Seguridad de WordPress en un servidor cPanel: guía práctica de protección
Guía paso a paso para proteger sitios WordPress empresariales en cPanel: actualizaciones seguras con WP Toolkit, control de plugins, permisos correctos, cuentas de administrador ordenadas y un inicio de sesión más sólido.
Proteger WordPress en un servidor cPanel se reduce a cinco hábitos: mantener actualizados el núcleo de WordPress, los plugins y los temas (WP Toolkit lo facilita mucho cuando su proveedor lo incluye), eliminar todo lo que no utiliza, aplicar los permisos de archivo correctos, tener pocas cuentas de administrador y que sean personales, y proteger de verdad la página de inicio de sesión. Ninguno de estos pasos requiere software especial ni un gran presupuesto, pero juntos cierran la mayoría de las puertas que usan los atacantes contra los sitios web de pequeñas empresas. Esta guía recorre cada uno en el orden en que los aplicamos cuando nos hacemos cargo de un sitio.
Por qué WordPress en cPanel necesita su propia lista de verificación
WordPress recibe mantenimiento activo, y la documentación oficial de protección es clara: las versiones antiguas no reciben correcciones de seguridad. El riesgo suele estar alrededor del núcleo: plugins desactualizados, temas abandonados, contraseñas de administrador compartidas y archivos que el servidor web puede modificar. En un servidor cPanel hay una capa adicional, porque una misma cuenta de cPanel suele alojar varios sitios, y un sitio descuidado puede convertirse en la entrada para los demás de esa cuenta.
La buena noticia es que cPanel ofrece herramientas para gestionar casi todo esto desde un solo lugar, en especial WP Toolkit, que muchos proveedores incluyen con cPanel & WHM. Sus funciones exactas dependen de la versión y de si su proveedor ofrece la edición estándar o la Deluxe, así que revise lo que aparece en su propio cPanel antes de planificar en torno a una función concreta.
Paso 1: actualizaciones que realmente pueda mantener
Sepa qué hace WordPress por sí solo
Según la documentación oficial de actualización de WordPress, las versiones menores del núcleo (las de seguridad y mantenimiento) se actualizan automáticamente de forma predeterminada. Las versiones mayores del núcleo se actualizan solas solo en instalaciones nuevas hechas con WordPress 5.6 o posterior. Los plugins y los temas no se actualizan automáticamente a menos que usted lo active, salvo casos excepcionales que el equipo de seguridad de WordPress.org impulsa ante problemas críticos.
Es decir, las piezas con más probabilidad de ser vulnerables, los plugins y los temas, son justamente las que quedan en sus manos.
Use WP Toolkit para centralizar las actualizaciones
Si su cPanel tiene WP Toolkit, ábralo y revise cada instalación que detecta:
- Núcleo de WordPress: deje activadas las actualizaciones automáticas menores (de seguridad) en los sitios de producción. La documentación de WP Toolkit desaconseja desactivar las actualizaciones automáticas del núcleo.
- Plugins y temas: la opción que recomienda WP Toolkit es "Defined individually, but security updates are autoinstalled" (definido individualmente, pero las actualizaciones de seguridad se instalan solas), para que las correcciones de seguridad se apliquen incluso en los plugins cuyas actualizaciones normales prefiere revisar a mano.
- Detección de vulnerabilidades: las versiones actuales de WP Toolkit comparan el núcleo, los plugins y los temas con bases de datos públicas de vulnerabilidades y marcan los sitios afectados con una puntuación de gravedad. Trate una etiqueta "Security risk" como una tarea para hoy, no para el mes próximo.
- Smart Updates (Deluxe): esta función premium prueba la actualización en una copia temporal del sitio y solo la aplica al sitio real si no detecta problemas como errores de PHP. Es útil, pero la documentación aclara que no sustituye las copias de seguridad.
Haga una copia de seguridad antes de actualizar
WordPress recomienda hacer una copia de seguridad antes de actualizar y comprobar que se pueda usar. En cPanel, confirme que las copias de su cuenta (o JetBackup, si su proveedor lo ofrece) incluyen tanto los archivos como la base de datos, y que sabe restaurar un solo sitio.
Paso 2: higiene de plugins y temas
Cada plugin es código de un autor distinto que se ejecuta con acceso total a su sitio. Una lista corta y bien mantenida es mucho más segura que una larga.
- Elimine, no se limite a desactivar. La guía de protección de WordPress indica que se deben quitar los plugins que no se usan. Los archivos de un plugin desactivado siguen en el servidor y todavía se puede acceder a ellos.
- Quite los temas que no usa. Conserve el tema activo y un tema predeterminado actual para diagnosticar problemas.
- Instale solo desde fuentes confiables. Use el directorio de WordPress.org o proveedores reconocidos. Los plugins premium "nulled" (pirateados) son una vía habitual de instalación de malware.
- Compruebe que cada plugin sigue recibiendo mantenimiento. Mire la fecha de la última actualización y si está probado con su versión de WordPress. Reemplace los plugins abandonados.
- Evite plugins que se solapan. Dos plugins de seguridad, dos de caché o tres constructores de formularios suman riesgo y ralentizan el sitio sin aportar valor.
Paso 3: permisos de archivos y configuración
La guía oficial de protección de WordPress propone una base sencilla:
| Elemento | Permiso recomendado |
|---|---|
| Directorios | 755 |
| Archivos | 644 |
wp-config.php |
400 o 440 (legible solo por usted y el servidor web) |
En la mayoría de los servidores cPanel, PHP se ejecuta como el propietario de la cuenta (por ejemplo, con PHP-FPM o suPHP), así que los archivos deben pertenecer al usuario de cPanel, no a root ni a nobody. Si tiene acceso por consola, la documentación de WordPress muestra cómo restablecer los permisos con find y chmod; hágalo solo dentro del directorio del sitio y pruebe el sitio después.
Vale la pena hacer dos cambios en wp-config.php:
- Desactive el editor de archivos integrado con
define( 'DISALLOW_FILE_EDIT', true );. Así, quien logre entrar al panel no podrá editar archivos PHP directamente desde el navegador. WordPress advierte que esto no detiene todos los ataques, pero elimina uno muy fácil. - Mantenga los secretos fuera de alcance. Nunca deje copias como
wp-config.php.bakowp-config.olden la raíz web, porque el servidor podría mostrarlas como texto plano.
La sección Security Measures de WP Toolkit puede aplicar por usted un conjunto de cambios de protección, como desactivar los pingbacks de XML-RPC y revisar la seguridad de la carpeta wp-content. WP Toolkit aplica automáticamente a las instalaciones nuevas las medidas que considera críticas; en los sitios existentes, haga una copia de seguridad, aplique primero las medidas críticas, pruebe el sitio y luego añada las recomendadas.
Paso 4: cuentas de administrador y roles
- Una persona, una cuenta. Los usuarios compartidos impiden saber quién cambió qué y dificultan retirar el acceso cuando alguien se va.
- Evite nombres de usuario obvios como "admin" o "webmaster", tal como recomienda la guía de protección de WordPress.
- Asigne el rol mínimo que funcione. Quien redacta contenido necesita Autor o Editor, no Administrador.
- Revise la lista de usuarios cada trimestre y después de cada cambio de personal o de agencia. Elimine las cuentas que no reconozca y busque cuentas de Administrador inesperadas, que pueden indicar un compromiso.
- Use contraseñas largas y únicas guardadas en un gestor de contraseñas, y no repita la contraseña de cPanel en WordPress.
Paso 5: proteja la página de inicio de sesión
La página de acceso de WordPress es la URL más atacada en la mayoría de los sitios. Combine varias defensas:
- Active la autenticación de dos factores en todas las cuentas con permisos de Editor o superiores. WordPress recomienda la autenticación en dos pasos en su guía de protección.
- Limite los intentos de inicio de sesión. Use un plugin reconocido o, mejor aún, protección del lado del servidor. Si su servidor tiene Imunify360 o un firewall de aplicaciones web (WAF), puede bloquear los ataques de fuerza bruta antes de que lleguen a WordPress.
- Añada una barrera extra a
/wp-admin/cuando tenga sentido, como una contraseña HTTP o permitir el acceso solo desde la IP de su oficina. WordPress advierte que esto puede afectar aadmin-ajax.php, así que pruébelo con cuidado. - Fuerce HTTPS para que las contraseñas nunca viajen sin cifrar. En cPanel, AutoSSL y la opción Force HTTPS Redirect lo hacen sencillo.
- Desactive XML-RPC si nada en su sitio lo usa (algunas aplicaciones móviles e integraciones sí lo necesitan).
Una rutina mensual de seguridad para WordPress
- Revise en WP Toolkit las actualizaciones pendientes y las alertas de vulnerabilidades.
- Confirme que existe la copia de seguridad de la noche anterior y pruebe una restauración cada trimestre.
- Revise la lista de usuarios en busca de cuentas desconocidas o innecesarias.
- Elimine los plugins y temas que no usa.
- Consulte los informes del escáner de malware del servidor para esa cuenta.
Obtenga ayuda para proteger sus sitios WordPress
Si su empresa usa WordPress en cPanel y nadie se encarga de estas tareas, Core Florida IT puede revisar sus sitios, aplicar las medidas de protección y establecer una rutina que los mantenga al día. Atendemos a empresas en Miami-Dade y todo el sur de Florida, con soporte remoto en todo el país. Solicite una evaluación de TI gratuita y le diremos en qué situación están sus sitios.
