El aviso llega un lunes: un plugin vulnerable en una web alojada en el mismo servidor ha abierto la puerta a malware. Tu WordPress está actualizado, pero la tienda carga más despacio, aparecen accesos extraños o el proveedor limita temporalmente la cuenta mientras investiga.
La seguridad en hosting compartido puede ser suficiente si cada cuenta está aislada y se combina con mantenimiento activo. El riesgo no es compartir servidor, sino que una web vecina comprometida afecte a otras por una segregación deficiente.
Índice
Anuncio
Dos capas deciden la seguridad real
Un WordPress protegido requiere un proveedor que asegure el servidor y un propietario que mantenga la instalación actualizada, con accesos controlados y contraseñas únicas.
Lo que debe cubrir el proveedor
El hosting debe aislar usuarios, procesos y recursos, mantener PHP y el sistema parcheados, aplicar WAF, escanear malware y ofrecer SFTP. También debe indicar la frecuencia y retención de las copias, y permitir restaurar archivos y base de datos MySQL. Contratar hosting no elimina tu responsabilidad sobre los datos personales que recoge la web.
Lo que sigue siendo tu tarea
Debes actualizar WordPress, temas y plugins, retirar extensiones abandonadas, activar 2FA y asignar administradores a personas concretas. Un plugin de seguridad ayuda a limitar accesos y detectar cambios, pero no corrige permisos abiertos, credenciales filtradas ni un aislamiento deficiente del proveedor.
Antes de contratar o renovar, pide confirmación por escrito de un checklist de seguridad: aislamiento de cuentas y procesos, WAF administrado, escaneo de malware, SFTP en lugar de FTP sin cifrar, certificados SSL y protección HTTPS, además de versiones de PHP todavía soportadas y parcheadas. Comprueba también si el proveedor monitoriza caídas, consumo anómalo de recursos y cambios sospechosos, qué alertas envía y quién responde ante una infección.
Las copias de seguridad deben incluir archivos y bases de datos, tener una retención concreta y permitir una restauración de WordPress completa sin depender de una intervención lenta del soporte.
Una cuenta vecina no debe tocar la tuya
Un alojamiento compartido es seguro cuando cada cliente tiene usuarios, permisos y límites propios que impiden leer, modificar o ejecutar archivos de otras cuentas.
El vecino ruidoso también cuesta ventas
Una web vecina puede acaparar CPU, memoria o procesos por tráfico, spam, cron mal configurados o ataques. Aunque no haya malware, esto puede ralentizar una tienda, generar errores 503 y afectar al pago durante una campaña.
HTTPS no limpia una infección
SSL/TLS cifra la comunicación entre navegador y web, pero no elimina malware ni bloquea un plugin vulnerable. Let’s Encrypt, Cloudflare, CDN y protección DDoS son controles útiles, aunque no sustituyen el escaneo, la revisión de usuarios ni las actualizaciones.
Cuenta aislada
WAF y parches
Copias recuperables
Plugins al día
2FA y usuarios
Copias externas probadas
Anuncio
Permisos y copias que frenan fallos diarios
Las carpetas de WordPress deben usar normalmente permisos 755 y los archivos 644; wp-config.php requiere especial atención porque guarda las claves de la base de datos. Evita 777 como solución permanente: permite escrituras innecesarias y aumenta el riesgo ante una intrusión.
Accesos que no deben compartirse
Cada persona debe usar su propio usuario y el rol mínimo necesario; un redactor no necesita permisos de administrador. Activa 2FA en WordPress, cPanel y correo, elimina accesos de agencias al terminar el trabajo y usa contraseñas únicas.
Una llave de seguridad USB añade una comprobación física al acceso de administrador. Resulta útil cuando varias personas gestionan una tienda o una web con datos de clientes.
- Reduce el riesgo si una contraseña de administrador se filtra.
- Evita depender solo de códigos SMS, vulnerables a cambios de SIM.
- Protege accesos a correo, panel de hosting y cuentas compatibles.
Elige el entorno según el riesgo
| Entorno | Coste orientativo en España | Aislamiento esperado | Adecuado para |
|---|---|---|---|
| Compartido | 4 a 12 €/mes | Depende del proveedor | Web corporativa o blog mantenido |
| WordPress gestionado | 15 a 40 €/mes | Mayor control y soporte | Tienda con mantenimiento delegado |
| VPS administrado | 30 a 100 €/mes | Recursos dedicados virtuales | Picos, ajustes propios o riesgo alto |
Mantén una copia externa con archivos y base de datos, separada del hosting, y prueba una restauración completa al menos una vez al año.
Si detectas malware, redirecciones extrañas o administradores desconocidos, actúa antes de intentar limpiar archivos al azar. Pon la web en mantenimiento o pide al proveedor que aísle temporalmente la cuenta, conserva una copia del estado afectado para investigar y ejecuta un escaneo de malware. Después, restaura WordPress desde una copia conocida como limpia y anterior al incidente, incluyendo archivos y base de datos.
Rota las contraseñas de WordPress, hosting, SFTP, correo y MySQL, regenera las claves de seguridad y revisa plugins, temas, tareas cron y registros de acceso para localizar la vía de entrada antes de reabrir el sitio.
La base de datos merece la misma atención que los archivos. Crea un usuario MySQL exclusivo para cada instalación y otórgale solo los permisos necesarios sobre su propia base de datos; nunca utilices una cuenta compartida ni credenciales de administrador del servidor. Genera contraseñas largas y únicas, guarda los datos en wp-config.php con permisos restrictivos y cámbialos si una agencia, desarrollador o dispositivo ha perdido acceso.
Revisa periódicamente los usuarios y roles de WordPress, elimina cuentas inactivas y exige autenticación de dos factores a quienes tengan privilegios de administración, porque una cuenta válida comprometida puede causar tanto daño como un plugin vulnerable.
Preguntas comunes
¿Puede una web vecina hackear mi WordPress?
No debería poder hacerlo si el proveedor aísla correctamente las cuentas. Si existen procesos compartidos, permisos abiertos o mala segregación, una infección vecina puede aumentar el riesgo y afectar al rendimiento.
¿Qué permisos debo usar en WordPress?
Los permisos habituales son 755 para carpetas y 644 para archivos. Evita 777 como arreglo permanente y revisa especialmente wp-config.php, que contiene los datos de acceso a MySQL.
¿Necesito un plugin de seguridad en el hosting?
Sí, puede limitar accesos y avisar de cambios, pero no sustituye al WAF ni al aislamiento del servidor. Configúralo sin duplicar innecesariamente los firewalls del proveedor.
¿Las copias del hosting son suficientes?
No siempre. Necesitas confirmar que incluyen archivos y base de datos, que pueden restaurarse y que existe una copia externa por si el servidor completo queda comprometido.
La decisión segura antes de renovar
Un hosting compartido bien gestionado puede proteger una web WordPress pequeña o mediana si demuestra aislamiento, copias recuperables y soporte técnico. Elige por esos controles, no solo por gigas, precio o HTTPS.
- Un WordPress actualizado no compensa un servidor sin aislamiento real entre cuentas.
- HTTPS cifra las comunicaciones, pero no bloquea malware ni plugins vulnerables.
- Los permisos 755 y 644, usuarios individuales y 2FA reducen accesos indebidos.
- Una copia externa solo protege cuando se ha comprobado que restaura archivos y base de datos.
Anuncio
Para saber más
Si deseas profundizar, aquí tienes algunos recursos de interés:
- Cómo hacer que WordPress sea más seguro - Web Design — cognisant-hosting.com
- Mantén tu WordPress seguro con nuestras guías y consejos — raiolanetworks.com
- Seguridad en WordPress en Madrid — laminadigital.es
- El hosting compartido no es barato si tu agencia da soporte
- Borrar plugins inactivos puede borrar ajustes clave
Josu Barrios
Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.