Muchos hackeos de WordPress entran por plugins que administran archivos desde wp-admin, o por el archivo xmlrpc.php. En esta guía te mostramos cómo quitar esos plugins y cerrar xmlrpc.php en tu sitio.
Paso 1: Busca los plugins de archivos
Entra a tu WordPress y abre Plugins. Busca plugins como WP File Manager o FileOrganizer: permiten subir y editar cualquier archivo desde wp-admin, y si alguien roba una contraseña de administrador, lo primero que hace es usarlos para dejar archivos maliciosos.
Paso 2: Desactiva y borra WP File Manager
No los necesitas: tu panel ya tiene un administrador de archivos más seguro. Pulsa Desactivar, luego Borrar y confirma.
Paso 3: Desactiva y borra FileOrganizer
Haz lo mismo con FileOrganizer.
Paso 4: Abre el .htaccess
xmlrpc.php es una puerta antigua para publicar desde otras aplicaciones, y los atacantes la usan para probar contraseñas. En tu panel, abre el Administrador de archivos, entra a domains › tu-dominio.com › public_html y abre el archivo .htaccess.
Paso 5: Agrega el bloque arriba de # BEGIN WordPress
Arriba de la línea # BEGIN WordPress, agrega este bloque y pulsa Guardar:
# Bloquear xmlrpc.php (no lo uses si no tienes Jetpack ni la app de WordPress)
<Files xmlrpc.php>
Require all denied
</Files>No lo pongas dentro del bloque # BEGIN WordPress … # END WordPress: WordPress reescribe esa parte y lo borraría.
Paso 6: Comprueba que responde 403
Abre https://tu-dominio.com/xmlrpc.php en el navegador: ahora responde 403 Forbidden.
Bloque para tu .htaccess
| Línea | Texto | Nota |
|---|---|---|
| Línea 1 | <Files xmlrpc.php> | Arriba de # BEGIN WordPress |
| Línea 2 | Require all denied | |
| Línea 3 | </Files> | |
| ¿Usas Jetpack o la app? | No lo agregues | Ellos usan xmlrpc |
En CimaServer el firewall ya limita xmlrpc a Jetpack; este bloque lo cierra del todo para tu sitio. Si usas Jetpack o publicas desde la aplicación de WordPress en el celular, no agregues el bloque. Si sospechas que ya entraron, sigue la guía para revisar si tu WordPress fue hackeado. Y si algo deja de funcionar, compara con el .htaccess predeterminado de WordPress.
¿Necesitas ayuda? Escríbenos a [email protected] y con gusto te ayudamos.
¿Te sirvió esta guía?