← Todos los artículos

Cómo saber si tu WordPress es vulnerable a ataques

Por Gilberto Arenas · 19 de septiembre de 2026 · 4 min de lectura

Mucha gente piensa: «Mi sitio es pequeño, a nadie le interesa hackearlo». El problema es que casi nadie ataca sitios uno por uno. Los ataques a WordPress son en su mayoría automáticos: programas que recorren internet buscando sitios con puertas abiertas conocidas. Tu web no tiene que ser importante, solo tener el fallo que ese programa busca.

Buena noticia: muchos de esos fallos se pueden revisar en minutos. Aquí tienes una guía práctica.

Por qué WordPress es un blanco frecuente

WordPress es una de las plataformas más usadas del mundo, así que lo que funciona contra un sitio funciona contra millones. Además, según los informes del sector, la mayoría de las vulnerabilidades conocidas no están en el núcleo de WordPress, sino en plugins y temas, sobre todo desactualizados o abandonados.

Chequeos de 5 minutos que puedes hacer hoy

1. ¿Está todo actualizado?

Entra a Escritorio → Actualizaciones y revisa el núcleo de WordPress, los plugins y los temas. Actualizar cierra fallos ya conocidos. Haz una copia de seguridad antes de actualizar.

2. ¿Estás mostrando tu versión de WordPress?

Abre tu web, haz clic derecho, elige «Ver código fuente de la página» y busca la palabra generator. Si ves algo como «WordPress 6.x», estás diciéndole a cualquiera qué versión usas, lo que facilita buscar fallos de esa versión. Los plugins de seguridad suelen poder ocultarlo.

3. ¿Se ven los nombres de tus usuarios?

Abre en el navegador tudominio.com/wp-json/wp/v2/users. Si aparece una lista con nombres de usuario, cualquiera puede ver quiénes son tus usuarios, y eso le ahorra la mitad del trabajo a quien intente adivinar contraseñas. Se puede restringir con un plugin de seguridad o con un ajuste.

4. ¿Está activo xmlrpc.php?

Abre tudominio.com/xmlrpc.php. Si ves el mensaje «XML-RPC server accepts POST requests only», está activo. Es un acceso antiguo que se usa para ataques de fuerza bruta. Algunas herramientas, como Jetpack o la app móvil de WordPress, pueden necesitarlo, así que confirma antes de bloquearlo.

5. ¿Tienes HTTPS con redirección?

Tu sitio debe cargar siempre con https://, y la versión http:// debe redirigir sola. Si no, los datos que viajan entre tus visitantes y tu web pueden verse o alterarse.

6. ¿Tu acceso está bien protegido?

Revisa que no exista un usuario llamado «admin», que las contraseñas sean largas y únicas, y, si puedes, activa la verificación en dos pasos y un límite de intentos fallidos en el inicio de sesión.

7. ¿Tienes plugins o temas que no usas, abandonados o piratas?

Desinstala todo lo que no uses: un plugin desactivado con un fallo sigue siendo un riesgo. Y nunca uses temas o plugins «gratis» descargados de sitios no oficiales (los llamados nulled): son una de las formas más comunes de infectar un sitio.

8. ¿Tienes copias de seguridad que sí funcionan?

Una copia que nunca probaste restaurar es una esperanza, no un respaldo. Comprueba dónde se guardan y cada cuánto se hacen.

Señales de que ya te hackearon

• Tu web redirige a otros sitios, sobre todo desde el celular.
• Aparecen páginas que no creaste. Prueba buscando site:tudominio.com en Google, como explicamos en por qué tu web no aparece en Google: si ves páginas de spam, es una mala señal.
• Hay usuarios administradores nuevos que no reconoces.
• Google, tu navegador o tu hosting te muestran avisos de sitio peligroso.
• Tu web se vuelve muy lenta sin motivo, o se envían correos spam desde tu dominio.

Qué hacer si sospechas que te hackearon

1. No borres nada todavía. Haz una copia de seguridad de cómo está.
2. Contacta a tu hosting: muchos ofrecen análisis y limpieza de malware.
3. Cambia todas las contraseñas: WordPress, hosting, FTP y base de datos.
4. Analiza tu sitio con un escáner externo (por ejemplo, Sucuri SiteCheck, que es gratuito y revisa desde fuera).
5. Restaura una copia limpia de antes del ataque, si la tienes, y actualiza todo.
6. Si el sitio es clave para tu negocio y no te sientes seguro, busca ayuda profesional.

Qué puede y qué no puede detectar una auditoría automática

Una herramienta automática solo ve lo que se ve desde fuera. Nuestra auditoría gratis revisa, entre otras cosas: si tu sitio usa HTTPS y redirige, algunas cabeceras de seguridad, si tu versión de WordPress está expuesta, si tus usuarios se ven en el endpoint público y si xmlrpc.php está activo.

Lo que no detecta: plugins con vulnerabilidades conocidas, malware ya instalado ni contraseñas débiles. Para eso necesitas consultar bases de datos de vulnerabilidades (como WPScan o Patchstack), usar un plugin de seguridad o pedir una revisión profesional.

Y si prefieres no ocuparte tú

Arreglar estos puntos requiere cuidado: un ajuste mal hecho puede romper tu sitio. Si prefieres que lo haga alguien con experiencia, nuestro plan Reparación incluye ajustes de seguridad básica, entre otras correcciones técnicas.