Como proteger wordpress de ataques
Proteger WordPress es una necesidad absoluta y te explico la razón.
WordPress es el CMS más utilizado ,lo utilizan el 63% de los sitios que utilizan un CMS.
El 40 % de las páginas de internet lo utilizan ,810 millones de páginas.
Esta popularidad atrae a los hackers eso está claro.
WordPress como Windows es un sistema fácil de utilizar y gestionar pero por esa usabilidad también genera muchas vulnerabilidades.
Entre los años 2023 y 2024 se notificaron 5948 vulnerabilidades en WordPress ,de las cuales el 97% provenían de plugins ,el 3% de temas o plantillas y solo el 0.2 del nucleo de WordPress.
WordPress tiene muchisimos plugins gratuitos,te ahorras dinero pero también al ser gratuitos no se exige la misma seguridad que los de pago.
Dentro de las vulnerabilidades que se encuentran la mayoría están en los plugins,las vulnerabilidades del nucleo de wordpress son de bajo nivel.
Las 10 vulnerabiliades de WordPress más importantes en el 2024 y 2025
1. Cross Site Scripting (XSS)
Con 3.171 incidentes, el XSS es la vulnerabilidad más común, representando el 53.3% de las nuevas vulnerabilidades de seguridad de WordPress.
Esta técnica permite a los hackers inyectar scripts maliciosos en las páginas de WordPress, lo que puede resultar en el secuestro de sesiones o en el robo de datos de los usuarios de la página.
2. Falsificación de petición en sitios cruzados (CSRF)
El CSRF, con 1.098 vulnerabilidades notificadas, permite a los atacantes engañar a los visitantes para que realicen acciones no intencionadas en aplicaciones web autenticadas, como transacciones no autorizadas o manipulación de datos.
3. Control de acceso defectuoso
Este tipo de vulnerabilidad, con 767 avisos,ocurre cuando no se controla adecuadamente los permisos que tiene un usuario en la página,lo que provoca que acceden a datos sensibles.
4. Inyección SQL
Con 266 vulnerabilidades notificadas.
Esta técnica permite realizar consultas SQL a la base de datos y acceder a datos sensibles como tarjetas de crédito o passwords.
5. Exposición de datos sensibles
Notificada 119 veces, esta vulnerabilidad surge por el manejo inadecuado de datos personales y sensibles, incumpliendo la LOPD española o RGPD europea..
6. Transferencia arbitraria de archivos
Los hackers pueden manipular solicitudes POST para ejecutar archivos arbitrarios en el servidor web, lo que podría resultar en la inserción de malware.
7. Escalada de privilegios
Este tipo de vulnerabilidad permite al hacker, que inicialmente accede a una cuenta de invitado por ejemplo, escalar privilegios para acceder a recursos de nivel administrativo.
8. Inyección de objetos PHP
La inyección de objetos PHP permite a los atacantes realizar ataques como :
–Inyección de código
–Inyección SQL,
–DOS a través de la inyección de código PHP arbitrario.
9. Vulnerabilidad de omisión
Este defecto permite a los hackers evitar los mecanismos de autenticación de la página, lo que podría permitirles realizar acciones restringidas o restablecer contraseñas para acceder sin autorización a cuentas de WordPress.
10. Falsificación de Petición del Lado del Servidor (SSRF)
Los atacantes pueden acceder al hosting donde está instalado WordPress para acceder o modificar recursos que no deberían estar expuestos al público .
Causas de estas vulnerabilidades
Las vulnerabilidades se deben:
- A plugins y temas no actualizados
- Credenciales débiles
- Proveedores de hostings poco seguros
- Utilizar plugins gratis poco seguros
- Roles de usuario mal configurados
- No utilizar un plugin de seguridad
Los plugins de seguridad te protejen contra virus,malwares, malas configuraciones y contraseñas débiles.
La mayor parte de los sitios que fueron atacados de WordPress no tenian un plugin de seguridad o tenían uno que no se actualizaba con las nuevas amenazas.
Puedes asegurar tu sitio de wordpress con plugins gratuitos de seguridad.
Pueden ayudarte a protegerte una parte pero ninguna tiene una firma de virus y malware actualizada solo los de pago.
En eso Wordfence es el mejor plugin de seguridad para proteger worpress,tiene versión gratuita que te permite una seguridad básica pero no te protege frente a ataques nuevos.
Si tienes un foro,una academia online o una tienda online te recomiendo encarecidamente que compres alguna de las versiones de pago.
Yo voy a tener una acdemia online y pienso comprar este plugins de seguridad.
Tus clientes pueden denunciarte y sacarte bastante dinero si se demuestra que un virus de tu página les afecto o incluso por robo de información como tarjetas.
En definitiva tienes que proteger wordpress de virus ,ataques de denegación de servicio y robo de datos porque tu negocio podía ir a la quiebra por un ataque.
¿Qué es Wordfence?
Con más de 4 millones de instalaciones activas, Wordfence es el plugin de seguridad de WordPress más usado del mundo.
Este plugin te ofrece una suite de seguridad completa y sencilla que evitará que tu negocio sufra un ataque al 99,9% ,ese 0,01 es si no renuevas su licencia anual.
Herramientas de Wordfence
Wordfence te ofrece diferentes herramientas para proteger tu página web contruida con wordpress.
Firewall
Es una funcionalidad increible que permite proteger tu sitio de conexiones de direcciones IP identificadas como peligrosas.
Viene con unas reglas incorporadas y ademas tiene un modo de aprendizaje que analizas las direcciones IP para ir aprendiendo y aplicando sus reglas correctamente.
Escaner de seguridad
Esto es lo mejor que tiene analiza archivos de wordpress ,temas,plugins,contenido y hasta comentarios para detectar virus y amenazas de malware,puertas traseras ,XSS.
Este plugin de seguridad protege wordpress de todos las amenazas que hablamos antes pero necesitas alguna de las versiones de pago ,porque la gratuita tiene firmas anticuadas.
Si encuentra algun virus en algun lugar del sitio ,nos lo notificará y podremos remplazar el archivo por una copia segura ,dado que hace copias de todo .
Login seguro
Protege tu zona de administración de wordpress de atacantes limitando el numero de intentos de acceso desde una direccion IP ,protege la página con un CAPTCHA y aáde doble autenticación.
Wordfence central
Si tienes varios sitios con WordPress ,puede proteger wordpress desde un mismo lugar gracias al Wordfence central .
Planes de Wordfence
Wordfence ofrece diferentes planes con servicios muy bien diferenciados para adaptarse a las necesidades de seguridad de diferentes tipos de sitios.
Wordfence gratuito
El plan básico es totalmente gratuito. Es gratis y protege tu página web de forma simple y efectiva.
La protección básica de Wordfence es capaz de protegerte frente a diferentes tipos de ataques, aunque las actualizaciones del firewall y de las firmas para la detección de malware esta limitada.
Los planes de pago son los únicos que te protegeran totalmente.
Pero si quieres probar el gratis puedes hacerlo desde este enlace .
Wordfence Premium
Con la subscripción premium te garantizas dos mejoras: soporte y actualizaciones.
El plugin se actualizará de Wordfence Security en tiempo real para las reglas del firewall y las definiciones de malware de la base de datos.
Este plan es el mejor si tienes una academia online,un foro ,o un blog de membresias para proteger a tus usuarios y a tu sitio de ataques.
Aunque si te soy sincero si tienes cualquier tipo de página web creada con WordPress viendo las vulnerabilidades que tiene mejor compralo igual.
La licencia es anual asi que pagas una vez y te olvidas en todo el año.
Puedes mirar la información de este plan Wordfence Premium siguiendo este enlace.
Wordfence Care
Este nivel se ha diseñado para que puedas delegar todo al equipo de Wordfence Security.
Tras una auditoría del estado de seguridad de tu web, te configuran Wordfence en función de las necesidades específicas del sitio.
A partir de ese momento, se encargan de monitorizar tu página. Si se produce un incidente, te contactarán y se encargarán de limpiar tu servidor.
También te ayudarán a salir de las listas de páginas baneadas por los buscadores y te explicarán qué puedes hacer para evitar futuros ataques similares.
Recomiendo este plan del plugin para proteger una tienda virtual con Woocommerce.
Los riesgos son mucho mayores al tener a gente que paga con su tarjeta de crédito o debito y te aseguro que aunque utilices Paypel o Stripe los riesgos son altos.
Los hackers se pasan el dia intentanto buscar vulnerabilidades en tiendas de wordpress porque son las más utilizadas más que nada y porque muchas tiendas cometen el error de no tener un plugin de seguridad.
Piensan 500 euros es muy caro al año hasta que les ataque un hacker ,roban sus datos o tiran su tienda y luego sufren tales multas y problemas que tienen que cerrar .
No seas uno de ellos y protegete más vale pagar 500 euros que perder tu negocio o que te metan unas multa de hasta 50.000 euros.
Asi que yo te avise mejor 500 euros que 25.000 o 50.000 euros de multa.
Si te interesa estar tranquilo puedes ver más información de este plan de Wordfence Care siguiendo este enlace.
Wordfence Response
Este es el servicio más premium que ofrece Wordfence.
Tienes todas las ventajas de la suscripción Care, pero con un compromiso de respuesta de una hora y resolución en 24 horas los 365 días del año.
Este plan es para tienda online muy grandes o para periodicos digitales que por la cantidad de visitas diarias estan sometidos a atques de todo tipo.
Un diario digital como el diario.es o el pais deberían tener este plan ,lo digo porque muchos diarios utilizan wordpress porque es ideal para ellos.
Si te interesa este plan de Wordfence Response puedes mira toda la información siguiendo este enlace
Como instalar Wordfence
Nos dirigimos a la sección “Plugins” en el escritorio de WordPress, botón “Añadir nuevo” y buscamos Wordfence.
Cuando lo actives, te pedirá la licencia
Si ya te has decidido a comprar una licencia pulsa en “Obtén tu licencia de Wordfence” y si la tienes pulsa en instalar una.
En la imagen de arriba selecciona la licencia que te interesa o si no pulsa en Download Now para que te den tu licencia gratuita.
Te recordará que el plan gratuito recibe las actualizaciones del firewall y el malware con un retraso de 30 días.
Haz clic en el enlace “I’m OK waiting 30 days for protection from new threats” y, en la siguiente ventana, introduce tu email.
A tu dirección de correo electrónico te llegará la clave de la licencia. Puedes instalarla de forma manual o de forma automática, pulsando en el botón “Install My License Automatically”
Si lo haces de forma manual, debes volver a tu WordPress y en el menú de la izquierda ir a la sección de Wordfence, instalar y rellenar el formulario.
Se confirmará la validez de la licencia y ya puedes acceder al panel de configuración de Wordfence.
En este vídeo os dejo como instalar y configurar la versión gratuita del plugin de seguridad.
