WordPress mueve cuatro de cada diez webs del mundo, y eso lo convierte en el objetivo favorito de los atacantes. Pero ojo, porque aquí hay un malentendido que sale caro: la mayoría de los hackeos no son ataques dirigidos contra ti. Son bots automáticos que rastrean internet buscando webs con un descuido —un plugin sin actualizar, una contraseña débil— y entran por ahí. No hace falta ser importante para que te toque; basta con estar desatendido. Vamos a ver qué pasa de verdad cuando le toca a una web, cómo saber si ya te ha ocurrido y cómo no estar en esa lista.
Qué pasa de verdad cuando hackean tu web
Olvídate de la imagen de película. Un hackeo real en una web de negocio se traduce en cosas muy concretas y muy caras:
- Dejas de vender. Tu web se cae, se queda en blanco o redirige a una página de pastillas. Cada hora así son clientes y pedidos que se van.
- Google te marca como peligrosa. Ese cartel rojo de «este sitio puede dañar tu ordenador» espanta al 100% de las visitas, y recuperar la confianza de Google después lleva semanas. Tu posicionamiento se desploma.
- Tu marca manda spam. Muchos ataques usan tu web y tu correo para enviar spam o estafas a tu propia lista de clientes. El daño a tu reputación es el más difícil de reparar.
- Te metes en un lío legal. Si el atacante accede a datos de tus clientes, estás ante una brecha de seguridad con obligaciones de RGPD — con posibles sanciones. La seguridad y el cumplimiento del RGPD van de la mano.
Cómo saber si ya te ha pasado
Un hackeo no siempre es evidente; muchos buscan pasar desapercibidos para aprovechar tu web el máximo tiempo. Estas son las señales de alarma:
- Tu web va de repente mucho más lenta, o se cae sin motivo.
- Al entrar te redirige a otra página rara, o ves contenido (anuncios, texto) que tú no pusiste.
- Google o tu navegador avisan de que el sitio no es seguro.
- Tu hosting te suspende la cuenta por «actividad sospechosa» o consumo raro.
- Tus correos empiezan a rebotar o a caer en spam (señal de que alguien los usa para enviar basura).
- No puedes entrar al panel — si te pasa esto, mira también qué hacer cuando no puedes acceder al wp-admin.
Cómo no estar en esa lista (lo que de verdad protege)
La buena noticia: como casi todos los ataques son automáticos y oportunistas, evitarlos es sobre todo cuestión de no dar facilidades. Lo que de verdad mueve la aguja:
- Mantenerlo todo actualizado. La inmensa mayoría de hackeos entran por un plugin, tema o WordPress desactualizado con una vulnerabilidad ya conocida. Actualizar a tiempo (y con copia previa) cierra esa puerta. Es, de lejos, lo más importante.
- Contraseñas fuertes y verificación en dos pasos. Frena en seco los ataques de fuerza bruta, que son los más comunes.
- HTTPS con certificado SSL. Cifra los datos entre tu web y el visitante; hoy es obligatorio y Google lo da por supuesto.
- Cerrar puertas que no usas. WordPress trae funciones antiguas que casi nadie necesita y que los bots adoran, como XML-RPC: una vía heredada que se usa sobre todo para ataques de fuerza bruta. Si tu web no la usa (lo normal), conviene desactivarla. Lo mismo con usuarios de más o plugins que ya no tocas.
- Copias de seguridad verificadas. No evitan el ataque, pero son tu seguro: si pasa algo, restauras y sigues. Una copia que nunca has probado a restaurar no cuenta.
- Menos plugins, menos superficie de ataque. Cada plugin es una puerta posible. Quita los que no uses.
La seguridad no es un plugin, es un hábito
Aquí está la trampa en la que cae casi todo el mundo: instalar un plugin de seguridad y dar el tema por resuelto. Ayuda, pero no es suficiente. La seguridad de verdad no es algo que instalas una vez — es mantenimiento continuo: actualizar a tiempo, vigilar que nada raro pase y tener copias listas. Un plugin no actualiza tus otros plugins ni se entera de que te han entrado a las tres de la madrugada.
Por eso la seguridad va dentro del servicio de mantenimiento WordPress y no como un extra: actualizaciones controladas, monitorización y copias verificadas son justo lo que mantiene tu web fuera de esa lista de objetivos fáciles. Y si ya te ha pasado, lo primero es no tocar a ciegas — escríbenos y lo miramos.
Preguntas frecuentes
¿Cómo sé si han hackeado mi web?
Las señales más habituales: la web va lenta o se cae de golpe, te redirige a páginas raras, aparece contenido que tú no pusiste, Google la marca como insegura, tu hosting te avisa de actividad sospechosa o tus correos empiezan a caer en spam.
¿Qué hago si ya han hackeado mi web?
No toques a ciegas: puedes borrar la prueba de por dónde entraron y dejar la puerta abierta. Lo sensato es hacer una copia del estado actual, limpiar la infección a fondo, cambiar todas las contraseñas y accesos, y averiguar la vía de entrada para cerrarla. Si tu web es tu negocio, es trabajo para alguien que sepa.
Mi web es pequeña, ¿también soy objetivo?
Sí. La mayoría de ataques no van dirigidos a nadie en concreto: son bots automáticos que rastrean internet buscando cualquier web con un descuido. No hace falta ser grande ni importante — basta con estar desatendido.
¿Basta con instalar un plugin de seguridad?
Ayuda, pero no sustituye al mantenimiento. Un plugin de seguridad no actualiza tus otros plugins ni tu WordPress (que es por donde entran casi todos los ataques), y no garantiza que detectes a tiempo un problema. La seguridad real es un hábito continuo, no algo que instalas una vez.
