Las copias de seguridad WordPress son lo único que te salva cuando todo lo demás falla: un hackeo, una actualización que rompe la web, un error de hosting o alguien que borra lo que no debía. Puedes tener el mejor plugin de seguridad del mercado, pero si no tienes una copia reciente, completa y guardada fuera del servidor, un mal día puede costarte la web entera.
Respuesta rápida: la seguridad en WordPress se apoya en copias automáticas guardadas fuera del servidor, actualizaciones constantes de núcleo, tema y plugins, y pocas extensiones bien elegidas. Un plugin de seguridad ayuda, pero no sustituye a un buen hosting ni a un mantenimiento periódico.
Índice de contenidos
Copias de seguridad WordPress: Por qué la seguridad te debería preocupar
WordPress mueve una parte enorme de internet. Eso tiene una ventaja clara: hay muchísimos plugins, temas y profesionales. Y una consecuencia lógica: también es el objetivo favorito de los ataques automatizados.
La mayoría de ataques no son personales. Son robots que recorren miles de webs buscando una versión vieja de un plugin con un fallo conocido, una contraseña débil o un formulario sin proteger. No hace falta que tu empresa sea famosa para que te toque.
Lo que suele pasar después de un hackeo:
- Google muestra un aviso de sitio peligroso y la gente deja de entrar.
- Tu web redirige a páginas de spam o aparecen URLs que no has creado.
- El hosting suspende la cuenta para proteger al resto de clientes.
- Se filtran datos de clientes o pedidos, con las obligaciones legales que eso implica.
- Pierdes posiciones en Google mientras dura el problema y la limpieza.
La seguridad en WordPress se construye con varias capas que se protegen entre sí: copias, actualizaciones, plugins, hosting y buenas costumbres. Empezamos por la más importante.
Copias de seguridad en WordPress: la base de todo
Una copia de seguridad no sirve de nada si no puedes restaurarla. Parece obvio, pero es el fallo que más vemos: copias que existen, pero están incompletas, guardadas en el mismo servidor que la web o tan antiguas que no reflejan la tienda actual.
Qué tiene que incluir una copia completa
Una web WordPress tiene dos partes y necesitas las dos:
- La base de datos: entradas, páginas, pedidos, clientes, ajustes y configuración de plugins.
- Los archivos: el núcleo, el tema, los plugins y, sobre todo, la carpeta de subidas con todas tus imágenes y documentos.
Si solo guardas la base de datos, recuperas el texto pero pierdes las imágenes. Si solo guardas archivos, recuperas el diseño pero no el contenido.
Frecuencia y dónde guardarlas
La frecuencia depende de lo que cambie tu web. Una web corporativa que se actualiza poco puede ir bien con copias semanales. Una tienda online con pedidos cada día necesita, como mínimo, copia diaria de la base de datos.
Sobre el lugar, la regla de oro es simple: nunca solo en el mismo servidor. Si el servidor cae o lo comprometen, te quedas sin web y sin copia a la vez. Lo sensato es tener:
- Las copias automáticas del hosting, si las ofrece.
- Una copia adicional en un almacenamiento externo (servicio en la nube, por ejemplo).
- Varias versiones guardadas, para poder volver a un punto anterior si la infección lleva días dentro sin que nadie lo note.
Prueba que puedes restaurar
Cada cierto tiempo, restaura una copia en un entorno de pruebas. Es la única forma de saber que funciona. Si la primera vez que intentas restaurar es el día del desastre, vas a tener sorpresas.
Actualizaciones: núcleo, tema y plugins
Buena parte de los hackeos aprovechan fallos ya corregidos en versiones nuevas. Si no actualizas, dejas la puerta abierta aunque el fabricante ya haya puesto la cerradura.
Cómo actualizar sin romper la web
El miedo a actualizar es comprensible: una actualización de un plugin puede chocar con otro o con el tema. La solución pasa por actualizar con método:
- Haz una copia justo antes de actualizar.
- Si la web es crítica (tienda, área de clientes), prueba primero en una copia de staging.
- Actualiza de uno en uno los plugins grandes, como WooCommerce o el constructor visual, y revisa que todo funciona.
- Comprueba lo que más dinero mueve: formularios, carrito, pago y emails de pedido.
Actualizaciones automáticas, sí o no
Desde la versión 5.5, WordPress permite activar actualizaciones automáticas plugin a plugin y tema a tema. Para plugins pequeños y bien mantenidos puede ser buena idea. Para piezas críticas, mejor una revisión manual y controlada, porque un fallo silencioso en el pago puede pasar días sin que nadie lo vea.
Menos plugins, mejor elegidos
Cada plugin es código de un tercero que corre en tu web. Antes de instalar uno, mira cuándo se actualizó por última vez, cuántas instalaciones activas tiene y si es compatible con tu versión de WordPress. Y borra, no solo desactives, los que ya no uses.
Tener pocos plugins también ayuda al rendimiento; lo explicamos en nuestra guía para mejorar la velocidad de carga en WordPress.
Plugins de seguridad WordPress: qué hacen y cuál elegir
Un plugin seguridad WordPress añade una capa de vigilancia. No hace milagros, pero cubre bastantes huecos. Estas son las funciones que conviene buscar:
- Cortafuegos de aplicación (WAF): bloquea peticiones maliciosas antes de que lleguen a WordPress.
- Escáner de malware: compara tus archivos con los originales y avisa de cambios sospechosos.
- Protección del acceso: límite de intentos de inicio de sesión y verificación en dos pasos.
- Avisos: correos cuando hay un cambio importante, un plugin vulnerable o un acceso raro.
Opciones conocidas
| Plugin | Para qué sirve sobre todo | Versión gratuita |
|---|---|---|
| Wordfence Security | Cortafuegos, escáner de malware y seguridad del inicio de sesión | Sí, en el directorio oficial de WordPress |
| Kadence Security (antes Solid Security e iThemes Security) | Endurecimiento de ajustes, protección del acceso y verificación en dos pasos | Sí, en el directorio oficial de WordPress |
| UpdraftPlus | Copias de seguridad, restauración y migración | Sí, en el directorio oficial de WordPress |
| Copias del hosting | Copias automáticas a nivel de servidor | Depende del proveedor |
No instales dos plugins de seguridad que hagan lo mismo. Se pisan, consumen recursos y pueden dejarte fuera de tu propio panel. Elige uno de seguridad y uno de copias, y configúralos bien.
El hosting también es seguridad
Mucha gente piensa en plugins y se olvida de dónde vive la web. Un buen alojamiento hace parte del trabajo antes de que el ataque llegue a WordPress:
- Versiones de PHP actuales y con soporte.
- Cortafuegos a nivel de servidor y protección frente a ataques de fuerza bruta.
- Cada web aislada del resto de cuentas del servidor.
- Copias automáticas con restauración sencilla.
- Certificado SSL incluido y renovación automática.
Si tu hosting falla en esto, ningún plugin lo compensa del todo. En nuestra comparativa del mejor hosting tienes los criterios para elegir con cabeza.
Buenas prácticas de seguridad que cuestan poco
Hay medidas sencillas que cierran muchas puertas:
- Contraseñas largas y únicas para cada usuario, guardadas en un gestor de contraseñas.
- Verificación en dos pasos para todos los administradores.
- Usuarios con el rol justo. Quien solo escribe en el blog no necesita ser administrador.
- Revisa los usuarios cada cierto tiempo y elimina los de personas que ya no trabajan contigo.
- Quita temas y plugins inactivos. Aunque estén desactivados, su código sigue en el servidor.
- Desactiva el editor de archivos del panel para que nadie pueda tocar código desde el escritorio.
- HTTPS en toda la web, sin contenido mixto.
Muchas de estas medidas también encajan con lo que contamos en la guía de SEO técnico para WordPress, porque una web segura y bien configurada es más fácil de rastrear y posicionar.
Qué hacer si te han hackeado la web
Si ya ha pasado, no entres en pánico ni empieces a borrar archivos a ciegas. Ve por orden:
- Cambia todas las contraseñas: WordPress, hosting, FTP y base de datos.
- Avisa al hosting. Muchos tienen herramientas de análisis y te pueden ayudar.
- Localiza una copia limpia anterior a la infección y valora restaurarla.
- Actualiza todo y elimina el plugin o tema que abrió la puerta.
- Revisa Search Console por si Google ha detectado problemas de seguridad y pide una revisión cuando esté limpio.
Restaurar una copia sin cerrar el agujero solo sirve para que vuelva a pasar en unos días.
Preguntas frecuentes
¿Cada cuánto hay que hacer copias de seguridad en WordPress?
Depende de lo que cambie la web. Una web corporativa puede ir bien con copias semanales, pero una tienda online necesita al menos copia diaria de la base de datos. Lo importante es que sean automáticas y se guarden fuera del servidor.
¿Basta con las copias que hace el hosting?
Son un buen punto de partida, pero no conviene depender solo de ellas. Si el problema está en la cuenta de hosting, puedes perder web y copias a la vez. Lo prudente es tener además una copia externa.
¿Qué plugin de seguridad para WordPress es mejor?
No hay uno perfecto para todas las webs. Wordfence y Kadence Security (antes Solid Security) son opciones conocidas con versión gratuita. Lo importante es elegir uno, configurarlo bien y no duplicar funciones con otro plugin.
¿Es seguro activar las actualizaciones automáticas?
Para plugins pequeños y bien mantenidos suele ir bien. Para piezas críticas como WooCommerce o el constructor visual es mejor actualizar a mano, con copia previa y revisando que todo funciona después.
¿Un plugin de seguridad evita todos los ataques?
No. Reduce mucho el riesgo, pero la seguridad depende también del hosting, de tener todo actualizado, de las contraseñas y de las copias. Es una capa más, no la única.
¿Te ayudamos con la seguridad de tu WordPress?
Copias que se pueden restaurar, actualizaciones revisadas, plugins elegidos con criterio y vigilancia de errores: es justo el tipo de trabajo que se hace en un mantenimiento web bien llevado. En nuestro servicio de diseño web WordPress construimos webs pensadas para mantenerse seguras y rápidas con el tiempo.
Si quieres saber en qué estado está la tuya, pide una revisión gratuita de tu web desde la página de contacto o llámanos al 698 920 822.
