La seguridad de WordPress, para un director de operaciones, no es un plugin con escudo ni un PDF de auditoría que nadie abre. Es un conjunto de controles que impiden que un rediseño reciente deje usuarios huérfanos, plugins abandonados, copias que no restauran y formularios que aceptan basura. El criterio es simple: si no puedes decir quién entra, qué se actualiza y cómo recuperas la web un domingo, la seguridad no está hecha. El resto es cosmética.
Este texto es un checklist. Sirve cuando la web ya se publicó, el look quedó bien y, dos semanas después, aparecen usuarios fantasma y un plugin que nadie pidió. En Sabadell, Barcelona y el resto de Cataluña el patrón se ve en hostelería con reservas, catálogos B2B y comercios locales: se tocó la piel y se dejó el motor abierto. La seguridad de WordPress se trabaja ahí, no en un banner de candado.
Qué exige un director de operaciones a la seguridad de WordPress
No pide un ranking de vulnerabilidades. Pide tres respuestas, por escrito, sin jerga. Quién tiene acceso de administrador hoy. Qué se actualiza y con qué cadencia. Qué pasa si la web cae un sábado a las once. Si esas tres frases no existen, el rediseño no cerró. Pintó.
En un restaurante con reservas, el plugin de mesas no puede ser un admin más, y el encargado no entra con la misma cuenta que la agencia. En un catálogo B2B, los precios por rol no viajan en un usuario de prueba llamado demo. En un comercio de barrio, el formulario de presupuesto no es un buzón abierto a spam.
El error habitual es tratar la seguridad como extra del lanzamiento. Se instala un plugin de “escaneo”, se marca la casilla y se da por cerrado. Luego operaciones hereda siete administradores, un staging indexable y un tema hijo sin documentar. Cuando algo falla, nadie sabe si hay que restaurar, parchear o llamar al que entregó.
Criterio de decisión: qué tocas primero tras el rediseño
La tentación es volver a diseñar. Mal. Primero se cierra el perímetro. Luego se decide si la web merece un arreglo o un reemplazo. Cada día con administradores de más y plugins huérfanos es exposición, no “deuda estética”.
Tres cortes. Usuarios admin que no reconoces: se revocan antes de tocar una plantilla. Plugins sin actualización o sin autor activo: se aíslan o se sustituyen antes de añadir páginas. Si no hay copia restaurable probada, no se toca nada más. Un arreglo sobre un WordPress sin backup convierte un agujero en un apagón.
¿Cuándo sí conviene rehacer la web o el eCommerce en lugar de parchear? Cuando el rediseño dejó un constructor pesado, un tema opaco y un enjambre de plugins haciendo de pegamento. Endurecer eso es caro y frágil. Mejor un sitio más simple, con menos piezas y un mantenimiento que operaciones pueda exigir.
Qué no entra en la primera ronda
No empieces por el recaptcha visual, los permalinks ni un login “más de marca”. Primero: lista de usuarios, lista de plugins, lista de copias, lista de URLs de prueba. Cuatro listas. Si falta una, el resto del checklist miente. Tampoco mezcles esto con ads: si el formulario es un coladero, más tráfico solo multiplica el ruido.
Checklist de seguridad de WordPress: accesos y restos del proyecto
Abre wp-admin como si no te fiaras de nadie, incluido quien entregó. En un rediseño quedan restos: maquetador, SEO freelance, agencia anterior, becario que “solo subía fotos”. Cada cuenta es una puerta. El checklist empieza por las personas, no por el firewall.
Usuarios, roles y agencias que ya no están
Exporta usuarios. Cruza nombres con contratos y con el organigrama real. En hostelería, el encargado no necesita administrador para cambiar un plato. En B2B, el comercial no instala plugins para ver tarifas. Administrador: una persona interna nombrada y, si hay proveedor, una cuenta nominativa.
- Elimina o degrada cualquier administrador que no puedas llamar hoy por su nombre.
- Cambia la contraseña de la cuenta del rediseño, aunque “ya no se use”.
- Segundo factor en las que quedan. Si el proveedor se niega, no es un buen proveedor.
- Revisa roles de tienda: a veces queda un shop manager de prueba con pedidos reales.
No borres a lo loco: un plugin puede depender de un usuario. Anota IDs y prueba login, pedidos, reservas y el panel interno si lo hay.
wp-admin, XML-RPC y entornos de prueba
El rediseño casi siempre deja un staging. Subdominio, carpeta /nueva o /old. Si un bot lo encuentra, tienes dos WordPress y el doble de superficie. Autenticación, noindex o, mejor, apágalo. Una web de prueba con datos de clientes es un incidente con fecha.
XML-RPC sigue activo en muchas instalaciones “porque venía así”. Si no lo usas, desactívalo y limita intentos de login. En un comercio de Sabadell, restringir wp-admin a oficinas conocidas es barato.
Plugins, temas y lo que el rediseño dejó abierto
Cuenta plugins. Si pasas de una veintena sin poder explicar cada uno en una frase, tienes un almacén. El rediseño fallido apila constructor, addons, slider, tres formularios, uno de “seguridad” y un backup que nunca se restauró. Cada pieza pide updates, permisos y, a menudo, datos.
Criterio de corte: si no tiene actualizaciones recientes, autor identificable y un uso que operaciones pueda nombrar, sale. Un formulario, no tres. Un cache, no dos que se pisan. Si el tema comercial viene cargado de demos y el hijo es un cajón de CSS, documenta qué es crítico. Si nadie lo sabe, el próximo update es una lotería.
Ojo con los conectores de reservas, ERP o newsletter. Ahí la seguridad se cruza con cloud y sistemas: claves en el wp-config, webhooks sin secreto, usuarios de integración eternos. Si el conector falla, no lo parchees con otro plugin. Mira qué dato sale, a dónde, con qué cuenta.
- Lista plugins, última actualización y para qué sirve cada uno (una línea).
- Apaga en staging los que no superen esa línea. Comprueba reservas, checkout o catálogo B2B.
- Elimina. Lo desactivado “por si acaso” también se usa cuando alguien lo reactiva.
- Actualiza núcleo, tema y lo que queda, en ese orden, con copia previa restaurable.
Alguien tiene que poseer esa lista. Operaciones nombra un responsable interno y un proveedor con horario. Sin eso, el checklist se pudre en un Drive.
Formularios, reservas y catálogo: el perímetro real
Quien busca un agujero no empieza por tu homepage. Empieza por el formulario, el login y, si hay tienda, por las cuentas de cliente. En hostelería, el motor de reservas es el activo: si se cae, el sábado no se cubre. En B2B, un usuario de prueba vivo es tarifa regalada. En un comercio local, el “pide presupuesto” que cae en un correo de alguien que ya no está.
Revisa destino de cada envío. ¿A qué buzón? ¿Hay copia en la base de datos? ¿Quién la ve? Un rediseño suele cambiar el formulario y dejar el aviso antiguo, o al revés. Campos mínimos. Sin uploads si no hacen falta. Si hace falta adjunto, tipo y tamaño cerrados. Limita envíos repetidos.
Si hay WooCommerce o catálogo con login, revisa registros abiertos y páginas de “mi cuenta” mal cacheadas. Servir datos de otro cliente no es un detalle de rendimiento. Es un incidente. Lo mismo con un panel interno montado “rápido” sobre WordPress: roles flojos y un comercial viendo márgenes de otro canal.
Copias, hosting y el día que toca restaurar
Una copia que no se ha restaurado no es una copia. Es un archivo con nombre esperanzador. Pregunta tres cosas a quien entregó: dónde está el backup, cada cuánto corre, y en qué fecha se restauró por última vez en un entorno de prueba. Si la respuesta es “está en el hosting” sin más, asume que no hay plan.
Archivos y base de datos. Fuera del mismo servidor. Y un tiempo de recuperación real: cuántas horas hasta que la carta o el catálogo vuelven a estar arriba. En un grupo de hostelería con reservas, eso son turnos y mesas. En un B2B con pedidos a primera hora, es la mañana de comerciales.
Hosting barato con “WordPress fácil” suele significar PHP antiguo y auto-updates que rompen el tema hijo. Hace falta aislamiento, versiones soportadas y un teléfono cuando el disco dice basta. Prueba de restauración: una al trimestre, y otra después de un cambio gordo (plugin de reservas, migración, pasarela). Anota duración y quién la hizo. Un informe de “sitio seguro” sin esa fecha es humo.
Mantenimiento y medición que puedes pedir cada mes
Operaciones no tiene que entrar en wp-admin cada lunes. Tiene que recibir un parte corto. Si no llega, el mantenimiento no existe.
- Administradores: número y nombres. Cualquier alta se explica.
- Núcleo, tema y plugins: pendientes y motivo si se aplazan.
- Backup: última copia y última restauración de prueba (fecha, no “ok”).
- Incidencias: logins raros, spam de formularios, caídas.
- Cambios: quién tocó qué. El hábito de “entrar y maquetar” hay que matarlo.
Umbrales. Más de tres administradores, se revisa. Un plugin sin update en un trimestre, se decide si sale. Un backup sin prueba de restauración, se paran cambios no urgentes. Formularios con más basura que leads, se endurecen antes de gastar en captación. Es higiene. Se nota cuando dejas de apagar fuegos con el móvil en la cena.
Preguntas frecuentes
¿Qué es lo primero que hay que revisar en la seguridad de WordPress después de un rediseño?
La lista de usuarios administrador y las cuentas que el proyecto dejó abiertas. Después, plugins y el entorno de prueba. Sin ese inventario, cualquier parche es decoración.
¿Un plugin de seguridad basta para dejar WordPress cerrado?
No. Puede ayudar con bloqueo de login o avisos, pero no sustituye roles bien asignados, copias restaurables ni menos plugins. Si el rediseño dejó siete administradores, el escudo no sabe quién es quién.
¿Quién debe tener acceso de administrador en una web de empresa?
El mínimo de personas que pueden instalar plugins o cambiar el núcleo: una persona interna nombrada y, si hay proveedor, una cuenta nominativa con segundo factor. El resto edita contenidos, pedidos o reservas con roles menores.
¿Cada cuánto hay que actualizar WordPress si el negocio no puede parar?
Cuando hay un parche de seguridad, en cuanto hay una ventana controlada: copia, staging, update, prueba de reservas o checkout, publicación. Hace falta un responsable y un backup que ya se haya restaurado antes. Aplazar “a temporada baja” es llegar al núcleo con meses de retraso.
Si este checklist te deja más agujeros que certezas, Chocola Studio, en Sabadell, puede auditar accesos, plugins y copias y dejarte un plan de seguridad de WordPress que operaciones pueda seguir. Escribe desde contacto y cuéntanos qué dejó el rediseño: usuarios, staging y el plugin que nadie quiere tocar.