone.

La mayoría de los principales sitios web en línea como Google, Facebook y Twitter, le permiten activarlo para sus cuentas. También puede añadir la misma funcionalidad a su sitio de WordPress.

Primero, necesitas instalar y activar el plugin WP 2FA – Two-factor Authentication. Para más detalles, consulta nuestra guía paso a paso sobre cómo instalar un plugin de WordPress.

Un asistente fácil de usar le ayudará a establecer el plugin y luego se le dará un código QR.

Use Your Authenticator App to Scan the QR Code

Tendrás que explorar el código QR utilizando una aplicación de autenticación en tu teléfono, como Google Authenticator, Authy y LastPass Authenticator.

Te recomendamos usar LastPass Authenticator o Authy porque te permiten hacer copias de seguridad de tus cuentas en la nube. Esto es muy útil en caso de que pierdas tu teléfono, se restablezca o compres uno nuevo. Todos los accesos / accesos a tus cuentas se restaurarán fácilmente.

La mayoría de estas aplicaciones funcionan de forma similar y, si utilizas Authy, sólo tienes que hacer clic en el botón “+” o “Añadir cuenta” de la aplicación de autenticación.

Click the + Button to Add an Account

Esto te permitirá explorar el código QR en tu ordenador utilizando la cámara de tu teléfono. Es posible que primero tengas que dar permiso a la aplicación para acceder a la cámara.

Después de dar un nombre a la cuenta, puedes guardarla.

La próxima vez que acceda a su sitio web, se le pedirá el código de autenticación de dos factores después de introducir su contraseña.

Users Must Enter an Authentication Code Before Logging In

Sólo tienes que abrir la aplicación de autenticación en tu teléfono y verás un código de un solo uso.

A continuación, puede introducir el código en su sitio web para terminar de acceder.

Find Your 2FA Token

[Volver al principio ↑]

Cambiar el prefijo de la base de datos de WordPress

Por defecto, WordPress utiliza wp_ como prefijo para todas las tablas de su base de datos de WordPress.

Si su sitio WordPress está utilizando el prefijo de base de datos por defecto, entonces es más fácil para los hackers adivinar cuál es el nombre de su tabla. Por eso recomendamos cambiarlo.

Puede cambiar el prefijo de su base de datos siguiendo nuestro tutorial paso a paso sobre cómo cambiar el prefijo de la base de datos de WordPress para mejorar la seguridad.

Nota: Cambiar el prefijo de la base de datos puede romper su sitio si no se hace correctamente. Solo hazlo si te sientes cómodo con tus habilidades de código.

[Volver al principio ↑]

Contraseña Proteger WordPress administrador y página de acceso

Password protect WordPress admin example

Normalmente, los hackers pueden solicitar su carpeta wp-admin y su página de acceso / login sin ninguna restricción. Esto les permite probar sus trucos de hacking o ejecutar ataques DDoS.

Puede añadir protección de contraseña adicional a nivel de servidor, lo que bloqueará eficazmente esas peticiones.

Sólo tiene que seguir nuestras instrucciones paso a paso sobre cómo proteger con contraseña su directorio de administrador de WordPress (wp-admin).

[Volver al principio ↑]

Desactivar la indexación y exploración de directorios

Directory Browsing

Cuando escriba la dirección de una de las carpetas de su sitio web en un navegador / explorador, se le mostrará la página web llamada index. html si existe. Si no existe, se le mostrará un listado de los archivos de esa carpeta. Esto se conoce como navegación por directorios.

La exploración de directorios puede ser utilizada por piratas informáticos para averiguar si tiene algún archivo con vulnerabilidades conocidas, de modo que puedan aprovecharse de estos archivos para obtener acceso.

La exploración de directorios también puede ser utilizada por otras personas para ver tus archivos, copiar imágenes, averiguar tu estructura de directorios y otra información. Por este motivo, se recomienda encarecidamente desactivar la indexación y exploración de directorios.

Conéctese a su sitio web mediante FTP o el gestor de archivos de su proveedor de alojamiento. A continuación, localice el archivo . htaccess en el directorio raíz de su sitio web. Si no puede verlo allí, consulte nuestra guía sobre por qué no puede ver el archivo .htaccess en WordPress.

A continuación, debe añadir la siguiente línea al final del archivo .htaccess:

Opciones -Índices

No olvide guardar o subir el archivo .htaccess a su sitio.

Para más información sobre este debate, consulte nuestro artículo sobre cómo desactivar la navegación por directorios en WordPress.

[Volver al principio ↑]

Desactivar XML-RPC en WordPress

XML-RPC es una API del núcleo de WordPress que ayuda a conectar tu sitio WordPress con aplicaciones web y móviles. Está activada / activa por defecto desde WordPress 3.5.

Sin embargo, debido a su potente naturaleza, XML-RPC puede amplificar significativamente los ataques de fuerza bruta.

Por ejemplo, si un hacker tradicionalmente quería probar 500 contraseñas diferentes en su sitio web, entonces tendrían que hacer 500 intentos de acceso separados. Esto puede ser detectado y bloqueado por el plugin Limit Login Attempts Reloaded.

Pero con XML-RPC, un hacker puede utilizar la función system.multicall para probar miles de contraseñas con, digamos, 20 o 50 peticiones.

Por eso, si no utiliza XML-RPC, le recomendamos que lo desactive.

Hay 3 formas de desactivar XML-RPC en WordPress, y las hemos cubierto todas en nuestra guía práctica paso a paso sobre cómo desactivar XML-RPC en WordPress.

Consejo: El método .htaccess es el mejor porque es el que menos recursos consume. Los otros métodos son más fáciles para los principiantes.

Alternativamente, esto se hace de forma automática si está utilizando un cortafuegos de aplicaciones web (WAF) como hemos mencionado anteriormente.

[Volver al principio ↑]

Salir automáticamente de los usuarios inactivos en WordPress

Los usuarios conectados pueden a veces alejarse de la pantalla, lo que supone un riesgo para la seguridad. Alguien puede secuestrar su sesión, cambiar contraseñas o hacer cambios en su cuenta.

Esta es la razón por la que muchos sitios bancarios y financieros desconectan automáticamente a los usuarios inactivos. También puede establecer una funcionalidad similar en su sitio de WordPress.

Tendrás que instalar y activar el plugin Cierre de sesión inactivo. Una vez activado, visite la página Configuración “ Cierre de sesión inactivo para personalizar los ajustes de cierre de sesión.

Logout idle users

Sólo tienes que establecer la duración y añadir un mensaje de cierre de sesión. A continuación, no olvide hacer clic en el botón “Guardar cambios” situado en la parte inferior de la página para establecer los ajustes.

Para obtener instrucciones paso a paso, consulte nuestra guía sobre cómo salir automáticamente de los usuarios inactivos en WordPress.

[Volver al principio ↑]

Añadir preguntas de seguridad a la pantalla de acceso de WordPress

Si añade una pregunta de seguridad a la pantalla de acceso de WordPress, será aún más difícil que alguien acceda / acceda sin autorización.

Puede añadir preguntas de seguridad instalando el plugin de autenticación de dos factores. Una vez activado, debe visitar la página Autenticación multifactor ” Dos factores para establecer los ajustes del plugin.

Esto le permitirá añadir varios tipos de autenticación de dos factores a su sitio, incluyendo preguntas de seguridad.

Adding Security Questions to WordPress Login

Para obtener instrucciones más detalladas, consulte nuestro tutorial sobre cómo añadir preguntas de seguridad a la pantalla de acceso de WordPress.

[Volver al principio ↑]

Explorar WordPress en busca de malware y vulnerabilidades

Malware Scan

Si tiene instalado un plugin de seguridad para WordPress, éste comprobará de forma rutinaria la existencia de malware y signos de fallos de seguridad.

Sin embargo, si observa una caída repentina en el tráfico del sitio web o en las clasificaciones de búsqueda, entonces es posible que desee explorar en busca de malware manualmente. Puedes hacerlo utilizando tu plugin de seguridad de WordPress o uno de los mejores escáneres de malware y seguridad.

Ejecutar estos exploradores en línea es bastante sencillo. Solo tiene que introducir la URL de su sitio web y sus rastreadores lo analizarán en busca de malware conocido y código malintencionado.

Ahora, tenga en cuenta que la mayoría de los escáneres de seguridad de WordPress solo pueden advertirle si su sitio contiene malware. No pueden quitar / eliminar el malware o limpiar un sitio WordPress hackeado.

Esto nos lleva a la siguiente sección, la limpieza de malware y sitios WordPress hackeados.

[Volver al principio ↑]

Corregir un sitio WordPress hackeado

Muchos usuarios de WordPress no se dan cuenta de la importancia de las copias de seguridad y la seguridad del sitio web hasta que su sitio web es pirateado.

Limpiar un sitio WordPress puede ser muy difícil y llevar mucho tiempo. Nuestro primer consejo sería dejar que un profesional se encargue de ello.

Los piratas informáticos instalan puertas traseras en los sitios afectados, y si estas puertas traseras no se corrigen correctamente, es probable que su sitio web vuelva a ser pirateado.

Permitir que una empresa de seguridad profesional como Sucuri corrija su sitio web garantizará que su sitio sea seguro de nuevo. También le protegerá contra cualquier ataque futuro.

Para los usuarios aventureros y aficionados al bricolaje, hemos recopilado una guía paso a paso para corregir un sitio WordPress hackeado.

[Volver al principio ↑]

Consejo adicional: Robo de identidad y protección de la red

Como propietario de una pequeña empresa, es muy importante proteger su identidad digital y financiera. No hacerlo puede acarrear pérdidas significativas.

Los piratas informáticos y los delincuentes pueden utilizar su identidad para robar el nombre de dominio de su sitio web, piratear sus cuentas bancarias e incluso cometer delitos de los que usted puede ser responsable.

En 2023 se notificaron a la Comisión Federal de Comercio (FTC) 5,7 millones de incidentes de robo de identidad y fraude con tarjetas de crédito.

Por eso recomendamos utilizar un servicio de protección frente al robo de identidad como Aura. Nosotros mismos recomendamos y utilizamos Aura.

Aura Identity Theft and Credit Monitoring - Sample Dashboard

Ofrecen protección de dispositivos y redes wifi a través de su VPN (red privada virtual) gratuita, que asegura tu conexión a Internet con cifrado de nivel militar estés donde estés.

Esto es ideal para cuando viajas o te conectas a tu administrador de WordPress desde un lugar público como Starbucks para que puedas trabajar en línea de forma segura y privada.

Su servicio de seguimiento / vigilancia / supervisión de la web oscura utiliza constantemente inteligencia artificial para alertarle si sus contraseñas, números de la seguridad social y cuentas bancarias se han visto comprometidos.

Esto le permite actuar con mayor rapidez y proteger mejor su identidad digital.

[Volver al principio ↑]

Esperamos que este artículo te haya ayudado a conocer las mejores prácticas de seguridad en WordPress y a descubrir los mejores plugins de seguridad para tu sitio web. También puedes consultar nuestra guía definitiva sobre SEO en WordPress para mejorar tu posicionamiento SEO y nuestros consejos de expertos sobre cómo acelerar WordPress.

If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.

Avatar

Editorial Staff at WPBeginner is a team of WordPress experts led by Syed Balkhi with over 16 years of experience in WordPress, Web Hosting, eCommerce, SEO, and Marketing. Started in 2009, WPBeginner is now the largest free WordPress resource site in the industry and is often referred to as the Wikipedia for WordPress.

Reader Interactions

El último kit de herramientas de WordPress

Obtenga acceso GRATUITO a nuestro kit de herramientas - una colección de productos y recursos relacionados con WordPress que todo profesional debería tener!

Descargo: Nuestro contenido está apoyado por los lectores. Esto significa que si hace clic en algunos de nuestros enlaces, podemos ganar una comisión. Vea cómo se financia WPBeginner , por qué es importante, y cómo puede apoyarnos. Aquí está nuestro proceso editorial .

160 comentariosDeja una respuesta

  1. Syed Balkhi says

    Hey WPBeginner readers,
    Did you know you can win exciting prizes by commenting on WPBeginner?
    Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
    You can get more details about the contest from here.
    Start sharing your thoughts below to stand a chance to win!

  2. Ayanda Temitayo says

    Please I want to ask that is it security wise to change the url of the default login page to another custom url. Like from yourwebsite.com/wp-login to yourwebsite.com/anotherName-login

    I once use a plugin to change my login url to another url where nobody can easily route to my login page. So one of my SEO guy said it will be easy for hackers to hack my site if the plugin is vulnerable and I will lose everything on my website if I keep using a custom route to login page.

    What’s your opinion about changing the default login route?

  3. al amin Sheikh says

    Two important things in a website – Performance and Security.
    Nicely explained how we can protect our site from hackers. Thanks, WPB.

  4. mohadese esmaeeli says

    Hello, thank you for this excellent article.I also want to add a few more items to this list, such as using the Google reCAPTCHA plugin, employing security hardware related to the server, examining security tools within the hosting environment, such as Imunify360, and regularly changing passwords at short intervals.

    • WPBeginner Support says

      Thank you for your recommendations, hosts do have different tools so it would be best to check with the hosting provider for any security tools they offer :)

      Administrador

  5. Fajri says

    Whoa, the method to Disable XML-RPC in WordPress is totally new for me.

    I am gonna try to applicate it to add more security for my websites. Thanks for this information team!

  6. Murad Prodhan says

    WPbeginner is one the best websites for our community. This article is very helpful for me. Thanks WPbeginner.

  7. Jiří Vaněk says

    This is a great article. There are many things here that never occurred to me, even though I tried to secure with WordPress as much as possible. I just copied a snippet to hide error messages when logging into WordPress and I’m going to apply it to my website. It probably won’t stop at just this thing. This article is really a fantastic list of great tips. Thank you for advancing awareness about security. Great job.

  8. Etop Udoekene says

    Thanks very much. This information has come to me at just the right time, as I am in the process of setting up my website again after losing my former laptop and Android phone to thieves.
    I am really grateful.

    • WPBeginner Support says

      You’re welcome, hopefully things get better and we hope our guide helps you with keeping your site secure after that.

      Administrador

  9. Mark Ellsworth says

    Thank you – very well organized and comprehensive! This will definitely help with what is an ongoing and challenging issue with WordPress installs.

  10. Ifakayode Femi says

    I loved this article and am bookmarking this page for future cause I might not remember the names of most plugins listed here, but sincerely this article helps a long way

    Thanks for taking your time to compose this
    Thanks a million times

  11. Marko Kozlica says

    Wow! Extensive and thorough article for beginners and experienced wordpressers alike. Keep up the good work!

  12. Bob De Maria says

    Hi,
    I am brand new to this and this was my first email and I am ever glad I am signed up. You hit on one of my concerns that is right at the top of my list.

    I can’t thank you enough for a very well written and much appreciated tutorial.

    Best Regards,

    Bob De Maria

    • WPBeginner Support says

      Thank you for letting us know, we will be sure to look for an alternative we would recommend :)

      Administrador

  13. MS says

    Hi guys! Txs a lot for this usefull resouces. 1 question, will any of this affect the loading time of my website/pages???

  14. tim jackz says

    Hello team,

    If i install two security plugin in my wordpress website, is there any disadvantages for my website?

    • WPBeginner Support says

      You would want to check with the support for the plugins you are looking to use, some work together but others try to do the same tasks which can cause conflicts.

      Administrador

  15. Diego says

    My WordPress site is running WordPress 5.1.8 which part of the 5.1 branch, last updated on November 2020. The current WordPress version is 5.6.2.

    I don’t quite understands all these different branches of WP.
    Should I still need to upgrade?

  16. Julia says

    So I pay premium and the free plugins are only for business, is there a way around that. They don’t let us pay for plugins. Premium and lower are not allowed to use them at all.

  17. Trisha says

    Great tutorial, thank you! In going thru my 404 error logs, I see a lot of bots hitting non-existent plugins in my /plugins folder….I’m not overly concerned since the plugins they’re looking for don’t exist (hence the 404) BUT is there a way to protect my /plugins folder that won’t interfere with normal plugin operations? Is this advisable? Should I even be concerned?

    • WPBeginner Support says

      That normally shouldn’t be something you should be concerned with unless the plugin is on your site then you may want to ensure you have that plugin up to date in case the bot was looking for a plugin with a security vulnerability.

      Administrador

    • WPBeginner Support says

      You would need to check your active plugins and reach out to your hosting provider to see what is active for your site.

      Administrador

  18. Julie Taylor says

    Very helpful information. I would like to know your thoughts on the following, if i were to implement all of those security situations, particuarly those that were involving code etc does it effect Google to be able to pull up the site and for SEO to work effectively?

    • WPBeginner Support says

      No, our guides are for WordPress.org sites, you would want to reach out to WordPress.com for the hardening steps they allow :)

      Administrador

  19. Leanne says

    This is one of the best tutorial sites (on any subject matter) I have found. Thank you I will refer wpbeginner to others – awesome site!

  20. Daniel says

    You know there are guys charging more than $50 or $100 dollars to teach you how to do all of this, and you gave it for free! Thanks heaps guys!

  21. Mydas says

    This was super-useful. I have the coding skills to implement all of it, and now I can take much better care of my and my clients’ WordPress installations. Thank you for the info, it’s so complete that I can’t believe it’s free xD

  22. Splendor Edesiri says

    Please do I need a VPN to access my WordPress site from the backend as part of my WordPress site security.

  23. Kam says

    Thank you for this article. It is essential reading!

    If you have a host like Bluehost, is it essential to have backup with a plugin such as Updraft plus + remote storage? After all, hosting providers should be providing backup?

    • WPBeginner Support says

      While some hosts offer backups, we still recommend creating your own backups for safety

      Administrador

  24. kalmoa says

    just an FYI, with Nginx there is no directory-level configuration file like Apache’s .htaccess. All configuration has to be done at the server level by an administrator, and WordPress cannot modify the configuration, like it can with Apache. So the part about ‘Disable PHP File Execution’, cannot be completed by wordpress installs running on Nginx. That includes myself, who is running my wordpress install on Vultr. Their one-click wordpress install gets deployed on Nginx (ubuntu 18.04)

    • WPBeginner Support says

      Thank you for sharing this for the users who specifically are using Nginx for their site.

      Administrador

  25. Tom says

    What is the best method to update plugins if I have several that need updating? Update one at a time and see if the updated plugin breaks any of the functionality on the website?

  26. Kartik Satija says

    Amazing article, very well articulated and documented.
    Thank you all so much for this.
    More power to you guys, keep up the good work.

    Cheers,
    Kartik.

  27. Liz says

    Great article. I have a question about the hardening options. I read that enabling hardening on all options can cause some plugins or the theme to break/not work properly. If this happens, how difficult is it to fix? It seems like there’s more to it than just reverting the hardening option. Any insight you could offer would be greatly appreciated. Thanks!

    • WPBeginner Support says

      It would depend on the specific hardening recommendation, plugin, and error message for the difficulty should an error appear. Otherwise, most plugins shouldn’t have an issue

      Administrador

  28. Gary Starling says

    Very helpful suggestions and well explained from the basic to the complex
    Thank you four your explanations

  29. Andrei says

    Hi guys,

    After the first user enumeration, brute force a security plugin will block that IP address.

    If you password protect the wp-admin directory the plugin can no longer block that IP.

    Is that a correct assessment?

    • WPBeginner Support says

      Correct, there would be a similar load to a blocked IP but if you need many new users to access your site then limiting login attempts would be better than password protecting your wp-admin

      Administrador

      • Andrei says

        Ok, I finally understood how this works and sharing here for everyone. Password protecting wp-admin is done at the server (Apache/Nginx) level. If a user enumeration, brute force is unable to bypass the server level, it would not be able to touch PHP/MySQL. Thus, password protecting wp-admin does not put additional load on the database.

  30. Aqib khan says

    i will always follow you.i will always love you and always share such a fresh and cool content to make us smile.Thank You.

  31. mahmoud says

    I love this site. you’re offering precious information.
    I’m a beginner and this is helpful.
    but can I only have a strong password and disable indexing to do the matter?
    what about all these plugins I think they will affect the site speed or this not installed on the site?

  32. Krishna says

    Hi WP Beginner Team,

    Thanks for such a brief explanation of WordPress security. This article was very useful and let know the value of wp security for the users and website owner.

    THANKS AGAIN…

  33. Kushal says

    I used all plugin that you mentioned sucuri, itheams, wp serber and jetpack. How many plugin can I use on my website.

  34. Dietrich says

    Hi

    Is it okay to use Sucuri and Wordfence at the same time? I installed Wordfence since Sucuri’s free version doesn’t have a firewall feature.

    • WPBeginner Support says

      We would not recommend using both, multiple security tools can conflict with each other and cause issues with your site.

      Administrador

Deja tu comentario

Gracias por elegir dejar un comentario. Tenga en cuenta que todos los comentarios son moderados de acuerdo con nuestros política de comentarios, y su dirección de correo electrónico NO será publicada. Por favor, NO utilice palabras clave en el campo de nombre. Tengamos una conversación personal y significativa.