Respuesta corta: la seguridad web consiste en bajar el riesgo de que alguien entre en tu sitio, porque ningún sistema es perfectamente seguro. Usa contraseñas largas con inicio de sesión en dos pasos, da a cada persona solo el acceso que necesita y mantén al día WordPress, los temas y los plugins. Después revisa Salud del sitio en WordPress y el informe Problemas de seguridad en Search Console.
Quién mantiene seguro tu sitio
Tu hosting suele encargarse de la infraestructura donde está tu sitio, pero no del software que instalas, como WordPress y sus plugins. WordPress agrega que los hackeos rara vez vienen de la infraestructura y casi siempre de la aplicación, la parte que te toca a ti.
Entre las cualidades de un hosting confiable, WordPress menciona hablar abiertamente de su seguridad, tener software de servidor estable y reciente, y ofrecer copias de seguridad y recuperación fiables. Nuestra guía de hosting web explica cómo elegir uno. Mantén también tu computadora libre de malware: WordPress advierte que ninguna seguridad del sitio sirve si en ella hay un programa que registra lo que tecleas.
Contraseñas difíciles de adivinar
El NIST, la agencia de Estados Unidos detrás de unas pautas de identidad digital muy usadas, recomienda contraseñas de al menos 15 caracteres. Lo que más cuenta es la longitud, y el NIST ya no recomienda exigir caracteres especiales y números.
Una frase de contraseña, varias palabras reales juntas, es más fácil de recordar. Usa una contraseña distinta en cada sitio: el NIST advierte que una contraseña filtrada puede abrir todos los sitios donde la usaste.
Los expertos del NIST recomiendan usar un administrador de contraseñas, una app que crea contraseñas largas y las guarda por ti. Elige uno que admita el inicio de sesión en dos pasos, porque su contraseña protege todas las demás. WordPress también muestra un medidor de fortaleza cuando cambias una contraseña.
Agrega un segundo paso al iniciar sesión
El inicio de sesión en dos pasos, o autenticación multifactor (MFA), pide algo más que una contraseña, como un código de una app o una llave de seguridad. Si alguien roba tu contraseña, el NIST explica que la MFA le pone una segunda barrera, y la recomienda en todas las cuentas que la ofrezcan.
El núcleo de WordPress no la incluye. Su manual dice que la agregues con un plugin de confianza o con tu proveedor de identidad, y que la actives para todos los administradores.
El NIST advierte que los códigos por mensaje de texto son especialmente vulnerables, y que a los administradores se les deberían ofrecer, al menos, métodos resistentes al phishing. Las llaves de acceso son uno de ellos: entras con el PIN o la cara con que abres tu teléfono, y el NIST dice que no se pueden robar fácilmente con phishing. WordPress sugiere agregarlas con un plugin que se mantenga al día.
Da a cada persona solo el acceso que necesita
WordPress aconseja limitar el número de administradores y usar perfiles con los permisos mínimos para el trabajo diario. El NIST agrega que el acceso debe ser solo para quien lo necesita, y retirarse cuando cambian las necesidades o alguien se va. En WordPress en español, el rol de cada usuario se llama perfil.
| Perfil | Qué le permite WordPress | Quién suele tenerlo |
|---|---|---|
| Administrador | Todo lo de la administración de un sitio | La persona dueña y quien lleva el sitio |
| Editor | Publica y gestiona entradas, también las de otros usuarios | Quien lleva el blog o las noticias |
| Autor | Publica y gestiona sus propias entradas | Alguien que escribe con frecuencia |
| Contribuidor | Escribe y gestiona sus propias entradas, pero no puede publicarlas | Alguien que escribe de vez en cuando |
| Suscriptor | Solo gestiona su perfil | Lectores o clientes registrados |
Documentación de WordPress, consultada el 7 de noviembre de 2026. La última columna es un consejo nuestro.
WordPress crea una cuenta de Administrador al instalarse. No uses admin como nombre de usuario, y pasa a un perfil con menos permisos o elimina a los usuarios antiguos en la pantalla Usuarios. Para una app o un servicio que se conecta a tu sitio, usa las Contraseñas de aplicación: puedes revocar una sin cambiar la tuya.
Actualizaciones, plugins y copias de seguridad
Las versiones antiguas de WordPress no reciben actualizaciones de seguridad. Según WordPress, cuando sale una corrección, la información para aprovechar el fallo casi seguro ya es pública, y eso deja más expuestas las versiones antiguas. WordPress tiene actualizaciones automáticas desde la versión 3.7.
Los plugins tienen un acceso profundo a tu sitio, recuerda la documentación de Salud del sitio. Consíguelos en el repositorio de WordPress.org o de empresas conocidas, mantenlos al día y borra los plugins y temas que no uses.
WordPress recomienda copias probadas, ensayar la restauración y copias periódicas del sitio completo, para reconstruirlo desde una versión anterior al ataque. Nuestra guía de mantenimiento web explica cada cuánto hacer copias y actualizar.
Frena los ataques a tu inicio de sesión
En un ataque de fuerza bruta, alguien prueba combinaciones de usuario y contraseña hasta que una funciona. Los intentos son automáticos, explica WordPress, y hasta los fallidos pueden saturar tu sitio de solicitudes.
WordPress recomienda limitar los intentos de inicio de sesión en un firewall, una red de distribución de contenido o el servidor web. Un plugin de seguridad también puede hacerlo, aunque gasta recursos del servidor durante un ataque fuerte. Un CAPTCHA en la página de acceso frena a los bots, y nuestra guía de CAPTCHA explica las opciones.
Si no usas XML-RPC, una conexión de la que dependen algunas apps y servicios, WordPress dice que lo desactives, porque es un blanco frecuente. Esconder la dirección de acceso puede reducir el ruido, pero WordPress advierte que no debería ser tu única defensa. Sirve todo el sitio con HTTPS para que las contraseñas viajen cifradas; nuestra guía de certificados SSL explica cómo.
Revisa tu sitio en WordPress
WordPress hace un diagnóstico de tu sitio en Salud del sitio, dentro de Herramientas en el Escritorio. La pestaña Estado agrupa lo que encuentra en problemas críticos, mejoras recomendadas y pruebas satisfactorias.
Los problemas críticos pueden ser posibles fallos de seguridad o problemas serios de rendimiento, y Salud del sitio sugiere cómo arreglar cada uno. Algunos ejemplos son las actualizaciones en segundo plano que no funcionan, una versión de PHP desactualizada o plugins que esperan una actualización.
La pestaña Información muestra si tu sitio usa HTTPS y el Conteo de usuarios. A nuestro juicio, si ese número es mayor que el de personas a las que diste acceso, revisa la lista en Usuarios.
Revisa lo que encontró Google
Si Google decide que tu sitio fue hackeado o que puede dañar a quien lo visita, el informe Problemas de seguridad de Search Console muestra lo que encontró. Google agrupa los problemas en contenido pirateado, malware y software no deseado, e ingeniería social. Si no hay problemas, verás una marca de verificación verde.
Las páginas afectadas pueden llevar una advertencia en los resultados de búsqueda, y el navegador puede mostrar una página de advertencia antes de la visita. Quizá no la veas en tu propia pantalla, porque Google dice que sus advertencias dependen del contexto: básate en el informe. Nuestra guía de Search Console explica cómo configurarlo.
Si Google marca tu sitio
Abre el problema en el informe, sigue su enlace Más información y usa las páginas de ejemplo para encontrarlo. Arréglalo en todo el sitio, porque según Google, solucionarlo solo en algunas páginas no hace que vuelvas a aparecer en parte en los resultados de búsqueda.
Cuando hayas solucionado y probado todos los problemas del informe, haz clic en Solicitar revisión y describe tus correcciones. Google dice que la mayoría de las revisiones tardan de varios días a varias semanas, y te escribe al recibir la solicitud y al terminar.
No envíes otra solicitud antes de la decisión: una enviada antes de arreglar el problema puede demorar la siguiente. A nuestro juicio, cuando el sitio esté limpio, cambia las contraseñas de todas las cuentas con acceso.
Cómo proteger tu sitio web
- Guarda cada contraseña en un administrador de contraseñas, con al menos 15 caracteres y sin repetirlas.
- Activa el inicio de sesión en dos pasos para cada administrador, con una llave de acceso o una app si puedes.
- Da a cada persona su propio usuario y el perfil más bajo que le sirva para su trabajo.
- Activa las actualizaciones automáticas y borra los plugins y temas que no uses.
- Limita los intentos de inicio de sesión en tu firewall, tu red de distribución de contenido o tu servidor web, y desactiva XML-RPC si no lo usas.
- Abre Herramientas > Salud del sitio y arregla primero los problemas críticos.
- Revisa cada mes el informe Problemas de seguridad en Search Console.
El orden y la revisión mensual son consejos nuestros. Lo demás sigue a WordPress, al NIST y a Google.
Tu lista de seguridad web
- Cada cuenta tiene su propia contraseña larga, guardada en un administrador de contraseñas.
- Cada administrador inicia sesión con un segundo paso.
- Solo son administradores quienes lo necesitan, y nadie entra como admin.
- WordPress, el tema y los plugins están al día, y los que no usas ya no están.
- Tienes una copia de seguridad reciente y sabes cómo restaurarla.
- Salud del sitio no muestra problemas críticos, y Problemas de seguridad muestra la marca de verificación verde.
RecuerdaTu hosting protege sus servidores, y el sitio en sí te toca a ti. Usa contraseñas largas e inicio de sesión en dos pasos, da solo los perfiles necesarios, mantén el software al día y revisa Salud del sitio y Search Console.
Nuestro servicio de diseño web monta tu web en WordPress y te da todos los accesos. Si quieres, su mantenimiento mensual prueba las actualizaciones antes de salir en vivo, guarda copias diarias durante 30 días y vigila la seguridad y las caídas.
Preguntas sobre seguridad web
¿Cómo reviso si mi sitio web es seguro?
En WordPress, abre Herramientas y luego Salud del sitio, y arregla los problemas críticos. Después abre el informe Problemas de seguridad en Google Search Console, donde una marca de verificación verde significa que Google no encontró problemas.
¿WordPress tiene autenticación de dos factores?
No en el núcleo de WordPress. Su manual dice que la agregues con un plugin de confianza o con tu proveedor de identidad, y que la actives para todos los administradores. El paso extra puede ser una app de autenticación o una llave física, con un mensaje de texto como respaldo.
¿Por qué Google muestra una advertencia sobre mi sitio?
Google marca las páginas que encuentra hackeadas o dañinas para los visitantes, por ejemplo con phishing o malware. Pueden llevar una advertencia en los resultados de búsqueda o mostrar una página de advertencia en el navegador. El informe Problemas de seguridad de Search Console dice qué encontró Google.
¿Cuánto tarda una revisión de seguridad de Google?
Google dice que la mayoría de las revisiones tardan de varios días a varias semanas. Te escribe cuando recibe tu solicitud y cuando termina la revisión. No envíes otra solicitud antes de recibir la decisión.
¿Qué tan larga debe ser una contraseña?
El NIST recomienda al menos 15 caracteres, y ya no recomienda exigir caracteres especiales y números. Una frase de varias palabras reales es más fácil de recordar, y un administrador de contraseñas puede crear una contraseña larga y distinta para cada cuenta.
Fuentes
Fuentes consultadas el 7 de noviembre de 2026. De WordPress, en inglés: Hardening WordPress. Brute Force Attacks. Roles and Capabilities. Site Health screen. Los nombres de WordPress en español salen de su paquete oficial de traducción al español de México. Del NIST, en inglés: How Do I Create a Good Password? Multi-Factor Authentication. De la Ayuda de Search Console: Informe "Problemas de seguridad". De nuestro sitio: nuestra página de diseño web.