Si tu WordPress vive en hosting compartido, estás en el entorno de mayor riesgo estadístico: miles de sitios en el mismo servidor, permisos laxos y un software que atrae ataques automatizados todo el día. La buena noticia es que aplicar un checklist de hardening básico reduce la probabilidad de hackeo en más del 80 %, sin necesidad de servidor dedicado ni conocimientos avanzados.
Este artículo cubre exactamente lo que necesitas revisar antes de que ocurra un incidente, organizado en pasos accionables que puedes completar en una tarde.
¿Por qué WordPress en hosting compartido es un blanco fácil?
Los servidores compartidos agrupan cientos o miles de dominios bajo la misma IP y, frecuentemente, bajo el mismo usuario de sistema. Un sitio vecino comprometido puede servir de punto de entrada para moverse lateralmente si los permisos de archivos no están correctamente aislados.
Además, los ataques a WordPress son casi todos automatizados:
- Bots escanean
/wp-login.phpyxmlrpc.phptodo el tiempo buscando credenciales débiles. - Exploits de plugins desactualizados se ejecutan en masa horas después de publicarse una CVE.
- Inyecciones de backdoor vía carga de archivos en plugins o temas vulnerables.
El vector más común en hosting compartido no es la infraestructura del proveedor: es tu propio sitio sin actualizar o con contraseñas débiles.
Checklist de hardening: los 6 bloques esenciales
1. Actualizaciones sin excepción
WordPress core, temas y plugins deben estar siempre en su última versión estable. Activa las actualizaciones automáticas de seguridad del core desde wp-config.php:
define( 'WP_AUTO_UPDATE_CORE', 'minor' );Para plugins, instala Easy Updates Manager y configura actualizaciones automáticas para parches de seguridad. Desinstala plugins inactivos — no solo desactivados, borrados completamente.
2. Permisos de archivos correctos
Los permisos incorrectos son la puerta trasera más frecuente en hosting compartido. Valores seguros:
| Elemento | Permiso correcto | Permiso peligroso |
|---|---|---|
| Directorio raíz WordPress | 755 | 777 |
| Archivos PHP | 644 | 666 / 777 |
wp-config.php |
440 ó 400 | 644 o superior |
Directorio wp-content/uploads |
755 | 777 |
Desde el File Manager de cPanel o vía SSH puedes ajustarlos masivamente:
find /public_html -type d -exec chmod 755 {} \;
find /public_html -type f -exec chmod 644 {} \;
chmod 440 /public_html/wp-config.php3. Proteger wp-login.php y deshabilitar xmlrpc.php
Agrega una capa de autenticación HTTP básica al login de WordPress y bloquea xmlrpc si no lo usas (la mayoría no lo necesita). En tu .htaccess:
# Bloquear xmlrpc.php
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>
# Proteger wp-login.php con IP o auth básica
<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from TU.IP.AQUI
</Files>Si tu IP es dinámica, activa autenticación de dos factores (2FA) con el plugin WP 2FA en su lugar — es más práctico y casi igual de seguro.
4. Contraseñas fuertes y usuarios con privilegios mínimos
- Cambia el usuario por defecto
adminpor un nombre de usuario único y no predecible. - Usa contraseñas de al menos 16 caracteres, generadas por un gestor (Bitwarden, 1Password).
- Asigna a autores y editores el rol mínimo necesario — nunca "Administrador" a quien no lo sea.
- Activa 2FA obligatorio para todos los roles con capacidad de publicar.
5. Plugin de seguridad + WAF ligero
Para hosting compartido donde no controlas el firewall del servidor, un plugin de seguridad actúa como WAF a nivel aplicación. Las opciones más fiables en 2026:
| Plugin | WAF | Escaneo de malware | 2FA | Gratis |
|---|---|---|---|---|
| Wordfence | Sí | Sí (tiempo real en Pro) | Sí | Sí (básico) |
| Solid Security (iThemes) | Parcial | Sí | Sí | Sí |
| Sucuri Security | Sí (Pro/CDN) | Sí | No nativo | Sí (escaneo) |
Wordfence gratuito cubre la mayoría de sitios pequeños y medianos. Combínalo con Cloudflare gratuito para tener un WAF adicional antes de que el tráfico llegue siquiera a tu servidor.
6. Backups automáticos fuera del servidor
Si te hackean, el backup es tu red de salvación. Los backups internos del hosting compartido no son suficientes — un atacante con acceso a cPanel puede borrarlos. Usa:
- UpdraftPlus con destino en Google Drive, Dropbox o S3 — configurado para backups diarios de base de datos y semanales de archivos.
- Retén al menos 30 días de historial para poder volver a un punto anterior a la infección.
- Prueba la restauración al menos una vez — un backup que no has probado no existe.
Si buscas asesoría profesional para configurar todo esto en tu sitio, el equipo de elenlace.com ofrece servicios de mantenimiento y seguridad WordPress que incluyen hardening completo desde el primer día.
Qué hacer si ya fuiste hackeado
Si llegaste aquí porque ya tienes un problema, sigue estos pasos en orden:
- Pon el sitio en mantenimiento inmediatamente para evitar que infecte a tus visitantes.
- Cambia todas las contraseñas: WordPress, cPanel, FTP, base de datos.
- Escanea con Wordfence o Sucuri para localizar los archivos infectados.
- Restaura desde el último backup limpio — si lo tienes. Si no, limpia manualmente con ayuda del escáner.
- Aplica este checklist completo antes de volver a publicar.
- Notifica a tu proveedor de hosting — a veces tienen herramientas de detección propias.
Puedes encontrar más guías de comparativas y mantenimiento en nuestra sección de comparativas de hosting y herramientas web.
Conclusiones clave
- El mayor riesgo en hosting compartido no es el proveedor, sino el sitio desactualizado o mal configurado.
- Permisos correctos (644/755, wp-config en 440) cierran la mayoría de vectores de acceso lateral.
- Bloquear
wp-login.phpy deshabilitarxmlrpc.phpelimina el 90 % del tráfico de ataque automatizado. - Un plugin WAF + Cloudflare gratuito es suficiente para sitios pequeños y medianos.
- Sin backup externo y probado, cualquier otra medida es incompleta.
- El 2FA obligatorio para administradores es la medida de mayor retorno por esfuerzo.
¿Quieres que un profesional revise y aplique este checklist por ti? Contáctanos en elenlace.com — hacemos la auditoría, el hardening y dejamos tu sitio monitoreado para que tú puedas enfocarte en tu negocio.
Preguntas frecuentes
¿Es suficiente un plugin de seguridad o necesito algo más?
Un plugin de seguridad es necesario pero no suficiente por sí solo. Debe combinarse con permisos correctos de archivos, contraseñas fuertes, 2FA y backups externos. El plugin cubre la capa de aplicación; el resto cierra las brechas de configuración y credenciales.
¿Debo pagar por Wordfence Premium o la versión gratuita es suficiente?
Para la mayoría de sitios en hosting compartido, Wordfence gratuito es suficiente. La versión Premium actualiza las firmas de malware en tiempo real (la gratuita con 30 días de retraso) y añade protección de reputación de IP. Si manejas datos de clientes o e-commerce, considera el upgrade.
¿Cada cuánto debo hacer la auditoría de seguridad?
Revisa los puntos críticos (actualizaciones, permisos, usuarios) mensualmente. Haz un escaneo completo de malware semanalmente con tu plugin de seguridad. Después de cada actualización masiva de plugins, revisa los logs en busca de comportamientos anómalos.
¿Puedo mejorar la seguridad sin acceso SSH?
Sí. La mayoría de medidas de este checklist se aplican desde cPanel: permisos con File Manager, edición de .htaccess con el editor integrado, y toda la configuración de plugins desde el panel de WordPress. SSH acelera el proceso pero no es un requisito.
Recursos útiles
Otros proveedores y guías que vale la pena comparar:
