Cómo proteger WordPress de ataques a plugins y temas

Si quieres proteger WordPress, empieza por los plugins y los temas. El núcleo de WordPress recibe revisiones y parches constantes. En cambio, la mayoría de ataques que vemos en sitios hackeados entran por un plugin desactualizado, un tema abandonado o una copia “gratis” de un tema de pago con código malicioso.

En esta guía te explicamos, sin tecnicismos innecesarios, cómo funcionan estos ataques y qué medidas concretas puedes aplicar hoy en tu sitio.

Por qué los plugins y temas son el punto débil

Cada plugin o tema es código de un tercero que corre con los mismos permisos que tu WordPress. Si ese código tiene un fallo, el atacante no necesita adivinar tu contraseña: aprovecha el fallo directamente.

Los problemas más comunes son:

• Vulnerabilidades conocidas sin parchear: el desarrollador publica la corrección, pero el sitio no se actualiza. Los atacantes escanean internet buscando justo esas versiones.
• Plugins abandonados: nadie los mantiene, así que un fallo nuevo nunca se corrige.
• Temas y plugins “nulled”: copias piratas de productos de pago que suelen traer puertas traseras o código para inyectar spam.
• Ataques a la cadena de suministro: un plugin legítimo cambia de dueño o su cuenta de desarrollador es comprometida, y una actualización trae código malicioso.
• Permisos excesivos: cuentas de administrador que no lo necesitan, o contraseñas repetidas.

1. Elige bien qué instalas

Antes de instalar cualquier plugin, revisa en su ficha:

Señal	Buena práctica	Alerta
Última actualización	Reciente (meses)	Más de un año sin cambios
Compatibilidad	Probado con tu versión de WordPress	Sin información
Instalaciones activas y reseñas	Base de usuarios amplia y soporte activo	Pocas instalaciones y preguntas sin respuesta
Origen	Directorio oficial o web del desarrollador	Descargas de sitios de “plugins premium gratis”
Necesidad real	Resuelve algo que el sitio necesita	”Lo instalé para probar”

Una regla sencilla: menos plugins, mejor mantenidos. Cada plugin extra es más código que actualizar y vigilar.

2. Mantén todo actualizado (con método)

• Activa las actualizaciones automáticas para plugins de bajo riesgo y bien mantenidos, y para las versiones menores de WordPress, que suelen ser de seguridad.
• En plugins críticos (tienda, pagos, formularios de clientes) actualiza pronto, pero prueba primero o al menos ten una copia de seguridad reciente.
• Revisa el escritorio de WordPress al menos una vez por semana.
• Mantén PHP en una versión con soporte. Si vas a actualizar a la versión mayor más reciente, sigue nuestra guía de WordPress 7: novedades y actualización segura.

3. Elimina lo que no usas

Un plugin desactivado sigue en el servidor y, en algunos casos, sus archivos se pueden llamar directamente. Desactivar no es suficiente: elimínalo. Lo mismo con los temas: deja solo el tema activo y, si usas un tema hijo, su tema padre.

4. Controla quién puede hacer qué

• Principio de mínimo privilegio: un redactor no necesita ser administrador. Usa los roles de WordPress (Editor, Autor, Colaborador).
• Verificación en dos pasos (2FA) para todas las cuentas con acceso al escritorio.
• Contraseñas únicas y un gestor de contraseñas.
• Elimina usuarios de proveedores o empleados que ya no trabajan contigo.
• Desactiva el editor de archivos del escritorio añadiendo define('DISALLOW_FILE_EDIT', true); en wp-config.php. Así, aunque alguien entre, no podrá editar el código de plugins y temas desde el panel.

5. Añade una capa de protección externa

• Firewall de aplicaciones web (WAF): filtra peticiones maliciosas antes de que lleguen a WordPress. Puede ser un plugin de seguridad o un servicio en la nube como Cloudflare; te explicamos cómo funciona en qué es una CDN y Cloudflare.
• Limitar intentos de inicio de sesión para frenar ataques de fuerza bruta.
• Certificado SSL activo en todo el sitio. Si aún no lo tienes, sigue la guía para instalar SSL con Let’s Encrypt.
• Escaneo de malware periódico, con un plugin de seguridad o desde el panel del hosting.

6. Ten copias de seguridad que funcionen

Ninguna medida es infalible. La copia de seguridad es lo que te permite volver atrás si algo sale mal:

• Copias automáticas de archivos y base de datos.
• Al menos una copia fuera del servidor.
• Prueba de restauración de vez en cuando: una copia que nunca has restaurado es una suposición.

Te lo explicamos paso a paso en la estrategia de backups 3-2-1. En Moshipp, los planes de hosting cPanel 02 y 03 incluyen backups semanales, y los planes de hosting empresarial aumentan la frecuencia hasta copias diarias en el plan más alto.

Checklist mensual de seguridad para WordPress

• WordPress, plugins y tema actualizados.
• Plugins y temas sin uso eliminados.
• Revisión de usuarios administradores.
• 2FA activo para todas las cuentas con acceso al escritorio.
• Copia de seguridad reciente fuera del servidor.
• Escaneo de malware sin alertas.
• PHP en una versión con soporte.

Señales de que un plugin ya fue explotado

• Aparecen usuarios administradores que no creaste.
• El sitio redirige a páginas de apuestas, farmacias o descargas.
• Google muestra resultados de tu dominio en otros idiomas o con spam.
• El hosting te avisa de consumo anormal de recursos o de envío masivo de correos.

Si ves alguna de estas señales, actúa rápido: sigue nuestra guía para limpiar un WordPress hackeado.

Preguntas frecuentes

¿Cuántos plugins es demasiado?

No hay un número mágico. Lo importante es que cada plugin sea necesario, confiable y esté actualizado. Un sitio con 10 plugins abandonados es más riesgoso que uno con 25 bien mantenidos.

¿Es seguro activar las actualizaciones automáticas?

Para la mayoría de plugins bien mantenidos, sí, y reduce mucho el tiempo en que tu sitio queda expuesto. En plugins críticos como pagos o tienda, conviene tener una copia de seguridad reciente y revisar el sitio tras cada actualización.

¿Qué es un tema o plugin nulled?

Es una copia pirata de un producto de pago, distribuida gratis en sitios no oficiales. Suele incluir código malicioso y no recibe actualizaciones de seguridad. No se recomienda usarlos en ningún caso.

¿Un plugin de seguridad es suficiente?

Ayuda, pero no reemplaza las buenas prácticas. Sin actualizaciones, contraseñas fuertes, 2FA y copias de seguridad, un plugin de seguridad solo cubre una parte del riesgo.

¿Desactivar un plugin lo hace seguro?

No del todo. Sus archivos siguen en el servidor y en algunos casos pueden ser atacados. Si no lo usas, elimínalo.

¿Qué hago si mi sitio ya está infectado?

Cambia las contraseñas, identifica el punto de entrada, limpia o restaura desde una copia limpia y actualiza todo. Tienes el proceso completo en nuestra guía para limpiar un WordPress hackeado.

Conclusión

Proteger WordPress no depende de una herramienta mágica, sino de hábitos: instalar poco y de fuentes confiables, actualizar a tiempo, controlar accesos y tener copias de seguridad. Con esas bases, la mayoría de ataques automatizados contra plugins y temas pierden su oportunidad.