Endurecimiento de WordPress para sitios que facturan de verdad
WordPress no es inseguro por defecto; lo es la instalación típica de agencia. Checklist concreto para negocios en PR que dependen del sitio para leads.
WordPress alimenta la mayoría de sitios corporativos en Puerto Rico — abogados, clínicas, restaurantes, constructores. Cuando Smashing Magazine publica guías de performance, rara vez el hosting compartido local aplica lo mismo a seguridad. El resultado: wp-admin expuesto, xmlrpc abierto, y veinte plugins "gratis" sin actualizar desde 2021.
El OWASP Top 10 sigue siendo relevante: injection en formula
El OWASP Top 10 sigue siendo relevante: injection en formularios de contacto mal sanitizados, plugins de reservas con SQL vulnerable, y subidas de archivos sin validación. No necesita ser experto en PHP para reducir superficie: deshabilite editor de archivos en wp-config, limite intentos de login con rate limiting, y use un usuario admin cuyo nombre no sea "admin".
Actualizaciones: sí, rompen temas mal hechos
Actualizaciones: sí, rompen temas mal hechos. Por eso recomendamos staging en subdominio antes de tocar producción — incluso en PYMES pequeñas, un snapshot semanal en el host basta. Elimine temas y plugins inactivos; cada uno es código que nadie revisa pero sigue ejecutándose.
Para negocios que capturan leads: conecte formularios a un CRM con tokens rotativos, nunca deje credenciales SMTP en el repositorio del tema, y ponga Cloudflare o similar delante con reglas WAF básicas. Google Security Blog ha documentado campañas de malware en plugins nulled; el ahorro de $49 en una licencia premium no compensa el ransomware.
Si su sitio es su canal principal de ventas, trátelo como producto, no como folleto. Monitoreo de integridad de archivos, backups off-site, y MFA en cuentas de hosting son el mínimo en 2023 — y siguen siendo el mínimo hoy.
Escribe sobre ciberseguridad práctica para pymes en Puerto Rico y el Caribe — sin relleno, con lo que realmente hay que hacer.
