En Bilbolink mantenemos 54 webs hechas en WordPress, de clínicas, tiendas, despachos y comercios de Bizkaia. Cuando nos llega una web infectada, casi nunca le faltaba un plugin de seguridad. Le faltaba lo básico: actualizaciones, contraseñas buenas y alguien mirando. Esta guía resume lo que instalamos, lo que no y por qué.

Lo primero no es un plugin

La mayoría de las infecciones que hemos limpiado entraron por tres sitios: un plugin o tema sin actualizar, un plugin «nulled» (de pago, descargado gratis de una web pirata) o una contraseña que se repetía en otros servicios. Ningún plugin de seguridad arregla eso por sí solo.

Por eso, antes de instalar nada:

  • Actualiza WordPress, el tema y los plugins cada mes, y haz una copia antes.
  • Borra los plugins que no uses. Desactivado no basta: el código sigue en el servidor.
  • No instales nunca plugins o temas pirata. Muchos traen una puerta trasera de serie.
  • Usa una contraseña distinta para cada administrador y quita los usuarios que ya no trabajan contigo.
  • Que el hosting tenga una versión de PHP con soporte. Las versiones 5.6 y 7.4 ya no reciben parches de seguridad.

Lo que ponemos en el servidor, no en WordPress

En nuestras webs, la mayor parte de la protección no está en un plugin, sino en el servidor. Es más eficaz porque actúa antes de que la petición llegue a WordPress y no gasta recursos de la web:

  • Un cortafuegos de aplicación (ModSecurity) que bloquea los ataques conocidos.
  • Bloqueo automático de IPs que fallan varias veces la contraseña (fail2ban). Hace lo mismo que plugins como Login LockDown, pero para todas las webs a la vez.
  • xmlrpc.php cerrado. Es una entrada antigua de WordPress que casi nadie usa y que los bots atacan a diario.
  • Copias de seguridad diarias fuera de la web, para poder volver atrás si algo se rompe.

Si tu hosting no ofrece nada de esto, entonces sí tiene sentido un plugin como Wordfence, que hace de cortafuegos dentro de WordPress. Hoy solo lo usamos en una de nuestras 54 webs, en un hosting que no es nuestro.

Los plugins que sí usamos

Really Simple SSL (24 webs)

Fuerza que toda la web cargue con https y corrige los avisos de contenido mixto. Es pequeño y no da guerra. Si el certificado y las redirecciones ya están bien hechos en el servidor, se puede prescindir de él.

reCAPTCHA en el acceso y en los formularios (10 webs)

Usamos Login No Captcha reCAPTCHA en el acceso de administración y el reCAPTCHA de Contact Form 7 en los formularios. Frena a los bots que prueban contraseñas y a los que mandan spam. La versión 3 de Google no molesta al visitante, porque no le pide que marque semáforos.

Antispam Bee para los comentarios (4 webs)

Si la web tiene comentarios abiertos, Antispam Bee los filtra sin enviar los datos de tus visitantes a otro país, a diferencia de Akismet. Para la protección de datos es más cómodo. Y si el blog no necesita comentarios, lo más seguro es cerrarlos.

Verificación en dos pasos

Para webs con varios administradores o con tienda, recomendamos activar la verificación en dos pasos en las cuentas de administrador. Es la medida que más protege si una contraseña acaba filtrada.

Lo que no instalamos y por qué

  • Plugins para ocultar el acceso (como WPS Hide Login). Cambian la dirección de /wp-admin, pero los bots la encuentran igual. Es cambiar la puerta de sitio sin cambiar la cerradura. Preferimos limitar los intentos en el servidor y usar dos pasos.
  • Varios plugins de seguridad a la vez. Se pisan entre ellos, ralentizan la web y dan una falsa sensación de tranquilidad.
  • Escáneres que solo buscan virus en el código. En las infecciones que hemos limpiado, buena parte de lo malicioso no era código PHP: eran ficheros .htaccess que redirigían a las visitas a otras webs, o contraseñas de aplicación creadas por el atacante, que siguen funcionando aunque cambies tu contraseña. Eso hay que revisarlo a mano.

Si tu web ya está infectada

No basta con borrar los ficheros raros. Hay que cambiar todas las contraseñas (las de WordPress, la de la base de datos y la del hosting), revisar los usuarios y las contraseñas de aplicación, buscar ficheros .htaccess modificados y, si Google ha indexado páginas basura, pedir que las quite desde Search Console. Si no te ves con ello, escríbenos.

¿Quieres que revisemos tu WordPress?

Si tu web va lenta, recibe spam o no sabes qué plugins sobran, te la revisamos. Te decimos qué quitaríamos, qué dejaríamos y qué protegeríamos primero, con un presupuesto cerrado. Pide tu auditoría gratuita o mira cómo trabajamos el diseño web en Bilbao.