Después de limpiar una web, la pregunta siempre es la misma: “¿Y cómo evito que vuelva a pasar?”. Estas son las medidas que más reducen el riesgo, ordenadas de mayor a menor impacto.
1. Actualiza plugins, temas y núcleo
La inmensa mayoría de infecciones entran por plugins o temas desactualizados con vulnerabilidades públicas. Activa las actualizaciones automáticas en los componentes de confianza y revisa el resto cada semana.
2. Elimina lo que no uses
Un plugin desactivado sigue estando en el servidor y puede explotarse. Si no lo usas, bórralo. Lo mismo con temas sobrantes y webs de prueba antiguas en la misma cuenta del hosting.
3. Nunca uses plugins o temas “nulled”
Las versiones piratas de plugins premium son una de las vías de infección más habituales: muchas vienen con la puerta trasera ya instalada.
4. Contraseñas únicas y doble factor
Para WordPress, hosting, FTP, base de datos y correo. Y activa el doble factor en todas las cuentas de administrador.
5. Mínimo privilegio
No todo el mundo necesita ser administrador. Editores, autores y proveedores deben tener solo los permisos imprescindibles, y hay que eliminar los accesos de antiguos colaboradores.
6. Protege el login
Limita los intentos de acceso y, si puedes, restringe wp-admin a determinadas IPs o protégelo con una capa adicional.
7. Bloquea la ejecución de PHP en uploads
Esa carpeta es para archivos multimedia. Impedir que se ejecute PHP en ella neutraliza muchas puertas traseras.
8. Copias de seguridad fuera del servidor
Automáticas, diarias y guardadas fuera del hosting. Y pruébalas de vez en cuando: una copia que no se puede restaurar no sirve.
9. Un firewall de aplicación (WAF)
Un WAF bloquea ataques conocidos antes de que lleguen a tu WordPress. Hay opciones a nivel de plugin, de hosting o de CDN.
10. Monitorización
Cuanto antes detectes un problema, menos daño hace. Configura Search Console para recibir avisos y usa algún servicio que revise tu web y las listas negras a diario.
¿No tienes tiempo para todo esto? Nuestro Plan Protección por 24€ al mes incluye monitorización diaria, actualizaciones mensuales y limpieza gratuita si vuelve a infectarse. Y si tu web ya está infectada, empieza por eliminar el malware de tu WordPress.