La mayoría de los WordPress hackeados no caen por un ataque sofisticado: caen por una contraseña adivinada, un plugin con una falla conocida o un archivo modificado que nadie revisó. Vigilante es una suite de seguridad 100 % gratuita (sin versión de pago) que reúne en un solo plugin el cortafuegos, la protección del acceso, la verificación en dos pasos, las cabeceras de seguridad y la revisión de archivos. En este video la configuramos en un sitio real y su nota de seguridad sube de C a B en pocos minutos.
Paso 1: Entra al escritorio de WordPress
Entra a tudominio.com/wp-admin con un usuario administrador.
Paso 2: Plugins › Añadir plugin
En el menú de la izquierda, entra a Plugins y luego a Añadir plugin.
Paso 3: Busca Vigilante
En el buscador, escribe Vigilante.
Paso 4: Instálalo y actívalo
Pulsa Instalar ahora y luego Activar. Desde ese momento ya funcionan el cortafuegos (inyección SQL, XSS, inclusión de archivos), el límite de intentos de acceso, el bloqueo de XML-RPC y la protección de wp-config.php y .htaccess.
Paso 5: Abre el menú Vigilante
En el menú de la izquierda aparece Vigilante. Su escritorio reúne todos los módulos en pestañas: Cortafuegos, Cabeceras, Acceso, API REST, Usuarios, WordPress, Integridad de archivos y Auditoría de seguridad.
Paso 6: Haz la comprobación de seguridad
En Comprobación de seguridad, pulsa Explorar ahora. Vigilante revisa tu sitio como lo vería un atacante (HTTPS, certificado, cabeceras, versión de WordPress expuesta, archivos sensibles, listas negras) y le pone una nota. Con Mostrar desglose detallado ves cada prueba que falla y un enlace al ajuste que la corrige.
Paso 7: Aplica el preajuste Estándar
En Preajustes de configuración rápida, pulsa Aplicar preajuste en Estándar: es la protección equilibrada que recomendamos para la mayoría de los sitios. Máxima seguridad impone una política de contenido (CSP) estricta que puede romper partes del sitio o del escritorio: úsala solo si después revisas que todo funcione.
Paso 8: Revisa el cortafuegos
En la pestaña Cortafuegos, comprueba que estén activas las protecciones contra inyección SQL, XSS, inclusión de archivos y bots sospechosos, y el límite de peticiones por minuto por IP.
Ojo: el bloqueo de bots también detiene a rastreadores de SEO (Ahrefs, Semrush…) y a herramientas como
curlowget. Si usas alguno, agrégalo a la lista blanca de User-Agent de esa misma pestaña.
Paso 9: Protege el inicio de sesión
En Acceso, Vigilante bloquea durante 30 minutos a quien falla 5 veces la contraseña, y duplica el bloqueo a los reincidentes. También puedes cambiar la dirección de inicio de sesión por una secreta en Slug de la URL de inicio de sesión (anótala bien: wp-login.php deja de funcionar).
Paso 10: Activa la verificación en dos pasos
Más abajo, en Identificación en dos pasos (2FA), marca Activar la identificación en dos pasos, elige Aplicación de verificación (TOTP), deja marcado Administrador en los perfiles a forzar y pulsa Guardar ajustes.
Paso 11: Configura tu app en tu perfil
Entra a Usuarios › Perfil. En Identificación en dos pasos (TOTP), pulsa Iniciar la configuración y escanea el código QR con Google Authenticator, Authy o Microsoft Authenticator. Guarda los 10 códigos de recuperación en un lugar seguro: te sirven si pierdes el teléfono.
Paso 12: Redirige todo a HTTPS
En Cabeceras, activa Redirigir de HTTP a HTTPS y guarda. Antes, revisa que tu sitio ya tenga su certificado SSL (en CimaServer, Let's Encrypt es gratis y se renueva solo). No actives HSTS sin estar seguro: los navegadores lo recuerdan durante meses.
Paso 13: Oculta la versión de WordPress
En la pestaña WordPress, activa Eliminar versión de los recursos y guarda. Así un atacante no sabe qué versión de WordPress usas.
Paso 14: Revisa la integridad de los archivos
En Integridad de archivos, Vigilante compara cada día WordPress, tus plugins y tus temas con los archivos originales de WordPress.org, busca código PHP en uploads y vigila wp-config.php y .htaccess. En Resultados de la última exploración ves los archivos modificados, sospechosos o de más.
Paso 15: Mira la auditoría de seguridad
En Auditoría de seguridad › Actividad reciente queda el registro de accesos, intentos fallidos, cambios de ajustes, de plugins y de contenido, y ataques bloqueados.
Paso 16: Modo Bajo ataque, para emergencias
Si tu sitio recibe un ataque en curso, en el escritorio de Vigilante pulsa Activar durante 4 horas en Bajo ataque: cada visitante pasa una verificación automática del navegador, el tráfico se limita a 30 peticiones por minuto y la API REST queda solo para usuarios identificados. Se apaga solo.
Paso 17: Vuelve a comprobar la nota
Pulsa otra vez Explorar ahora. En el video, con estos ajustes, el sitio pasa de C (83 %) a B (88 %).
Resumen de ajustes recomendados
| Módulo | Ajuste | Dónde |
|---|---|---|
| Preajuste | Estándar | Vigilante › Escritorio |
| Acceso | 2FA con app para administradores | Acceso + Usuarios › Perfil |
| HTTPS | Redirigir de HTTP a HTTPS | Cabeceras |
| Versión | Eliminar versión de los recursos | WordPress |
| Archivos | Exploración diaria, avisos de hallazgos graves | Integridad de archivos |
Consejo: usa un solo plugin de seguridad. Si ya tienes Wordfence, Loginizer, All-In-One Security u otro, dos a la vez pueden bloquearse entre sí o dejarte fuera de tu propio sitio. Y en CimaServer tu sitio ya tiene un firewall en el servidor y copias de seguridad con JetBackup: Vigilante suma una capa más dentro de WordPress.
Relacionado: restaurar archivos con JetBackup, solucionar «Ha habido un error crítico» y cambiar la contraseña del administrador de WordPress.
¿Dudas? Escríbenos a [email protected].
¿Te sirvió esta guía?