Seguridad avanzada para WordPress

Plugins de seguridad

Wordfence Security

1. Instalá desde Plugins → Añadir nuevo → buscar "Wordfence"
2. Activá y completá el setup wizard
3. Configurá el firewall en modo "Extended Protection"
4. Habilitá escaneo automático semanal

Sucuri Security

1. Instalá el plugin gratuito de Sucuri
2. Generá tu API key
3. Activá monitoreo de integridad de archivos
4. Configurá alertas por email

Proteger wp-admin

Cambiar URL de login

Usá WPS Hide Login:

1. Instalá y activá el plugin
2. Andá a Ajustes → WPS Hide Login
3. Cambiá /wp-admin a algo personalizado

Proteger con .htaccess

<Files wp-login.php>
  Order Deny,Allow
  Deny from all
  Allow from TU_IP_FIJA
</Files>

Limitar intentos de login

Con Limit Login Attempts Reloaded:

• 3 intentos permitidos
• Bloqueo de 20 minutos
• Después de 3 bloqueos: 24 horas
• Notificaciones por email activas

Deshabilitar XML-RPC

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

Permisos de archivos

# Directorios: 755
find /var/www/html -type d -exec chmod 755 {} \;

# Archivos: 644
find /var/www/html -type f -exec chmod 644 {} \;

# wp-config.php: 600
chmod 600 wp-config.php

Hardening wp-config.php

// Deshabilitar editor de archivos
define('DISALLOW_FILE_EDIT', true);

// Forzar SSL en admin
define('FORCE_SSL_ADMIN', true);

// Limitar revisiones
define('WP_POST_REVISIONS', 5);

// Deshabilitar debug en producción
define('WP_DEBUG', false);
define('WP_DEBUG_DISPLAY', false);

Security headers en Nginx

add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Recomendaciones

• Mantené WordPress, temas y plugins actualizados
• Eliminá temas y plugins que no uses
• Usá contraseñas fuertes y 2FA para admins
• Hacé backups automáticos diarios
• Nunca uses "admin" como nombre de usuario