Tu web trabaja sola cuando tú no estás, el problema es que los que intentan reventarla también.

En agosto en la playa, en Navidad entre turrones, en ese puente que llevas esperando desde marzo, o un martes cualquiera si eres freelance y lo llevas todo tú solo, tu WordPress sigue ahí, abierto al mundo, recibiendo visitas de personas y de bots a partes iguales (y estoy siendo generoso con las personas).

Los ataques a WordPress son automáticos en su inmensa mayoría, scripts que escanean millones de webs buscando la misma vulnerabilidad conocida, sin descanso, sin vacaciones y sin cogerse el puente de diciembre, así que la defensa también puede, y debe, ser automática.

Y esa es la buena noticia que vengo a contarte, que la seguridad de un WordPress no necesita que estés delante, necesita que la dejes bien montada.

Copias que se hacen y se comprueban solas, actualizaciones con red de seguridad, vigilancia que escanea sin que se lo pidas y alertas que solo te escriben cuando pasa algo de verdad, a eso es a lo que le llamo yo poner la seguridad en piloto automático.

Y ojo, que esto no va solo de vacaciones, va de cualquier web desatendida, y desatendida es toda web cuyo dueño tiene una vida, un trabajo, clientes o las tres cosas a la vez.

Si eres autónomo y no tienes a nadie detrás revisando registros de actividad (nadie revisa registros a diario, tranquilo, ni yo), este artículo es para ti los 365 días del año, no solo cuando haces la maleta.

Vamos a verlo de a poquito, en modo fácil, que ya sabes que soy cortito y explico las cosas como si fuesen para mi. Al final, por si no te apetece leer (ni aprender, tú verás) te dejo la lista de comprobación completa, la de cerrar la casa antes de irte de viaje.

Índice de contenidos

Qué puedes automatizar, qué puedes delegar y qué te toca a ti

Cada tarea de seguridad de esta guía acaba en uno de tres sitios. O la haces tú una sola vez y se queda hecha, o la hace una máquina por ti cada día, o la hace otra persona por ti. Lo que no puede ser es que la seguridad de tu web dependa de que tú te acuerdes, porque no te vas a acordar, yo tampoco, y me dedico a esto.

¿Y quién es esa otra persona en la que delegar?

Pues según el caso, tu hosting, que si lo eliges bien hace bastante más de lo que crees, un buen plugin de seguridad bien configurado, o directamente un servicio de mantenimiento profesional como el que ofrecemos en mantenimiento.ayudawp.com, que viene a ser el vecino de confianza al que le dejas una copia de las llaves, solo que este sabe de WordPress y no tienes que traerle imanes de nevera a la vuelta.

Para que no te pierdas, cada sección termina con dos líneas, lo que se automatiza y lo que se puede delegar, y en quién. Empezamos por donde hay que empezar siempre.

Lo primero, siempre: copias de seguridad automáticas

Antes de tocar un solo ajuste, antes de actualizar nada, antes incluso de seguir leyendo, asegúrate de esto, porque la copia de seguridad es el paso previo de cualquier cambio y la última red cuando todo lo demás falla.

Si el cortafuegos no para el ataque, si una actualización rompe la web, si borras lo que no debías, un backup es lo que te devuelve el negocio a su sitio.

La regla de oro se llama 3-2-1, tres copias de tus datos, en dos soportes distintos y al menos una fuera del servidor de tu web, porque si tu única copia vive en el mismo servidor que la web y el servidor revienta, te quedas sin web y sin copia a la vez, bonito plan.

Sobre todo es importante que la copia sea completa, con todos los archivos imprescindibles y la base de datos, que he visto más de una «copia» que solo guardaba los archivos y dejaba fuera la base de datos, donde viven tus entradas, tus pedidos y tus usuarios, o sea, todo lo que importa, todo eso que no puedes descargar ni encargárselo a una IA.

Cómo se automatizan las copias de seguridad fácil y (casi) gratis:

Las copias diarias de tu hosting, que los buenos las hacen sin que se lo pidas y te dejan además lanzar copias adicionales a mano antes de un cambio gordo.
Al menos otra copia externa programada con un plugin de backups hacia otro sitio, tu Google Drive, un Dropbox, un almacenamiento S3, donde quieras, pero fuera del servidor.

Con esas dos patas la ejecución queda resuelta sin que muevas un dedo, y la frecuencia la marca tu web, semanal para una web que apenas cambia, diaria como mínimo para un blog activo. En una tienda con pedidos entrando piénsate incluso algo más frecuente para la base de datos, que cada hora de diferencia son pedidos que podrías perder en una restauración.

Lo único que no se automatiza del todo es comprobar que la copia sirve de algo si la necesitases. Un backup que nunca has probado si se restaura bien es una promesa, pero aún no sabes si es una copia de seguridad.

Antes de relajarte restaura una en un entorno de pruebas o en local, cronométralo y apunta los pasos, porque cuando la necesites de verdad no querrás estar aprendiendo a restaurar con la web caída y el móvil al 12% de batería.

Tengo publicada una guía completa de copias de seguridad en WordPress con métodos y herramientas para cada caso, así que aquí no me extiendo más.

En piloto automático: las copias diarias del hosting y una copia externa programada fuera del servidor.
Delegable: en tu hosting la ejecución diaria, y en un servicio de mantenimiento que además verifique las copias y haga restauraciones de prueba de vez en cuando.

Accesos: menos llaves repartidas y mejores cerraduras

Piensa en cuánta gente tiene llaves de tu casa y desde cuándo, pues con tu WordPress pasa igual, pero peor, porque las llaves digitales no caducan solas. Ahí siguen el usuario del diseñador que pasó por la web en 2019, el de aquella agencia que probaste tres meses y el admin2 que ya ni recuerdas quién creó.

Cada usuario es una puerta abierta, y cada puerta con privilegios de administrador es una puerta blindada con la llave puesta por dentro si la contraseña es mala. La limpieza es manual pero de una sola vez.

Entra en la pantalla de gestión de usuarios de tu WordPress, borra los que no reconozcas o no se usen (WordPress te preguntará a quién reasignar sus contenidos, así que no pierdes nada) y baja privilegios a todo el que no necesite ser administrador, que un editor publica y edita perfectamente sin poder instalar plugins ni tocar ajustes.

El resto sí se queda funcionando en automático, a saber:

Contraseñas únicas y largas guardadas en un gestor de contraseñas
Identificación en dos pasos activada y a poder ser forzada para todos los que acceden (el famoso 2FA, ese código del móvil que hace que aunque te roben la contraseña no puedan entrar sin tu teléfono)
Protección contra fuerza bruta que bloquee sola las IPs que prueban contraseñas en cadena.

Todo eso lo hace gratis cualquier plugin de seguridad serio, y una vez configurado no vuelve a pedirte nada.

Y ya que estás con la limpieza, aplícala también al código. Los plugins desactivados y los temas antiguos que guardas «por si acaso» siguen siendo archivos presentes en tu servidor, y algunos agujeros se explotan aunque el plugin esté desactivado.

Menos código instalado es menos superficie de ataque, así que borra lo que no uses y deja un solo tema de reserva de los oficiales, por si toca descartar problemas algún día.

En piloto automático: el bloqueo de fuerza bruta, el 2FA forzado y las políticas de contraseñas.
Delegable: la auditoría de usuarios, permisos y plugins sobrantes, que es de lo primero que se revisa en cualquier puesta a punto profesional.

Ajustes de una sola vez que trabajan para siempre

Hay una parte de la seguridad WordPress que es puro «configurar y olvidarte», el famoso hardening (refuerzo, vaya), y es la más agradecida para una web desatendida porque no genera avisos, ni mantenimiento, ni nada, lo activas y ya está.

Lo esencial cabe en cuatro acciones:

Desactivar la edición de archivos desde el escritorio de WordPress, para que si alguien entra con una cuenta robada no pueda reescribirte el tema desde dentro, que es una línea en wp-config.php y listo.
Cerrar xmlrpc.php si no lo usas, un protocolo de acceso remoto de otra época que hoy casi nadie necesita y que los bots adoran.
Añadir cabeceras de seguridad, unas instrucciones que tu servidor manda al navegador para evitar cosas feas, como que otra web meta la tuya en un marco invisible para robarle los clics a tus visitantes.
Proteger de miradas ajenas los archivos sensibles de la instalación.

¿Quieres hacerlo a mano y gratis? En las herramientas gratuitas para WordPress tienes generadores de wp-config.php, de .htaccess y de cabeceras de seguridad que te montan el código marcando opciones, copiar, pegar y hasta luego maricarmen.

¿Prefieres que lo haga un plugin? Pues aquí presento al que va a salir varias veces en lo que queda de artículo, Vigilante, ese pedazo de plugin de seguridad, gratuito del todo y sin versión de pago, que aplica todo este refuerzo de manera sencilla y casi por defecto.

Y con un detalle especialmente importante para el que va a dejar la web sola, y es que antes de tocar wp-config.php, .htaccess o robots.txt el plugin hace copia de los archivos originales con verificación de integridad, y si un día lo desactivas lo restaura todo como estaba.

Más majo él, hasta cuando tú decides no darle el cariño que merece te cuida, y luego tú criticando.

Cualquier plugin de seguridad serio bien configurado te cubre buena parte de esta guía, y tienes una comparativa función a función de los plugins de seguridad más conocidos por si quieres elegir con datos, casi sin opiniones.

En piloto automático: todo, esa es la gracia. Se configura una vez y las reglas se mantienen solas.
Delegable: en un profesional para una puesta a punto única, un par de horas de trabajo que se quedan hechas para siempre.

Actualizaciones automáticas, sí, no te quejes, que es gratis

Aquí llega el debate más bobo del mundo WordPress, entre el «actualiza siempre al momento» y el «si no está roto no lo toques». Ambps dos bandos tienen (algo de) razón, pero ninguno la tiene del todo.

Lo que WordPress trae de serie

Desde la versión 3.7, allá por 2013, seguro que ni te acuerdas, WordPress se actualiza solo en las versiones menores, las de seguridad y mantenimiento, y eso déjalo como está, que ha salvado muchas más webs de las que ha roto.

Y desde la versiób 5.5 puedes activar además actualizaciones automáticas por cada plugin y cada tema desde el propio escritorio, con su enlace al lado de cada uno en el listado.

El problema de la vía nativa es que actualiza a pelo, sin copia previa, sin comprobar después si la web sigue viva, sin marcha atrás si algo peta. De este modo, si un plugin rompe tu web un sábado a las tres de la madrugada, te enteras el lunes por un cliente, o no te enteras, que es peor.

Los pros y los contras

A favor de automatizar hay un dato que lo aplasta casi todo, y es que la inmensa mayoría de los hackeos de WordPress explotan vulnerabilidades conocidas que ya tenían arreglo publicado.

Nada de hazañas de película ni ataques dirigidos a tu web en concreto, sino puertas que llevaban semanas con el parche disponible sin que nadie lo aplicara. Una web sin actualizar durante un mes de vacaciones es exactamente eso, un escaparate de puertas conocidas con el cartel de «pasen y vean».

En contra, lo que ya sabes si llevas tiempo en esto. Una actualización puede romper la web, por incompatibilidades entre plugins, por un tema que no sigue el ritmo, por lo que sea, y romperla sin nadie delante para enterarse. Además los plugins premium comprados fuera del directorio oficial van por libre, cada uno con su sistema de licencias, así que la automatización nativa ni los ve.

Si eres del bando manual tienes más razón que un santo en una cosa, actualizar a ciegas y sin red es jugar a la ruleta. Pero la conclusión correcta es otra: automatizar sí, pero con red.

Automatizar con red, lo que hace un buen hosting

La red existe y la ponen algunos hosting, yo te cuento cómo lo hace SiteGround, que es el que uso y recomiendo desde hace años, con su herramienta de actualización automática de las Site Tools, pero seguramente habrá más que también lo hacen bien.

Antes de cada actualización hace una copia de seguridad, después comprueba automáticamente que la web funciona y, si detecta un problema, revierte los cambios y te avisa. Puedes decidir con qué margen se aplican las versiones mayores y las menores, y además también actualizar los plugins del directorio oficial que tengas desactualizados.

O sea, que el escenario de pesadilla del bando manual, la web rota un mes entero sin que nadie se entere, con este sistema se convierte en un email que viene a decir «lo intenté, algo no cuadraba y lo he dejado como estaba». Así la cosa cambia del todo, ahora sí hay red de seguridad.

Y si quieres el control fino, el entorno de pruebas (el staging de toda la vida) te deja ensayar las actualizaciones gordas en una copia de la web antes de aplicarlas en la real. Es la opción de matrícula de honor para antes de un parón largo, actualizas todo en el entorno de pruebas, compruebas que nada se rompe y lo pasas a producción.

Qué y cómo actualizar según el tipo de web

Esto, como todo, es mi opinión, pero también como todo, basado en mi experiencia, yo te lo cuento y tú decides.

En un blog o web corporativa no veo problema alguno para tener actualizaciones automáticas con red para todo y a disfrutar de la vida.

En una tienda online, con WooCommerce, las menores y las de seguridad automáticas siempre, pero las versiones mayores de WooCommerce, de la pasarela de pago y del tema, mejor con entorno de pruebas o a mano en horario controlado.

Y es que una tienda caída o rota no son visitas perdidas, son pedidos que vuelan, dinero que no entra, y el proceso de compra tiene demasiadas piezas delicadas como para actualizarlo a ciegas en mitad de una campaña.

Por resumir:

En piloto automático: las actualizaciones menores de WordPress (seguridad y manteniento) siempre, y todo lo demás con un sistema que haga copia previa, verificación y marcha atrás.
Delegable: en tu hosting si tiene actualización inteligente, o en un servicio de mantenimiento, que además se ocupa de lo que la automatización no cubre, como los plugins premium y las versiones mayores con su entorno de pruebas.

Un vigilante no se coge vacaciones

Con la casa cerrada y las actualizaciones con red, falta el sistema de alarma, la parte que mira cuando tú no miras. Y aquí es donde el piloto automático se luce de verdad, porque casi todo lo importante de la vigilancia moderna funciona solo.

La seguridad que funciona es la que se revisa sola, sin esperar a que tú te acuerdes.

El cortafuegos y el bloqueo de fuerza bruta deben funcionar sin ti por defecto, filtrando peticiones maliciosas y bloqueando IPs a cualquier hora, da igual el sistema que apliques (CDN, plugin, hosting, todos a. la vez).

Ahora bien, la vigilancia que a mí me deja dormir tranquilo es otra, la de integridad, porque el malware moderno no se ve desde fuera.

Me refiero a la situación en que la web carga normal, el escritorio parece normal, y mientras tanto hay un archivo PHP colado en tu carpeta de subidas haciendo cosas raras, o una puerta trasera escondida en un plugin.

La única forma fiable de pillarlo es comparar, y comparar es justo lo que las máquinas hacen mejor que nosotros, comprobar el núcleo de WordPress contra las sumas de verificación oficiales, revisar los archivos de plugins y temas, y escanear la carpeta uploads buscando PHP donde solo debería haber imágenes.

Otra bomba de relojería silenciosa de la web desatendida son los plugins cerrados o abandonados, esos que WordPress.org retira del directorio por una vulnerabilidad sin arreglar o por abandono del autor, y que en tu web siguen instalados y activos tan campantes, porque nadie te avisa. Salvo que algo te avise, claro.

Esto último lo añadí a Vigilante justo después de que nos enterásemos de que alguien había colado puertas falsas en decenas de plugins en el directorio oficial. Gracias, o por culpa de eso, detecta los plugins cerrados y te dice además el motivo del cierre, que no es lo mismo «el autor lo dejó» que «tiene un agujero de seguridad sin parche».

Y el ejemplo que mejor resume la filosofía de todo este artículo es el analizador de seguridad de Vigilante, más de 40 comprobaciones con una puntuación de 0 a 100 que se ejecuta sola cada semana y únicamente te manda un email si la puntuación baja de verdad.

Ni resúmenes diarios que acabas ignorando, ni silencio absoluto, un vigilante que solo te llama si hay algo que contar, así se hace el piloto automático bien hecho.

El registro de actividad completa el arsenal, y no para que lo leas cada día (no lo vas a leer, y no pasa nada), sino para que a la vuelta puedas reconstruir qué ha pasado, quién entró, qué se instaló, qué cambió y cuándo.

Antes de que te relajes, por si no te has dado cuenta, los escáneres de seguridad están incorporando inteligencia artificial para detectar comportamientos anómalos en lugar de limitarse a firmas conocidas, un salto interesante que ya conté a fondo en mi artículo sobre seguridad WordPress con inteligencia artificial.

Otra amenaza que conviene vigilar también desde fuera, y para eso tienes dos opciones gratuitas, el análisis de seguridad WordPress online, que pasa más de 30 comprobaciones externas a tu web sin instalar nada (hazlo antes de irte, guarda la puntuación y repítelo a la vuelta), y un servicio de monitorización de disponibilidad tipo UptimeRobot, que te avisa al momento si la web se cae, que es lo primero que notarías si estuvieras delante y lo último que descubres si no lo estás.

En piloto automático: cortafuegos, escaneos de integridad y malware, detección de plugins cerrados, análisis semanal con aviso solo si empeora, y monitorización de disponibilidad.
Delegable: la interpretación y la reacción. Que las alertas las reciba y las resuelva un servicio de mantenimiento, y a ti te llegue solo el resumen.

Alertas: pocas y claras

La trampa clásica del que monta todo esto con ganas es activar todas las notificaciones de todos los sistemas. El resultado son veinte emails a la semana de cosas irrelevantes, tu cerebro los archiva como ruido y el día que llega el importante ni lo abres.

Si todo avisa, nada avisa, es el cuento de Pedro y el lobo, versión bandeja de entrada.

Mi recomendación es quedarte con cuatro alertas de verdad y mandar a resumen semanal, o directamente silenciar, todo lo demás. La caída de la web, una actualización automática que ha fallado y se ha revertido, la bajada de la puntuación del análisis semanal de seguridad, y cualquier detección de malware o cambio de integridad en archivos.

Y haz pruebas de todo antes de relajarte. Provoca un aviso de prueba o comprueba en el histórico que los emails llegan y no acaban en la carpeta de spam, que sería el colmo, el vigilante gritando y tú con los cascos puestos.

En piloto automático: el filtrado. Se configura una vez qué avisa y qué calla.
Delegable: el buzón entero. En un servicio de mantenimiento las alertas las recibe quien las va a resolver, y a ti solo te llega lo que necesita tu decisión.

Recomendaciones de seguridad que valen poquito

Hay medidas que se venden mucho y protegen poco, y en una web desatendida cada pieza de más es una pieza que puede fallar sola.

La primera, no apiles plugins de seguridad «por si acaso». Duplican reglas de cortafuegos, bloqueos de acceso y cabeceras, y el resultado suelen ser falsos positivos, avisos por duplicado y webs rotas, justo lo contrario de lo que buscas cuando no vas a estar delante. Elige uno que tenga de todo y bueno, configúralo bien y a otra cosa.

La segunda, ocultar la versión de WordPress es más cosmética que otra cosa. Los bots no leen tu número de versión y deciden educadamente si atacar, prueban el exploit directamente contra millones de webs y a ver cuál cae. Lo que te protege es actualizar y no tener la vulnerabilidad, por mucho cartel que escondas.

Y la tercera, la más importante, no tomes decisiones de seguridad por miedo, ni por el email alarmista de turno ni por el vendedor que te asegura que sin su suscripción premium tu web está condenada.

Lo que de verdad para los ataques es aburridísimo (copias, actualizaciones, accesos limpios y vigilancia automática, todo lo que llevamos visto) pero lo mejor es que es casi todo gratis o viene incluido en un buen hosting.

Plan B, por si aun así pasa algo

Todo lo anterior reduce muchísimo la probabilidad de sustos, pero el riesgo cero no existe, así que deja preparado el plan B, que consiste en poder reaccionar desde donde sea y cuándo haga falta, sin tener que acordarte de nada de memoria.

Tres escenarios más que probables:

Si la web se cae entra en el panel de tu hosting, desde el navegador del móvil si no tienes otra cosa, y restaura la última copia buena, que para eso practicaste la restauración y apuntaste los pasos.
Si ves un ataque en curso, con intentos de acceso masivos o tráfico raro, activa el modo «bajo ataque» de tu plugin de seguridad o de Cloudflare, que refuerza temporalmente los accesos mientras dura la tormenta.
Si confirmas un hackeo, restaura la copia anterior al desastre, cambia todas las contraseñas y abre ticket con el soporte de tu hosting, que para eso pagas y además saben seguro más que tú y yo juntos, porque ellos ven estas cosas a diario.

Para que todo eso sea posible desde cualquier parte, deja apuntado antes de confiarte, en tu gestor de contraseñas, el acceso al panel del hosting, dónde están las copias y cómo se restauran, el canal de soporte y el teléfono de la persona a la que llamarás si prefieres no tocar nada.

Volvemos al vecino con la copia de las llaves, y si ese vecino no existe, para eso están los servicios de mantenimiento, que en el fondo son eso, el teléfono al que llamas para no tener que ser tú quien apague el fuego o al menos no hacerlo a solas. No es su función principal, que es más la prevención, pero también cuando hay problemas deben demostrar que elegiste bien.

En piloto automático: nada, esta parte es tuya, pero se deja preparada en diez minutos.
Delegable: entera. Tener mantenimiento contratado es exactamente esto, que el plan B sea el teléfono de otro.

Lista de comprobación de seguridad en piloto automático

Cuando sales de viaje cierras la llave del gas, bajas las persianas, pones alguna luz con temporizador, conectas la alarma y le dejas las llaves a alguien de confianza. Pues con tu web, exactamente igual.

Aquí tienes la lista completa, pensada para hacerla en una tarde. Imprímela, guárdala o pásala a tu gestor de tareas, pero repásala entera antes de cada parón, y una vez al trimestre aunque no te vayas a ningún sitio, que como decíamos al principio, la web desatendida no entiende de calendarios.

Previsión obligatoria antes del piloto automático de seguridad:

Restaura una copia de seguridad de prueba y apunta los pasos y el tiempo que te llevó.
Comprueba que la copia externa programada existe, es completa (archivos y base de datos) y se guarda fuera del servidor.
Borra los usuarios que no se usen y baja privilegios a quien no necesite ser administrador.
Activa la identificación en dos pasos para todos los que acceden a la web.
Borra los plugins desactivados y los temas que no uses, dejando solo uno oficial de reserva.
Aplica el refuerzo: edición de archivos desactivada, XML-RPC cerrado si no lo usas y cabeceras de seguridad puestas.
Actualiza todo a mano una última vez, núcleo, plugins, temas y traducciones.
Configura las actualizaciones automáticas con red, copia previa, comprobación posterior y marcha atrás.
Pasa el análisis de seguridad externo, corrige lo que salga en rojo y guarda la puntuación para comparar a la vuelta.
Revisa las notificaciones, deja sonando solo las cuatro importantes y mándate un aviso de prueba.

Las medidas de seguridad imprescindibles en piloto automático:

Copias diarias del hosting más la copia externa programada.
Actualizaciones automáticas con copia previa y reversión si algo falla.
Cortafuegos y bloqueo de fuerza bruta.
Escaneo de integridad de archivos y detección de malware.
Detección de plugins cerrados o abandonados.
Análisis semanal de seguridad con aviso solo si la puntuación baja.
Monitorización de disponibilidad con aviso al móvil.

Notas de rescate:

Acceso al panel del hosting.
Donde están las copias y los pasos para restaurarlas.
Canal de soporte del hosting.
A quién llamar si necesitas ayuda.

Y ahora sí, cierra la puerta con dos vueltas

Si me preguntas como profesional que mantiene decenas de webs de clientes, mi posición es clara, mía, pero te la cuento. El piloto automático no es un apaño para vacaciones, es como debería estar montada la seguridad de cualquier web todo el año, porque eso de «yo lo reviso a mano cada día» dura dos semanas, como los propósitos de enero, y lo que queda después es una web que no revisa nadie.

¿Que ni siquiera quieres montarlo? Vale, es una decisión respetable, que para eso está la opción de delegarlo todo, y ahí te espero en mi servicio de mantenimiento WordPress.

¿Que gestionas webs de clientes y esta guía se te queda corta? Tengo publicada una guía de seguridad WordPress para empresas y agencias que sigue justo donde esta lo deja, y sino tienes toda una lista enorme de tutoriales de seguridad para WordPress.

Para dudas, matices o contarme tu propia lista de cerrar la casa, me tienes ahí abajo (que mis vacaciones son siempre teóricas), en la sección de comentarios.

Buen viaje, que la web queda en buenas manos. Las ~~tuyas~~ suyas.