Endurecimiento práctico de WordPress: actualizaciones, wp-config, permisos, accesos, SSL, plugins, XML-RPC, .htaccess, firewall, escáneres y copias, en un orden que se puede seguir.
Temas Endurecimiento y listas de comprobación Guías para principiantes
Actualizado Publicado
Endurecer WordPress es cambiar la configuración para que las puertas de siempre queden cerradas. Esta guía es el cómo de la puesta en marcha. Los hábitos y la rutina mensual están en buenas prácticas (en inglés). La lista para tachar está en la checklist de seguridad.
Piensa en capas:
wp-config.php, actualizaciones, bloqueo de edición de archivos)La mayoría de los compromisos siguen empezando por plugins desactualizados o por un acceso de administrador débil. Empieza ahí aunque no toques nunca la configuración de Apache.
Usa staging en sitios frágiles. Activa la actualización automática de los plugins en los que confías, cuando puedas. Después de actualizaciones grandes, vuelve a lanzar las pruebas de seguridad y un escaneo de vulnerabilidades.
wp-config.phpGenera salts y claves de WordPress nuevas después de un compromiso, o cuando heredas un sitio.
En producción:
define( 'WP_DEBUG', false );
define( 'WP_DEBUG_DISPLAY', false );Impide editar archivos de temas y plugins desde wp-admin. Merece la pena en casi cualquier sitio en vivo:
define( 'DISALLOW_FILE_EDIT', true );Usa DISALLOW_FILE_MODS solo si gestionas las actualizaciones a propósito fuera de wp-admin. Bloquea instalar y actualizar plugins y temas desde el panel.
Un prefijo de tablas propio ayuda un poco contra scripts automáticos tontos. No sustituye actualizaciones ni accesos fuertes. Cambiar el prefijo en un sitio en vivo hay que hacerlo con cuidado. En instalaciones nuevas, hazlo cuando puedas.
wp-configLos valores exactos dependen del hosting, pero una base habitual es:
755644wp-config.php: más apretado cuando se puede (600 o 640)Evita 777. Si el sitio se rompe al apretar permisos, pregunta al hosting qué espera su stack de WordPress, en lugar de abrir todo.
En Apache también puedes negar el acceso web a wp-config.php en .htaccess. Cambia una regla cada vez, prueba la portada y /wp-admin/, y guarda una copia del archivo. Fragmentos y notas para volver atrás: seguridad de .htaccess (en inglés). El generador está en herramientas .htaccess.
El escáner del núcleo ayuda a ver cambios inesperados en los archivos de WordPress después de endurecer.
Renombrar no basta. Va con límite de tasa y con 2FA. Más profundidad: cómo proteger el acceso a WordPress.
Escanea el software instalado en busca de problemas conocidos con el escáner de vulnerabilidades, incluido en Free. Higiene de plugins, más larga: riesgos de seguridad de los plugins (en inglés).
Los detalles de servidor (cifrados TLS a medida, cirugía de privilegios de la base de datos, cirugía de módulos de Apache) ayudan cuando controlas el VPS. En hosting compartido o WordPress gestionado, gasta el tiempo primero en actualizaciones, accesos, firewall y copias.
Si el hosting o un plugin de seguridad puede poner cabeceras, las útiles incluyen:
Strict-Transport-Security (HSTS), cuando HTTPS ya está sólidoX-Content-Type-Options: nosniffReferrer-Policy con un valor sensatoContent-Security-Policy solo si puedes mantenerla (es fácil romper el sitio)Las cabeceras ayudan a que el navegador se porte mejor. No sustituyen parchear plugins.
XML-RPC ayuda a algunas apps móviles, a flujos ligados a Jetpack y a herramientas remotas. También es una vía habitual de fuerza bruta y de abuso de pingback.
En Apache, añade reglas de una en una y prueba. Detalle y patrones más seguros: guía de .htaccess (en inglés).
Endurecer sin vigilancia sigue fallando en silencio.
Los análisis programados importan porque la mayoría de quien tiene un sitio no abre el panel cada día. Pon el horario y luego mira los fallos.
El endurecimiento reduce el riesgo. Las copias limitan el daño.
Detalle: plan de copias después de un ataque (en inglés).
Guarda las credenciales de la copia fuera del sitio. Si el malware puede leer tu wp-admin, no quieres que el único camino de restauración viva en el mismo compromiso.
Un buen plugin de seguridad tiene que ayudar a aplicar y a comprobar el endurecimiento, no a sustituir actualizaciones y accesos fuertes.
Un plugin como Security Ninja cubre pruebas de seguridad, vulnerabilidades e integridad del núcleo en Free. Pro añade Cloud Firewall (más de 600 millones), escáner de malware, análisis programados, protección de acceso y 2FA. El asistente de instalación enciende valores por defecto sensatos para no adivinar qué interruptores importan primero. Evita apilar tres plugins de seguridad que se solapan. Se pelean. Mira conflictos entre plugins de seguridad (en inglés) y los mejores plugins de seguridad WordPress (en inglés) si todavía estás eligiendo.
Día 1
Esta semana
DISALLOW_FILE_EDIT y debug apagado en producciónwp-config si Apache lo permiteEn adelante
¿Hace falta renombrar la carpeta wp-content? Normalmente no. Rompe cosas, y los bots ya sondean un montón de otras rutas. Céntrate en actualizaciones, accesos y escaneo.
¿Debo desactivar XML-RPC? Solo si nada de lo que usas lo necesita. Desactivarlo a ciegas puede romper integraciones. Si todavía necesitas la función, prefiere límites en el firewall y autenticación fuerte.
¿Basta con renombrar la URL de acceso? No. Reduce ruido. Va con límite de intentos fallidos y con 2FA.
¿Puedo endurecer una vez y olvidarme? No. Salen CVE de plugins constantemente. El endurecimiento es una base más un hábito de mantenimiento.
No “endurezcas” encima de malware activo y lo des por terminado. Si no estás seguro, mira primero si han pirateado tu sitio WordPress (en inglés). Quita el malware o restaura, y luego endurece para que no vuelvan a entrar. Guía: sitio WordPress pirateado (en inglés). ¿Necesitas ayuda? Contrata limpieza o una revisión.
Si te ha servido, compártelo.
