Wordfence Security el plugin que te recomendamos para tu wordpress

Nuestra web es ese lugar donde nuestra entidad social cuenta lo que hace, publica noticias, recibe formularios, comparte recursos, gestiona campañas o explica cómo acceder a nuestros proyectos, etc. Por eso hoy, en nuestra categoría de tutoriales, que hace mucho que no actualizábamos, vamos a hablar sobre uno de los plugins de seguridad más conocidos para WordPress. Wordfence es un plugin de seguridad para WordPress que incluye, entre otras funciones, un firewall, un escáner de malware, protección frente a ataques de fuerza bruta, seguridad en el inicio de sesión, autenticación en dos pasos y herramientas de monitorización del tráfico. Dicho de otra manera, ayuda a detectar comportamientos sospechosos, bloquear intentos de ataque y avisarte cuando algo no pinta bien. https://www.wordfence.com/

Recomendaciones

La seguridad web no consiste en instalar un plugin, cerrar el portátil y sentirse en una fortaleza medieval con fibra óptica. La propia documentación de WordPress recuerda que la seguridad es un trabajo continuo. Hay que mantener WordPress, plugins y temas actualizados, revisar permisos, planificar la recuperación y cuidar también las prácticas de las personas que gestionan la web. Evidentemente, Wordfence ayuda mucho. Y en La Rueca nos está ayudando un montón. Sin embargo, no está de más recordad que no sustituye una buena política de contraseñas, copias de seguridad, actualizaciones, mantenimiento técnico y sentido común.

Antes de instalar, recomendaciones de toda la vida…

Y aunque se haya dicho por activa y por pasiva, antes de tocar nada en nuestra instancia de WordPress debemos (sí, ya sabemos que en todos los manuales básicos dan los mismos consejos pero, con ello, nos curamos en salud y por si hay alguien despistado/a)

1. Haz una copia de seguridad.
De archivos y base de datos. Si algo sale mal, una copia reciente te salva la vida. Literalmente. Hay plugins que también hacen copias de seguridad, aunque si tienes un hosting con soporte seguramente también desde el hosting tengan copias. O, si te manejas con el FTP / Plesk / CPanel etc. hay opciones para descargar todos los ficheros de wordpress y la base de datos.

2. Actualiza WordPress, temas y plugins.
WordPress señala que una de las medidas más importantes de seguridad es mantener actualizado el núcleo de WordPress, los plugins y los temas instalados.

3. Revisa quién tiene acceso de administración.
Si hay cuentas antiguas de personas que ya no están en la entidad, perfiles compartidos o usuarios llamados “admin”, es buen momento para ordenar la casa. Una web también se cuida cerrando las llaves que ya no deberían abrir puertas.

Pasos

Paso 1: Instalar Wordfence. Entra en tu panel de WordPress y ve a: Plugins → Añadir nuevo, Busca: Wordfence Security

Instálalo y actívalo. El plugin aparece en el repositorio oficial de WordPress como «Wordfence Security – Firewall, Malware Scan, and Login Security»
Al activarlo, Wordfence suele pedir un correo para enviar alertas. Usa una dirección que se revise de verdad. No vale esa cuenta genérica que nadie abre desde 2021 y que probablemente contiene tres avisos importantes, dos newsletters olvidadas y mucha más morralla. Wordfence avisa y los avisos son súper útiles.

Paso 2: activa y revisa el firewall. El firewall de Wordfence ayuda a identificar y bloquear tráfico malicioso antes de que pueda afectar a tu web. En la documentación oficial se explica que Wordfence puede funcionar con protección básica o con protección extendida, que permite cargar el firewall antes de que WordPress arranque del todo, aumentando su capacidad de protección.

Al instalarlo, puede aparecer un aviso para optimizar el firewall. Lo recomendable es seguir el asistente. Aquí conviene tener un poco de paciencia. Wordfence puede utilizar el llamado “modo aprendizaje”. Este modo sirve para que el firewall entienda cómo funciona tu web y reduzca falsos positivos, es decir, bloqueos de acciones legítimas que parecen sospechosas.

Durante ese periodo, prueba las acciones normales de tu web:

• publicar una entrada
• editar una página
• enviar un formulario
• cambiar ajustes de algún plugin
• probar la zona privada, si existe
• revisar comentarios, donaciones o formularios de contacto.

Después, revisa que el firewall quede en modo: «Enabled and Protecting»

Paso 3: configura la protección de inicio de sesión

Gran parte de los ataques a WordPress empiezan por la puerta de entrada, el login. Wordfence incluye protección contra ataques de fuerza bruta, limitación de intentos de acceso y autenticación en dos pasos. En su documentación, Wordfence explica que la autenticación en dos factores añade una capa extra de seguridad al inicio de sesión.

Aquí recomendamos activar especialmente:

1. Autenticación en dos pasos para perfiles administradores. Esto significa que, además de la contraseña, hará falta un código temporal desde una app de autenticación. Es una de las medidas más sencillas y efectivas para evitar accesos no autorizados.
2. Protección frente a fuerza bruta. Sirve para bloquear o limitar intentos repetidos de inicio de sesión. Muy útil cuando alguien —o algo— intenta probar miles de combinaciones de contraseña como si estuviera jugando al Wordle del mal.
3. Desactivar o limitar XML-RPC si no lo usas. Algunas instalaciones lo necesitan para integraciones concretas, pero en muchas webs pequeñas no es imprescindible. Conviene revisarlo con la persona que lleve el mantenimiento técnico.

Paso 4: pasa un escaneo de seguridad

Wordfence incluye un escáner que revisa archivos de WordPress, plugins, temas, entradas, páginas y comentarios buscando malware, URLs peligrosas, puertas traseras, redirecciones sospechosas y otros indicios de compromiso.

Cuando termine el escaneo, pueden aparecer avisos de diferentes niveles. No todos significan que la web esté hackeada. Algunos pueden ser recomendaciones, archivos modificados por una actualización o elementos que necesitan revisión.

Nuestro consejo es que no borres archivos sin saber qué son. Antes de pulsar botones con nombres intensos como “Delete”, revisa, consulta y haz copia. La valentía está muy bien, pero en WordPress a veces se parece demasiado a romper producción.

Paso 5: configura alertas útiles

Wordfence puede enviar avisos por correo cuando detecta problemas. Esto es útil, pero hay que ajustarlo bien. Si activas todas las alertas posibles, corres el riesgo de acabar ignorándolas.

Para una entidad social como las nuestras, suele tener sentido recibir avisos sobre:

• detección de malware;
• plugins o temas vulnerables;
• cambios sospechosos en archivos;
• bloqueo de muchos intentos de acceso;
• problemas críticos de seguridad.

Y conviene que esos avisos lleguen a una persona concreta o a un buzón compartido con responsabilidad clara. Vamos, que de verdad lo vea alguien y alguien que pueda entender su gravedad o no.

¿Gratis o premium?

La versión gratuita de Wordfence puede ser suficiente para muchas webs pequeñas o medianas, especialmente si son webs informativas y tienen buen mantenimiento. Incluye firewall, escáner de malware, protección de login, alertas y otras funciones.

La diferencia importante es que la versión gratuita recibe reglas de firewall y firmas de malware con 30 días de retraso, mientras que la versión premium las recibe en tiempo real.

¿Cuándo puede tener sentido valorar la versión premium?

Si tu web gestiona donaciones, formularios con datos sensibles, campañas de captación, mucho tráfico o servicios importantes para personas usuarias, merece la pena estudiarlo. No porque lo premium sea siempre necesario, sino porque el riesgo y el impacto no son iguales en todas las webs. Una web de noticias institucionales no tiene las mismas necesidades que una plataforma con formularios de atención social, inscripciones, datos personales o pagos.

Para La Rueca, este plugin es un gran aliado en la seguridad web. Lo hemos probado y testado y por eso podemos recomendarlo 😉