Checklist de seguridad WordPress para pymes

La seguridad de WordPress se construye con hábitos de acceso, actualizaciones y recuperación, no con un solo plugin. Una pyme puede empezar por identificar quién administra el sitio, qué componentes están activos y cómo volver a una versión operativa si un cambio o incidente afecta la web. Este checklist te ayuda a ordenar esas tareas y asignar responsables.

Ninguna lista elimina todo riesgo. Cada sitio tiene configuraciones distintas y puede depender de servicios externos, así que toma estas recomendaciones como una rutina de revisión. Si sospechas que un sitio fue intervenido, no sigas probando cambios al azar: conserva los antecedentes disponibles y contacta a soporte técnico para evaluar el caso.

1. Revisa quién tiene acceso

Entra al listado de usuarios y confirma que cada cuenta corresponda a una persona o servicio que todavía necesita acceso. Elimina cuentas abandonadas y cambia permisos cuando alguien ya no requiera administrar el sitio. Evita que varias personas usen el mismo usuario: con cuentas individuales es más fácil saber quién hizo un cambio y retirar un acceso específico.

Usa contraseñas únicas para WordPress y para el correo asociado a la administración. Activa la autenticación adicional si el hosting o una herramienta confiable la ofrece. Guarda los mecanismos de recuperación en un lugar controlado y asegúrate de que más de una persona autorizada sepa a quién contactar si la cuenta principal queda inaccesible.

Haz la misma revisión en el panel de hosting, el dominio, la base de datos, el correo y las cuentas de quienes administran pagos o formularios. El sitio no está bien protegido si la contraseña de WordPress es fuerte pero cualquiera puede entrar al correo que permite restablecerla.

2. Mantén inventario y actualizaciones

Anota la versión de WordPress, el tema y los plugins activos, junto con la función de cada extensión. Desinstala lo que no se usa, en vez de dejarlo desactivado indefinidamente. Menos componentes reducen tareas de revisión y evitan conservar código que ya no aporta al sitio.

Planifica las actualizaciones y comprueba que exista una copia reciente antes de aplicarlas. Si puedes usar un sitio de ensayo, prueba primero los cambios allí. Después revisa la página de inicio, el formulario, el acceso y otras funciones críticas. Anota los resultados y la forma de revertir el cambio si algo falla.

No instales plugins a partir de enlaces recibidos sin contexto ni copies código desconocido en el administrador. Antes de sumar una extensión, identifica qué necesidad cubre, quién la mantendrá y qué alternativa existe si deja de funcionar. Si una herramienta solicita permisos o datos que no necesita para su tarea, investiga antes de aprobarlos.

3. Comprueba respaldos y recuperación

Confirma que las copias incluyan archivos y base de datos. Verifica dónde se guardan, cuánto tiempo se conservan y qué personas tienen acceso. Una copia almacenada únicamente dentro de la misma cuenta o servidor puede no estar disponible si se pierde el acceso a ese entorno.

Realiza una prueba de restauración en un entorno separado cuando sea posible. Asegúrate de que el equipo conozca el procedimiento y tenga la información necesaria para solicitar ayuda. Define quién puede aprobar una recuperación y cómo se verifica que el sitio restaurado siga recibiendo formularios o pedidos. No esperes a que ocurra un incidente para averiguar qué respaldos existen.

4. Revisa el hosting y las entradas del sitio

Mantén al día los datos de contacto de la cuenta de hosting y del dominio, y limita el acceso administrativo a quienes gestionan infraestructura. Pregunta al proveedor qué herramientas de registro, monitoreo y respaldo incluye, sin asumir que todo viene activo por defecto.

Revisa formularios, páginas de ingreso y conexiones externas. Usa HTTPS en las páginas que transmiten datos y comprueba que los formularios entreguen mensajes a una casilla que alguien revise. Si hay una integración con CRM, agenda o tienda, conserva una lista de responsables y una forma de verificar que la conexión siga funcionando.

Evita instalar extensiones que prometan resolver múltiples problemas sin explicar cómo operan. Si el hosting ofrece filtros o protección a nivel de servidor, confirma qué cubren y cómo se reciben las alertas. La prevención depende de entender las capas activas y no duplicar configuraciones que se interfieran.

5. Ten un plan para responder

Define qué persona recibe avisos, a quién se escala una alerta y cómo se comunica una interrupción dentro del equipo. Guarda el contacto de soporte técnico fuera del panel del sitio por si no puedes iniciar sesión. Si una página muestra contenido desconocido, aparecen usuarios que nadie creó o los formularios comienzan a enviar mensajes extraños, registra la hora y conserva capturas antes de intervenir.

No publiques credenciales ni compartas códigos de verificación con alguien que se presente como soporte. Contacta al proveedor por un canal conocido. Cambiar todas las contraseñas puede ser necesario, pero conviene coordinarlo con la revisión del correo, hosting y otros accesos vinculados para cerrar la causa, no solo una puerta.

Después de resolver un incidente, documenta qué ocurrió, qué cuentas o componentes se revisaron y qué cambios quedan pendientes. Comunica al equipo qué señales debe reportar y quién autoriza una restauración. El objetivo es que la respuesta sea ordenada y que el negocio pueda recuperar las tareas prioritarias.

Checklist imprimible para tu próxima revisión

• Cada integrante tiene cuenta propia y permisos acordes a su función.
• Se revisaron las cuentas de correo, hosting y dominio que habilitan accesos.
• WordPress, tema y plugins tienen responsables y rutina de actualización.
• Los componentes sin uso fueron retirados y los activos están inventariados.
• Existe una copia de archivos y base de datos cuya restauración se comprobó.
• Formularios, HTTPS, notificaciones e integraciones se revisaron.
• El equipo sabe cómo avisar de una señal sospechosa y pedir soporte.

Repite la revisión cuando cambie el equipo, se incorpore una función relevante o se actualice una parte crítica del sitio. La guía de mantención WordPress detalla cómo ordenar respaldos, cambios y pruebas. Si necesitas acompañamiento para mantener el sitio, revisa el servicio de mantención web.

La guía oficial de seguridad de WordPress recomienda mantener el núcleo, temas y plugins actualizados y contar con respaldos; además, la ficha pública de mantención puede servirte para dimensionar el trabajo recurrente. En Chile, registrar un dominio .cl por un año cuesta $9.990 exento de IVA según NIC Chile (consulta: 31-10-2026).

Más guías relacionadas

La mantención WordPress desarrolla rutinas de actualización y respaldo; para soporte continuo revisa también mantención web.

Fuentes consultadas

• WordPress.org - Hardening WordPress - fecha de consulta: 31 de octubre de 2026. Revisa también costos de una página web.