Por qu\u00e9 se hackean las webs (y no es por WordPress)<\/h2>\n
Casi todas las webs comprometidas tienen algo en com\u00fan: estaban desactualizadas o mal mantenidas<\/strong>. Y hay un segundo punto que cambia c\u00f3mo pensar el problema: nadie eligi\u00f3 tu negocio<\/strong>. Los ataques a webs peque\u00f1as casi nunca son dirigidos: son robots que recorren internet buscando versiones vulnerables conocidas. No saben si eres una cl\u00ednica en Arequipa o una ferreter\u00eda en Trujillo, solo comprueban si la puerta est\u00e1 abierta.<\/p>\n Y suele sorprender que en la mayor\u00eda de casos no buscan robarte nada<\/strong>: buscan tu servidor. Una web hackeada sirve para inyectar p\u00e1ginas de spam, redirigir a tus visitantes a otro sitio o enviar correo masivo desde tu dominio. Por eso el \u00abyo no tengo nada que robar\u00bb no protege a nadie: el valor est\u00e1 en que tu web funciona y tu dominio tiene reputaci\u00f3n.<\/p>\n El da\u00f1o, en cambio, s\u00ed es tuyo. Google marca el sitio como peligroso y lo saca de los resultados, tu dominio entra en listas negras de correo y el trabajo de posicionamiento<\/a> de meses se cae de golpe.<\/p>\n Es la m\u00e1s importante y la que m\u00e1s se descuida. WordPress, el tema y los plugins reciben actualizaciones que corrigen fallos ya publicados, y ese es el punto: cuando una vulnerabilidad se hace p\u00fablica, los robots empiezan a buscarla en d\u00edas. Una web al d\u00eda cierra la mayor\u00eda de puertas antes de que nadie las toque. Dos reglas: copia antes de actualizar y revisar la web despu\u00e9s. D\u00f3nde guardar esa copia y c\u00f3mo comprobar que sirve est\u00e1 en backups de WordPress<\/a>.<\/p>\n Muchos accesos indebidos entran probando contrase\u00f1as en autom\u00e1tico, una tras otra:<\/p>\n Contrase\u00f1as largas y \u00fanicas.<\/strong> Una frase larga es m\u00e1s segura y m\u00e1s f\u00e1cil de recordar que ocho caracteres raros.<\/p>\n Nada de usuario \u00abadmin\u00bb.<\/strong> Es el primer nombre que prueban.<\/p>\n Verificaci\u00f3n en dos pasos (2FA).<\/strong> Lo que m\u00e1s sube la protecci\u00f3n por el esfuerzo que cuesta.<\/p>\n Cada persona con los permisos que necesita<\/strong>, y da de baja a quien ya no trabaja contigo: las cuentas olvidadas de antiguos proveedores son una puerta abierta muy com\u00fan.<\/p>\n Un buen backup<\/strong> es tu red de seguridad: restauras en minutos en lugar de reconstruir desde cero. Tres condiciones: que sea autom\u00e1tica<\/strong>, porque la que depende de que alguien se acuerde no existe; que se guarde fuera del servidor<\/strong>, porque si este se infecta se lleva las copias con \u00e9l; y que la pruebes alguna vez<\/strong>, porque una copia que nunca se restaur\u00f3 no sabes si funciona.<\/p>\n El problema del respaldo no es configurarlo, es acordarse de comprobar que se puede restaurar. Si no quieres estar pendiente, se delega: es lo que cubre un plan de mantenimiento web<\/a>.<\/p>\n A\u00f1ade un cortafuegos, bloquea intentos repetidos de acceso y te avisa de cambios extra\u00f1os. Trabaja las 24 horas y, sobre todo, te entera de lo que pasa. Eso s\u00ed, no reemplaza lo b\u00e1sico: sobre una web desactualizada y con contrase\u00f1as d\u00e9biles es una alarma en una casa con la puerta abierta.<\/p>\n El candado del navegador cifra la informaci\u00f3n entre tu web y quien la visita. Es imprescindible por seguridad real en formularios, por confianza del cliente y por posicionamiento, como vemos en nuestra gu\u00eda de SEO t\u00e9cnico<\/a>. La mayor\u00eda de hostings lo incluye sin costo.<\/p>\n Cada plugin es una puerta potencial, as\u00ed que menos es m\u00e1s: solo los que necesitas y bien mantenidos. Cu\u00e1les instalamos siempre y cu\u00e1les nunca, con el motivo, est\u00e1 en plugins de WordPress: los 8 que instalamos siempre y los 5 que nunca<\/a>.<\/p>\n Y algo que casi nadie hace: elimina los que no usas, no los dejes desactivados<\/strong>. Un plugin desactivado sigue instalado y sigue siendo vulnerable. Punto aparte para los piratas: muchos traen c\u00f3digo malicioso de f\u00e1brica, y lo que ahorras en licencia lo pagas con la web. Y cuando ning\u00fan plugin hace lo que necesitas, la salida no es el pirata sino uno propio: lo explicamos en cu\u00e1ndo vale la pena un plugin a medida<\/a>.<\/p>\n Un alojamiento de calidad a\u00edsla tu web de las dem\u00e1s, mantiene el software al d\u00eda e incluye cortafuegos y copias autom\u00e1ticas. En el compartido m\u00e1s barato, la infecci\u00f3n de una web vecina puede alcanzarte sin que hayas hecho nada mal. Qu\u00e9 tipo de servidor conviene seg\u00fan tu web lo explicamos en hosting para WordPress en Per\u00fa<\/a>.<\/p>\n Un apunte: todo esto aplica a WordPress.org, la versi\u00f3n autoalojada, donde la seguridad es cosa tuya. En WordPress.com la gestiona la plataforma, a cambio de mucho menos control, como vemos en WordPress.com vs WordPress.org vs web en c\u00f3digo<\/a>.<\/p>\n Cuanto antes las reconozcas, menos da\u00f1o.<\/p>\n Tu web redirige a otro sitio<\/strong>, sobre todo desde el celular o llegando desde Google.<\/p>\n Aparecen p\u00e1ginas que nadie cre\u00f3<\/strong>, muchas veces en otro idioma.<\/p>\n Google muestra un aviso de sitio peligroso<\/strong>, o hay administradores que no reconoces<\/strong>.<\/p>\n Tus correos empiezan a rebotar o caer en spam<\/strong>: tu dominio est\u00e1 en una lista negra.<\/p>\n El orden importa: limpiar sin cerrar la puerta solo consigue que te vuelvan a entrar a los pocos d\u00edas.<\/p>\n 1. Avisa a tu hosting y a quien mantiene la web.<\/strong> El hosting tiene registros que ayudan a saber por d\u00f3nde entraron.<\/p>\n 2. Pon la web en mantenimiento<\/strong>, mejor un \u00abvolvemos pronto\u00bb que un sitio infectado atendiendo visitas.<\/p>\n 3. Cambia todas las contrase\u00f1as:<\/strong> WordPress, hosting, base de datos y FTP.<\/p>\n 4. Restaura una copia anterior a la infecci\u00f3n.<\/strong> Aqu\u00ed se nota si hiciste bien los backups.<\/p>\n 5. Actualiza todo y cierra la vulnerabilidad.<\/strong> Es el paso que casi todos se saltan y el \u00fanico que evita que se repita.<\/p>\n 6. Pide una revisi\u00f3n a Google<\/strong> desde Search Console<\/a> para que retire el aviso.<\/p>\n Y cinco cosas que no debes hacer: borrar la web en p\u00e1nico, pagar un rescate, restaurar una copia posterior a la infecci\u00f3n, darlo por cerrado sin saber por d\u00f3nde entraron, o callarlo si hubo datos de clientes de por medio.<\/p>\n La seguridad no se hace una vez: es un proceso continuo<\/strong> de actualizaciones, copias y monitoreo. Una web protegida hoy pero abandonada seis meses vuelve a estar expuesta, porque las vulnerabilidades nuevas aparecen todo el tiempo. Por eso va de la mano con el mantenimiento de WordPress<\/a>: ah\u00ed es donde deja de ser una reacci\u00f3n y se vuelve un h\u00e1bito.<\/p>\n \u00bfWordPress es realmente inseguro?<\/strong> \u00bfCada cu\u00e1nto debo actualizar WordPress y los plugins?<\/strong> \u00bfCada cu\u00e1nto debo hacer copias de seguridad?<\/strong> Mi negocio es peque\u00f1o, \u00bfpor qu\u00e9 me atacar\u00edan a m\u00ed?<\/strong> \u00bfQu\u00e9 hago si mi web ya fue hackeada?<\/strong> WordPress es seguro cuando se cuida. Actualizaciones al d\u00eda, contrase\u00f1as fuertes, copias externas, un plugin de seguridad y un buen hosting cubren la enorme mayor\u00eda de los riesgos reales, y ninguna de las cinco es complicada. De paso, ese mismo hosting es lo que m\u00e1s pesa en la velocidad de tu web<\/a>.<\/p>\n Caro es lo otro: recuperar una web infectada, limpiar tu reputaci\u00f3n en Google y explicarle a tus clientes por qu\u00e9 su navegador dice que tu sitio es peligroso. La seguridad no es un gasto: es lo que evita ese d\u00eda.<\/p>\n En Lucuma Agency<\/a> construimos y mantenemos webs WordPress seguras dentro de nuestro servicio de desarrollo web<\/a>. \u00bfQuieres tu web protegida? Agenda tu consultor\u00eda gratis<\/a>.<\/p>","protected":false},"excerpt":{"rendered":" Una distribuidora de Lima se enter\u00f3 de que su web estaba hackeada porque la llam\u00f3 un cliente: al buscarlos en Google sal\u00eda un aviso rojo de \u00absitio peligroso\u00bb. Nadie los hab\u00eda atacado a prop\u00f3sito. Un robot encontr\u00f3 un plugin sin actualizar desde hac\u00eda m\u00e1s de un a\u00f1o, entr\u00f3 y us\u00f3 el servidor para inyectar p\u00e1ginas […]<\/p>\n","protected":false},"author":1,"featured_media":755,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[29],"tags":[],"class_list":["post-754","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog-wordpress"],"acf":[],"_links":{"self":[{"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/posts\/754","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/comments?post=754"}],"version-history":[{"count":9,"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/posts\/754\/revisions"}],"predecessor-version":[{"id":1570,"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/posts\/754\/revisions\/1570"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/media\/755"}],"wp:attachment":[{"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/media?parent=754"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/categories?post=754"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/lucumaagency.com\/en\/wp-json\/wp\/v2\/tags?post=754"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}![\"Las](\"https:\/\/lucumaagency.com\/wp-content\/uploads\/2026\/07\/como-entra-un-ataque.png\"\n)
<\/p>\nLas siete medidas que de verdad protegen<\/h2>\n
![\"Las](\"https:\/\/lucumaagency.com\/wp-content\/uploads\/2026\/07\/medidas-seguridad-wordpress.png\"\n)
<\/p>\n1. Mant\u00e9n todo actualizado<\/h3>\n
2. Contrase\u00f1as fuertes y usuarios ordenados<\/h3>\n
3. Haz copias de seguridad<\/h3>\n
4. Usa un plugin de seguridad<\/h3>\n
5. Certificado SSL (HTTPS)<\/h3>\n
6. Elige y limpia tus plugins<\/h3>\n
7. Un buen hosting tambi\u00e9n protege<\/h3>\n
Se\u00f1ales de que tu web puede estar comprometida<\/h2>\n
Qu\u00e9 hacer si tu web fue hackeada<\/h2>\n
![\"Qu\u00e9](\"https:\/\/lucumaagency.com\/wp-content\/uploads\/2026\/07\/web-hackeada-que-hacer.png\"\n)
<\/p>\nLa clave: mantenimiento constante<\/h2>\n
Preguntas frecuentes sobre seguridad en WordPress<\/h2>\n
\nNo. Es el m\u00e1s atacado porque es el m\u00e1s usado, y eso no es lo mismo que ser vulnerable. La enorme mayor\u00eda de webs hackeadas estaban desactualizadas, con plugins piratas o contrase\u00f1as d\u00e9biles.<\/p>\n
\nRevisa una vez al mes y aplica de inmediato las de seguridad, siempre con una copia previa.<\/p>\n
\nSemanal para una web informativa, diaria para una tienda con pedidos todos los d\u00edas. Y siempre fuera del mismo servidor.<\/p>\n
\nNo te atacan a ti: los robots buscan webs vulnerables, no negocios concretos, y quieren tu servidor y tu dominio. Ser peque\u00f1o no te hace invisible.<\/p>\n
\nNo la borres. Cambia todas las contrase\u00f1as, restaura la \u00faltima copia limpia, actualiza todo y reci\u00e9n ah\u00ed revisa qu\u00e9 fall\u00f3. Si hubo robo de datos de clientes, hay que avisarles. Si gestionas webs de terceros y no das abasto con esto, un freelance WordPress marca blanca<\/a> puede llevar la seguridad y el mantenimiento bajo tu marca.<\/p>\nConclusi\u00f3n<\/h2>\n