Si diriges una empresa en Bydgoszcz y tienes una web o una tienda en WordPress, la seguridad de la web WordPress no es un tema para grandes corporaciones. Los ataques son en gran medida automáticos: los bots rastrean todo internet en busca de agujeros conocidos y no les importa si la web pertenece a un salón de Śródmieście o a una gran sociedad. Una pequeña empresa está, pues, igual de «en el punto de mira» que una grande, y suele estar peor protegida.
La guía muestra qué te juegas y qué hacer: desde las actualizaciones y las copias, pasando por el endurecimiento de la configuración, hasta un plan para el caso de intrusión. No prometemos «100 % de seguridad», porque no existe; el objetivo es un ataque difícil, detectado pronto y de consecuencias leves. Si prefieres empezar por el diagnóstico, usa el test de seguridad gratuito de WordPress.
Qué te juegas si la web de tu empresa de Bydgoszcz es hackeada
Una intrusión rara vez consiste en cambiar la página de inicio; más a menudo, el atacante usa tu web en silencio para sus propios fines. Consecuencias típicas:
- Spam SEO y redirecciones: enlaces ocultos o subpáginas que anuncian servicios ajenos, y los visitantes que llegan desde Google acaban en sitios extraños.
- Software malicioso: los navegadores o Google pueden advertir a los visitantes antes de entrar en la web, lo que te corta el acceso a los clientes.
- Fuga de datos: consultas de formularios, cuentas de clientes, pedidos de la tienda.
- Inactividad: para una tienda, cada hora de indisponibilidad son pedidos perdidos.
Vectores de ataque más habituales contra las webs WordPress
Plugins y temas obsoletos
Es la causa más frecuente de intrusiones. Cuando se detecta una vulnerabilidad en un plugin, el autor publica una corrección y la información sobre el fallo se hace pública. A partir de ese momento, los bots buscan webs que aún no han instalado la actualización. Es especialmente peligroso un plugin abandonado por su autor.
Plugins nulled y piratas
Una versión «gratuita» de un tema o plugin de pago procedente de una web no oficial contiene con muchísima frecuencia una puerta trasera oculta. La regla es sencilla: los plugins y temas se descargan solo del directorio de WordPress.org o directamente del autor, con una licencia válida.
Contraseñas débiles y falta de 2FA
Las contraseñas repetidas, el usuario «admin» y las cuentas de antiguos colaboradores son un camino directo para que se hagan con el panel. La autenticación en dos pasos (2FA) lo dificulta de forma notable.
Fuerza bruta en wp-login y XML-RPC
Los bots intentan sin parar adivinar contraseñas en la página de acceso y a través del archivo xmlrpc.php, que permite probar muchas contraseñas en una sola petición. Si no lo necesitas, desactívalo o límitalo, y pon un límite de intentos al acceso.
Formularios y subidas de archivos vulnerables
Cualquier lugar en el que el usuario pueda enviar algo (formulario de contacto, subida de archivos, comentarios) debe validar los datos y los tipos de archivo. Una subida mal resuelta es el camino clásico para colar un script malicioso. En los plugins de WordPress a medida, la validación de datos es la base.
Actualizaciones y política de plugins
La protección más eficaz es aburrida: actualizaciones periódicas. Fija un ritmo, p. ej. una revisión semanal, e instala las correcciones de seguridad más rápido. Prueba antes los cambios mayores en staging.
- Cuantos menos plugins, menor superficie de ataque. Elimina todo lo que no uses (no basta con desactivarlo).
- Comprueba el origen: fecha de la última actualización, compatibilidad con la versión actual de WordPress, número de instalaciones activas, atención seria a las incidencias en el soporte.
- Planifica la sustitución de complementos abandonados: cuando un plugin deja de desarrollarse, reemplázalo.
Vigila también la versión de PHP: las antiguas no reciben correcciones. Al poner orden en los plugins, echa un vistazo a la guía sobre la velocidad de las webs WordPress: menos complementos significan una web más rápida y más segura.
Hardening, es decir, endurecimiento de la configuración de WordPress
El hardening es un conjunto de ajustes que reducen las posibilidades del atacante incluso cuando aparece un fallo en algún sitio.
Ajustes en WordPress
- Desactiva el editor de archivos en el panel: la constante
DISALLOW_FILE_EDITenwp-config.phpimpide editar el código de temas y plugins desde el panel. - Limita el número de administradores: la mayoría de las personas necesitan el rol de editor o de autor. El principio de mínimo privilegio ahorra problemas.
- Oculta la versión de WordPress: no hay motivo para informar a los bots de la versión que usas.
Servidor y permisos de archivos
Lo habitual es que los directorios tengan permisos 755, los archivos 644 y el archivo wp-config.php permisos aún más restrictivos (p. ej. 600 o 640, según la configuración del servidor). Conviene bloquear la ejecución de PHP en el directorio de subidas y desactivar el listado de directorios. Los valores dependen del hosting.
Cabeceras de seguridad, HTTPS y HSTS
Un certificado SSL y la redirección de toda la web a HTTPS son hoy el mínimo absoluto. El siguiente paso es la cabecera HSTS, que ordena al navegador conectarse siempre a la web con una conexión cifrada. Conviene también configurar las cabeceras: X-Content-Type-Options, X-Frame-Options (o la regla correspondiente en Content-Security-Policy) y Referrer-Policy. Encontrarás indicaciones generales en la documentación oficial de WordPress.
Copias de seguridad: la regla 3-2-1 y la prueba de restauración
La copia de seguridad es tu última línea de defensa. Funciona la regla 3-2-1:
- 3 copias de los datos (producción más dos copias),
- en 2 soportes distintos o en dos servicios distintos,
- con 1 copia fuera del servidor en el que funciona la web.
Una copia en la misma cuenta de hosting no te protegerá si se hacen con la cuenta. Conserva varios puntos en el tiempo, porque la última copia puede estar ya «infectada».
El paso que más se omite es la prueba de restauración. Una copia que nunca has restaurado es solo una suposición. Comprueba una vez en staging que desde la copia se levanta una web completa con la base de datos y los archivos.
WAF, rate limiting, monitorización y registros
El cortafuegos de aplicaciones (WAF) filtra el tráfico antes de que llegue a WordPress: bloquea patrones de ataque conocidos y bots maliciosos. Funciona delante del servidor (p. ej. en una red CDN) o como plugin. Lo complementa el rate limiting, es decir, el límite de peticiones e intentos de acceso desde una misma dirección en un tiempo dado, que debilita la fuerza bruta.
Un ataque que desconoces dura más. Configura:
- monitorización de disponibilidad: aviso cuando la web deja de responder,
- monitorización de cambios en archivos: alerta cuando aparece un cambio inesperado en los archivos de WordPress,
- registros de accesos y de acciones de los administradores: permiten saber quién hizo qué y cuándo,
- Google Search Console: informa, entre otras cosas, de los problemas de seguridad detectados.
Hosting y entorno de staging
El hosting influye en la seguridad más de lo que parece. Fíjate en el aislamiento de las cuentas, las versiones actuales de PHP, las copias automáticas, el acceso por SFTP/SSH en lugar de FTP normal y la 2FA en el panel. Cuentan la calidad del servicio y la rapidez de respuesta del soporte técnico.
El segundo pilar es el staging, es decir, una copia de la web para pruebas. Las actualizaciones, los plugins nuevos y los cambios en el código se comprueban primero allí.
Seguridad de una tienda WooCommerce y de los pagos
Una tienda añade nuevos vectores de riesgo: cuentas de clientes, datos de pedidos y pasarelas de pago. Buenas prácticas:
- No guardes datos de tarjetas. Los pagos debe gestionarlos una pasarela externa (p. ej. Przelewy24, Stripe, BLIK). En nuestros proyectos WooCommerce no almacenamos datos de tarjetas en la web del cliente.
- Revisa los plugins de pago y de envío: actualízalos con especial cuidado, primero en staging.
- Protege las cuentas de clientes: límite de intentos de acceso, contraseñas robustas, protección contra bots en el registro y en el carrito.
Hablamos más sobre la gestión de la tienda en el artículo sobre el uso de WooCommerce en tiendas online, y puedes comprobar la salud de tu propia tienda en el test gratuito de salud de la tienda.
RGPD (RODO) y violación de la seguridad de los datos personales
Si en la web recoges datos personales (formularios, pedidos, reservas, newsletter), una intrusión puede suponer una violación de la seguridad de los datos personales. El responsable del tratamiento debe, por regla general, notificarla a la autoridad de control (en Polonia, el Urząd Ochrony Danych Osobowych, UODO) sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que se tenga constancia de la violación, siempre que exista riesgo para los derechos o libertades de las personas cuyos datos se tratan.
Es un esbozo general; en caso de incidente, consulta con un delegado de protección de datos o un abogado. Encontrarás información oficial en la web del Urząd Ochrony Danych Osobowych (la autoridad polaca de protección de datos). Puedes comprobar el estado actual de cumplimiento de tu web (cookies, política de privacidad) en el test de RGPD y cookies.
Qué hacer tras una intrusión: plan paso a paso
- Asegura las pruebas. Haz una copia del estado actual (archivos, base de datos, registros).
- Aísla la web. Activa el modo de mantenimiento o desactívala temporalmente si distribuye contenidos maliciosos.
- Cambia todas las contraseñas: panel de WordPress, hosting, base de datos, FTP/SFTP, correo, claves de API y las claves (salts) de
wp-config.php. - Encuentra la entrada y las consecuencias. Revisa los usuarios nuevos, los archivos modificados, los plugins desconocidos y las tareas cron. Eliminar solo el síntoma no basta.
- Restaura una copia limpia o reconstruye la web, instalando de nuevo el núcleo, el tema y los plugins desde fuentes oficiales.
- Corrige la causa: actualizaciones, eliminación del plugin vulnerable, refuerzo de los accesos.
- Evalúa las consecuencias para los datos personales y decide sobre la notificación conforme al RGPD (véase más arriba).
- Comunica el problema en Google Search Console si la web ha sido marcada como peligrosa, y vigílala durante las semanas siguientes.
Riesgo, consecuencia, prevención: tabla
| Riesgo | Consecuencia | Cómo prevenirlo |
|---|---|---|
| Plugins y temas obsoletos | Toma de control de la web mediante un fallo conocido | Actualizaciones periódicas, eliminación de complementos sin usar, staging |
| Plugins nulled / piratas | Puerta trasera oculta, spam, robo de datos | Solo fuentes oficiales y licencias válidas |
| Contraseñas débiles, sin 2FA | Toma de control de la cuenta de administrador | Gestor de contraseñas, 2FA, mínimo de permisos |
| Fuerza bruta (wp-login, XML-RPC) | Sobrecarga del servidor, contraseña adivinada | Límite de intentos, rate limiting, desactivación de XML-RPC |
| Formularios y subidas vulnerables | Subida de un script malicioso | Validación, limitación de tipos de archivo, bloqueo de PHP en las subidas |
| Falta de copias de seguridad | Pérdida de la web o de los pedidos | Regla 3-2-1 y prueba de restauración |
10 pasos para empezar
- Actualiza WordPress, el tema y los plugins, y elimina los que no uses.
- Elimina los plugins de fuentes no oficiales.
- Activa la 2FA y contraseñas únicas y largas para todos los administradores.
- Limita el número de cuentas de administrador y elimina las de antiguos colaboradores.
- Activa HTTPS en toda la web y HSTS.
- Añade
DISALLOW_FILE_EDITy revisa los permisos de archivos. - Limita los intentos de acceso y bloquea o limita XML-RPC.
- Configura copias automáticas 3-2-1 y prueba una vez la restauración.
- Activa la monitorización de disponibilidad y de cambios en archivos.
- Redacta un plan de reacción sencillo: quién hace qué y en qué orden tras un incidente.
Para comprobar las carencias, ejecuta el test de seguridad gratuito de WordPress. Una imagen más amplia (SEO, seguridad, RGPD, rendimiento, accesibilidad, preparación para la IA) la ofrece la Auditoría Completa de la Web por 150 PLN, con el resultado en pocos minutos y una lista de acciones priorizada.
Preguntas frecuentes
¿Puede de verdad ser atacada mi pequeña web corporativa en Bydgoszcz?
Sí. La mayoría de los ataques son automatizados y no eligen sus objetivos según el tamaño de la empresa. Los bots buscan fallos conocidos, así que está en riesgo cualquier web con complementos desactualizados o contraseñas débiles.
¿Basta con un solo plugin de seguridad?
No. Un plugin de seguridad ayuda (cortafuegos, análisis, límites de acceso), pero no sustituye a las actualizaciones, las contraseñas robustas, las copias de seguridad y una buena configuración del servidor.
¿Con qué frecuencia hacer copias de seguridad?
Depende de la frecuencia con que cambie la web. Una web de presentación puede copiarse, por ejemplo, una vez al día, y una tienda con pedidos constantes requiere copias más frecuentes de la base de datos.
¿Tengo que notificar una intrusión a la UODO (autoridad polaca de protección de datos)?
Depende de las circunstancias. Si se ha producido una violación de la seguridad de los datos personales que entraña riesgo para los derechos o libertades de las personas, por regla general la notificación debe enviarse sin dilación indebida y, de ser posible, en 72 horas. Conviene hablar de la situación con un delegado de protección de datos o un abogado.
¿Cuánto cuesta proteger una web WordPress?
El coste depende del tamaño de la web, del hosting y del alcance de los trabajos, así que no damos una cifra única. Para empezar puedes usar el test gratuito o la Auditoría Completa de la Web por 150 PLN, y tras la primera conversación gratuita preparamos un presupuesto a precio cerrado.
Protege tu web con nosotros en Bydgoszcz
¿No estás seguro de cómo de protegida está tu web o tu tienda? Concierta una conversación gratuita (30–60 minutos). Tras ella preparamos un presupuesto a precio cerrado, y el primer mes de soporte tras la implantación (actualizaciones, monitorización) está incluido en el precio. Consulta los servicios y los proyectos, escríbenos mediante el formulario de contacto o contacta directamente:
Kreatywna Agencja (Canpol Bis Sp. z o.o.)
ul. Gimnazjalna 2/M501, 85-007 Bydgoszcz
tel. +48 502 811 949
e-mail: biuro@kreatywnaagencja.com.pl
kreatywnaagencja.com.pl
