Llevo años ayudando a empresas con su presencia digital: SEO, analítica, rendimiento web. Pero en los últimos meses he añadido un capítulo que no esperaba — gestión de ataques a webs de clientes.
Solo en los últimos meses hemos monitorizado 5 ataques distintos sobre sitios WordPress de clientes. Tres se bloquearon sin que el cliente llegara a enterarse. Los otros dos causaron caídas reales: horas de indisponibilidad en horario de tráfico alto, errores servidos a Google y pérdida de conversiones. La diferencia entre unos y otros fue una sola cosa: en los que bloqueamos, el mantenimiento técnico lo llevábamos nosotros.
Te cuento esto porque tengo el Certificado de Profesionalidad en Seguridad Informática (IFCT0109) y aun así el mensaje que me llevo de estos últimos meses es claro: la seguridad web no es un extra. Es infraestructura básica, como cerrar la puerta de tu local con llave.
Esta guía no es para que te conviertas en experto. Es para que entiendas qué está pasando ahí fuera, qué riesgos tiene tu web y qué puedes hacer al respecto. Si después de leerla necesitas ayuda, al final te cuento cómo podemos echarle un vistazo juntos — sin coste.
Por qué WordPress es el objetivo favorito de los atacantes
WordPress mueve más del 43% de todos los sitios web del mundo. Eso lo convierte en el blanco más rentable para los atacantes: si desarrollas una herramienta de ataque que funciona contra WordPress, tienes potencialmente millones de víctimas posibles de un golpe.
Los datos del sector son contundentes. En 2024 se registraron casi 8.000 vulnerabilidades nuevas en el ecosistema WordPress — plugins, temas, configuraciones — un 34% más que el año anterior, según el informe anual de Patchstack. Y en lo que llevamos de 2025, el ritmo no ha bajado.
Que haya tantas vulnerabilidades no significa que todas sean igual de peligrosas. La mayoría tienen un impacto real limitado. Pero las que sí lo tienen se explotan rápido: el tiempo medio entre que se publica una vulnerabilidad y el primer intento de ataque masivo es de menos de 5 horas.
Los 5 tipos de ataque más frecuentes en WordPress
1. Fuerza bruta: el ataque más simple y el más frecuente
Imagina que alguien se planta delante de la puerta de tu negocio e intenta combinaciones de la cerradura, una tras otra, de forma automática y sin parar. Eso es exactamente un ataque de fuerza bruta sobre el panel de administración de WordPress.
El problema es que la dirección del panel de admin de WordPress siempre es la misma por defecto. Todo el mundo lo sabe, incluidos los bots. Así que cualquier script automatizado sabe exactamente dónde apuntar.
Wordfence bloqueó más de 55.000 millones de intentos de ataque de contraseña solo en 2024.
Uno de nuestros clientes sufrió un episodio en el que un bot realizó 3 intentos de login en 1 segundo. Parece poco. Pero fue suficiente para que el servidor — compartido y con recursos limitados — se saturara y la web cayera durante horas. No robaron nada. Solo la tiraron abajo.
Qué puedes hacer: Limitar el número de intentos de login permitidos, activar la verificación en dos pasos para los administradores, y tener una capa de protección delante del servidor. Son medidas sencillas que marcan una diferencia enorme.
2. Plugins desactualizados: la puerta trasera más común
El 96% de las vulnerabilidades de WordPress están en los plugins, no en el propio WordPress. Tiene sentido: WordPress tiene un equipo de seguridad dedicado; los plugins los desarrolla de todo tipo de gente, y no siempre con los mismos estándares.
El 43% de las vulnerabilidades detectadas en 2024 no requerían ninguna cuenta en tu web para ser explotadas.
Una instalación WordPress media tiene entre 15 y 25 plugins activos. Cada plugin desactualizado es una potencial puerta de entrada. Y si tienes plugins instalados pero desactivados — también son un riesgo. Un plugin desactivado sigue siendo código en tu servidor.
En uno de los casos que gestionamos encontramos archivos maliciosos insertados directamente en carpetas del núcleo de WordPress. El origen probable fue un plugin en versión obsoleta. Una vez dentro, instalaron «puertas traseras» que les permiten volver aunque se detecte y limpie el ataque inicial.
Qué puedes hacer: Actualizar plugins regularmente, eliminar los que no usas, y tener algún sistema que avise si algo cambia en los archivos de tu web. El mantenimiento no es glamuroso, pero es lo que evita estos problemas.
3. Ataques DDoS: cuando el objetivo es tumbarte la web
Un ataque DDoS no busca robar datos ni acceder a tu panel. Busca saturar tu servidor con tanta actividad falsa que los usuarios reales no puedan entrar. Como bloquear la entrada de tu tienda para que los clientes no puedan pasar.
Los ataques DDoS aumentaron un 121% en 2025, según el informe de Cloudflare. Una media de más de 5.000 ataques mitigados cada hora.
Los ataques de gran escala van dirigidos a infraestructuras grandes. Pero los de baja y media intensidad son igual de eficaces para tumbar una web en hosting compartido. Y esos sí afectan a webs de empresas normales.
Otro de nuestros clientes sufrió dos caídas en menos de una semana. En la segunda, la web estuvo offline más de 3 horas en horario de máximo tráfico. Los logs mostraban que un bot seguía enviando peticiones de forma repetida durante horas, manteniendo el servidor saturado incluso después de que la web ya hubiera caído.
Qué puedes hacer: La solución más efectiva es poner una capa de protección inteligente entre tu web y el mundo exterior — lo que se llama una CDN con WAF. Filtra el tráfico malicioso antes de que llegue a tu servidor. Cloudflare es la opción más habitual y tiene plan gratuito, aunque configurarlo bien con tu web requiere cierto conocimiento técnico.
4. Reconocimiento automatizado: los bots que fisgonean
Antes de cualquier ataque real, los bots hacen reconocimiento. Es como si alguien paseara por delante de tu negocio anotando qué cerradura tienes, si hay cámaras, cuándo abres y si hay alguna ventana sin echar el cierre.
En WordPress esto significa peticiones automatizadas buscando archivos de configuración expuestos, versiones de plugins instalados, nombres de usuario válidos… información que luego se usa para lanzar ataques más precisos.
Vimos esto exactamente en uno de nuestros casos: una IP desde Indonesia realizó durante horas peticiones sistemáticas buscando información útil. Todo quedó registrado en los logs del servidor. Nadie los estaba leyendo.
Qué puedes hacer: Bloquear el acceso a rutas y archivos sensibles, ocultar la versión de WordPress y plugins que usas, y revisar periódicamente los logs de acceso del servidor. O tener a alguien que lo haga por ti.
5. Hackeo y malware: cuando ya han entrado
Si un atacante consigue acceder a tu WordPress, su primer objetivo no es hacer daño inmediato. Es quedarse. Para eso insertan archivos que les permiten volver aunque cambies contraseñas o reinstales plugins — lo que se conoce como puertas traseras o backdoors.
Estos archivos suelen ocultarse en lugares poco habituales con nombres que imitan archivos legítimos. Sin monitorización activa, pueden estar ahí semanas o meses sin que nadie lo detecte.
Las consecuencias van más allá de lo técnico: Google detecta malware y puede mostrar advertencias directamente en los resultados de búsqueda. Eso destruye la confianza del usuario de un día para otro. Si además hay datos de usuarios comprometidos, el RGPD obliga a notificar el incidente a la AEPD en un plazo de 72 horas.
Qué puedes hacer: Backups frecuentes guardados fuera del servidor, monitorización de integridad de archivos, y un protocolo claro de respuesta. Si detectas un hackeo, lo primero es no tocar nada hasta hacer una copia — ese «forense» es clave para entender cómo entraron.
El impacto en SEO que casi nadie menciona
Cada caída tiene un coste de posicionamiento que se acumula en silencio. Cuando tu web devuelve errores, Google los registra. Si son puntuales y se recuperan rápido, el impacto es mínimo. Si se repiten, Google reduce la frecuencia con la que rastrea tu web — y eso ralentiza la indexación de contenido nuevo y puede provocar caídas de posiciones.
Si te preguntas cómo funciona el posicionamiento web y por qué el estado técnico de tu sitio importa tanto, la respuesta corta es que Google premia la fiabilidad. Una web que cae con frecuencia no es fiable.
Después de cada incidente que gestionamos, lo primero que hacemos es revisar Google Search Console durante los días siguientes: si suben los errores de cobertura, si caen las impresiones, si hay alguna acción manual activada. En la mayoría de casos el impacto SEO es recuperable — pero requiere seguimiento activo.
Si tu web fue desarrollada con WordPress y nunca ha pasado por una revisión técnica del sitio orientada a SEO, es probable que haya puntos de mejora que afectan tanto al posicionamiento como a la seguridad.
Lo mínimo que debería tener tu web
Sin entrar en tecnicismos, esto es lo que cualquier web de empresa debería tener cubierto:
Lo imprescindible
- WordPress, plugins y temas siempre actualizados
- Contraseñas robustas y verificación en dos pasos para el administrador
- Backups automáticos diarios guardados fuera del servidor
- Una CDN con WAF delante del servidor (Cloudflare es el más habitual)
- Monitorización de disponibilidad para saber si la web cae
Lo que marca la diferencia
- Un plugin de seguridad bien configurado, no solo instalado
- Revisión periódica de logs y alertas ante actividad sospechosa
- PHP en versión soportada y actualizada
- Hosting con recursos dedicados para webs de negocio
Si tu web fue diseñada hace tiempo y nunca se ha revisado a fondo, hay muchas posibilidades de que alguno de estos puntos esté sin cubrir. Un rediseño web que incluya una revisión técnica completa puede ser la forma más eficiente de ponerse al día de una vez.
La seguridad no es un proyecto puntual
La seguridad web no se «resuelve» de una vez. Es mantenimiento continuo: actualizaciones, revisión de logs, monitorización, respuesta ante incidentes. Igual que no limpias tu local una vez y ya está para siempre.
Si llevas tu web tú mismo y después de leer esto no tienes claro si estás cubierto, probablemente no lo estás del todo. No es una crítica — la mayoría de empresas no tienen por qué saber de esto. Para eso estamos nosotros.
En Renpo llevamos el mantenimiento técnico y la seguridad de sitios WordPress desde una perspectiva que combina lo técnico con lo estratégico: porque lo que le pase a tu web le pasa también a tu estrategia de posicionamiento en buscadores a largo plazo. Y eso nos importa tanto como a ti.
🔍 Auditoría gratuita: SEO + seguridad
Revisamos tu web sin coste y sin compromiso. Analizamos tanto el estado de posicionamiento como los puntos de vulnerabilidad de seguridad más habituales: configuración del servidor, plugins desactualizados, exposición de archivos sensibles, estado de backups y más.
Si quieres saber en qué punto está tu web antes de que lo descubra un atacante o Google, solicita la auditoría gratuita aquí.
Fuentes:
- Patchstack — State of WordPress Security 2025
- Cloudflare — DDoS Threat Report Q4 2025 & Q1 2025
- Wordfence — Annual WordPress Security Report 2024
- SecurityWeek — 8.000 nuevas vulnerabilidades WordPress en 2024
