Cómo proteger tu sitio WordPress de ataques: guía completa 2026
21/08/2026
Introducción
WordPress es el gestor de contenido más usado del mundo, y por eso mismo el más atacado.
La mayoría de los ataques no son dirigidos a vos en particular: son bots que escanean millones de sitios buscando versiones desactualizadas o configuraciones débiles. Con estas medidas cerrás las puertas más comunes de entrada.
Mantené todo actualizado
El núcleo de WordPress, los plugins y el tema deben actualizarse apenas sale una nueva versión. La mayoría de los hackeos explotan vulnerabilidades ya conocidas y parcheadas el atacante solo necesita que vos no hayas actualizado.
Eliminá plugins y temas que no uses
Cada plugin instalado (activo o no) es una superficie de ataque adicional. Desinstalá no solo desactivés todo lo que no uses.
Usá contraseñas fuertes y un usuario admin no obvio
Nunca uses "admin" como nombre de usuario. Generá contraseñas largas y aleatorias (podés usar el https://ciberbrigada.com/herramientas/contrasenas) y activá autenticación en dos pasos con un plugin como WP 2FA o Wordfence.
Limitá los intentos de login
Sin protección, un atacante puede probar miles de combinaciones de usuario/contraseña por minuto (fuerza bruta). Plugins como Limit Login Attempts Reloaded bloquean una IP después de unos pocos intentos fallidos.
Elegí buen hosting
Un hosting compartido mal configurado puede exponerte a vulnerabilidades de otros sitios en el mismo servidor. Priorizá proveedores que ofrezcan aislamiento entre cuentas, backups automáticos y WAF (firewall de aplicación web) incluido.
Instalá un certificado SSL
Sin HTTPS, cualquier dato que viaje entre el visitante y tu sitio (incluido el login del admin) puede ser interceptado en una red no confiable. Hoy es gratuito con Let's Encrypt y la mayoría de los hostings lo activan con un clic. Podés verificar el estado de tu certificado con el https://ciberbrigada.com/herramientas/ssl
Hacé backups automáticos y fuera del servidor
Un backup guardado en el mismo servidor no sirve de nada si el servidor entero se ve comprometido. Usá un plugin que suba copias a un almacenamiento externo (Google Drive, Dropbox, S3) con una frecuencia acorde a cuánto contenido nuevo generás.
Ocultá la versión de WordPress
Por defecto, WordPress expone su número de versión en el código fuente. Ocultarlo no es una defensa por sí sola, pero dificulta que un bot identifique automáticamente qué vulnerabilidades probar.
Restringí el acceso a wp-admin y wp-login.php
Si tenés IP fija o accedés siempre desde los mismos lugares, podés restringir el acceso al panel de administración por IP a nivel del servidor (.htaccess o configuración de Nginx). Es una de las medidas más efectivas contra ataques automatizados.
Monitoreá la actividad del sitio
Un plugin de seguridad como Wordfence o Sucuri te avisa si detecta archivos modificados, intentos de login sospechosos o tráfico anómalo. Cuanto antes detectás una intrusión, menos daño hace.
Qué hacer si ya te hackearon
Cambiá todas las contraseñas (WordPress, hosting, FTP, base de datos), restaurá desde un backup limpio anterior a la fecha del incidente, y revisá los usuarios administradores por si el atacante creó uno nuevo. Si no tenés backup limpio, un profesional de seguridad puede ayudarte a limpiar el código malicioso sin perder el contenido.
¡Síguenos en YouTube y Rumble, activa la campanita!