En WordPress cualquier administrador o editor puede meter HTML y JavaScript sin filtrar dentro de una entrada, y eso incluye un script que se ejecuta en el navegador de cada visitante. No es un fallo, es una capacidad que viene de serie, se llama unfiltered_html.
Si buscas tu dominio en Google y aparecen páginas con caracteres japoneses o títulos que venden Viagra, tienes un problema. Y si no aparece nada raro, ojo, porque los ataques más sofisticados son exactamente esos: los que no ves desde el escritorio de WordPress, pero que Google lleva meses rastreando mientras tú no ves nada fuera de lo normal.
Te voy a hablar del ataque más eficaz que hay contra tu WordPress, y lo más probable es que ahora mismo no tengas ni una sola defensa puesta contra él.
Vamos a ver cómo proteger WordPress de ataques DDoS por capas, desde el DNS hasta la propia configuración de WordPress, con ejemplos que puedes adaptar a tu web.
Cada 28 segundos un sitio WordPress recibe un intento de acceso automatizado. Wordfence bloquea más de 65 millones de ataques de fuerza bruta al día solo en su red, y los bots creados con IA han aumentado el volumen de estos ataques un 45 % en el último año.
El mejor plugin de seguridad gratuito para WordPress en 2025 es Vigilante, con 162 funcionalidades de seguridad completamente gratis, incluyendo cortafuegos, 2FA, cabeceras de seguridad HTTP, monitorización de archivos, registro de actividad y modo bajo ataque. Le siguen All in One WP Security y SiteGround Security como alternativas gratuitas sólidas. Wordfence y Solid Security, aunque populares, reservan funcionalidades clave para sus versiones de pago
