Glosario de seguridad de WordPress

Acceso y autenticación

Autenticación con clave SSH

Una forma de iniciar sesión en un servidor con un par de claves criptográficas en lugar de una contraseña. La clave privada permanece en la máquina que se conecta y la clave pública se coloca en el servidor. No se transmite ninguna contraseña, y una clave puede revocarse sin cambiar nada más de la cuenta. Una clave sigue concediendo el acceso que tenga la cuenta, por lo que la clave privada debe tratarse como una contraseña. Más información: claves SSH o contraseñas.

Autenticación de dos factores (2FA)

Una segunda prueba de identidad además de la contraseña, normalmente un código temporal de una aplicación, que se exige al iniciar sesión. Detiene la mayoría de los ataques de credential stuffing y de fuerza bruta incluso cuando una contraseña se ha filtrado, porque el atacante sigue necesitando el segundo factor.

Ataque de fuerza bruta

Un intento automatizado de adivinar un acceso probando un gran número de combinaciones de usuario y contraseña. El formulario de acceso predeterminado de WordPress (wp-login.php) es un objetivo habitual porque es predecible y rara vez limita la tasa de intentos de fábrica. Más información: ataques de fuerza bruta al acceso.

Credential stuffing

Un ataque que reutiliza pares de usuario y contraseña filtrados en brechas de otros sitios, apostando a que algunos propietarios reutilizaron la misma contraseña. A diferencia de la fuerza bruta, no adivina. Repite credenciales que se sabe que son reales en algún lugar.

Escalada de privilegios

Una vulnerabilidad que permite a una cuenta con pocos permisos, o a un atacante sin ninguna cuenta, obtener acceso de administrador. A menudo el daño real de un hackeo de WordPress no es el punto de entrada sino a qué escala el atacante después.

Detección y respuesta

Malware

Software creado para dañar un sitio o a sus visitantes: la inyección de spam, las redirecciones, el robo de credenciales, las puertas traseras y los mineros de criptomonedas son tipos comunes en sitios WordPress.

Integridad de archivos del núcleo

Una comprobación que compara los archivos propios de WordPress, la instalación del núcleo y no los temas ni los plugins, con las sumas de verificación oficiales publicadas por WordPress.org. Una diferencia suele significar que un archivo ha sido modificado o reemplazado, que es una de las señales de compromiso más claras. Más información: comprobación de integridad de archivos del núcleo.

Cuarentena de malware

Mover un archivo marcado fuera de su ubicación normal en lugar de borrarlo, para que el sitio siga funcionando mientras se revisa el hallazgo y se pueda restaurar el original si la marca era un falso positivo. SiftWP pone los archivos en cuarentena en lugar de borrarlos.

Puerta trasera

Código que un atacante planta para recuperar el acceso incluso después de corregir la vulnerabilidad original, a menudo un archivo pequeño y ofuscado que acepta comandos remotos. Las puertas traseras son la razón por la que borrar solo el malware visible a menudo no arregla un hackeo. Más información: cómo encontrar una puerta trasera.

Webshell

Un tipo de puerta trasera: un script, con frecuencia disfrazado de imagen o de archivo de plugin, que da a un atacante una interfaz parecida a una línea de comandos en el servidor a través de peticiones web.

Ofuscación

Código deliberadamente enrevesado para que sea difícil de leer, a menudo con funciones como base64_decode o gzinflate. El software legítimo usa algunas de esas mismas funciones, así que la ofuscación por sí sola no prueba que haya malware. Lee el archivo antes de juzgarlo. Más información: cómo eliminar malware.

Falso positivo

Un archivo o comportamiento legítimo marcado como malicioso, por ejemplo el JavaScript minificado de un tema que coincide por casualidad con un patrón usado por malware real. Poner en cuarentena en lugar de borrar hace que los falsos positivos sean baratos de deshacer.

Spam SEO (hackeo farmacéutico)

Páginas inyectadas o enlaces ocultos que promocionan sitios de farmacia, apuestas o similares, a menudo mostrados solo a los rastreadores de búsqueda (cloaking) para que el propietario no los vea. La primera señal suele ser la aparición de páginas de spam en las búsquedas site:tudominio.com. Más información: cómo saber si tu sitio está hackeado.

Tipos de ataque

Inyección SQL

Un ataque que inserta comandos maliciosos de base de datos a través de una entrada que no se saneó correctamente, como un cuadro de comentarios, un campo de búsqueda o un parámetro de URL, para leer, modificar o borrar datos.

Cross-site scripting (XSS)

Un ataque que inyecta JavaScript malicioso en una página que ven otros usuarios. El script se ejecuta en el navegador de la víctima con su sesión, lo que puede usarse para robar cookies o actuar en su nombre.

Vulnerabilidad de día cero

Un fallo de seguridad que se explota o se divulga antes de que el proveedor haya publicado una corrección. Los días cero en plugins populares son peligrosos porque un solo fallo puede afectar a cientos de miles de sitios a la vez.

CVE (Common Vulnerabilities and Exposures)

Un identificador estándar, por ejemplo CVE-2026-XXXXX, asignado a una vulnerabilidad divulgada públicamente para poder rastrearla de forma coherente entre herramientas y avisos.

Plugin «nulled»

Una copia pirata de un plugin de pago con la comprobación de licencia eliminada, normalmente distribuida fuera del mercado oficial. Los plugins «nulled» son una fuente frecuente de malware, porque el crack suele ser la forma de entregarlo.

Infraestructura y refuerzo

Firewall de aplicaciones web (WAF)

Un filtro que inspecciona y bloquea el tráfico malicioso antes de que llegue a tu servidor, normalmente a nivel de DNS o de CDN, o dentro de la aplicación. Un WAF bloquea una amplia clase de patrones de ataque conocidos pero no te dice si algo ya se coló. Más información: ¿necesitas un firewall?.

Parcheo virtual

Una regla de firewall que bloquea la explotación de una vulnerabilidad conocida sin cambiar el código vulnerable, útil como solución provisional cuando todavía no hay una actualización del plugin o no se ha aplicado. Más información: SiftWP frente a Patchstack.

Permisos de archivos

Reglas de estilo Unix, a menudo escritas como números como 644 o 755, que controlan quién puede leer, escribir o ejecutar un archivo en el servidor. Los ajustes demasiado permisivos, como un wp-config.php con escritura para todos, facilitan que un atacante con cualquier punto de apoyo cambie archivos. Más información: los permisos de archivos explicados.

wp-config.php

El archivo de configuración principal de WordPress, que guarda las credenciales de la base de datos y las claves de seguridad. Es uno de los objetivos de mayor valor de una instalación, ya que acceder a él suele significar acceder a todo. Más información: cómo proteger wp-config.php.

Claves de seguridad y salts

Valores aleatorios en wp-config.php que se usan para proteger la información de las cookies de acceso. Rotarlos termina todas las sesiones existentes, incluida la de un atacante, lo cual es un paso útil tras una sospecha de compromiso.

Plugin de uso obligatorio (mu-plugin)

Un plugin colocado en wp-content/mu-plugins que se carga automáticamente y no puede desactivarse desde la lista normal de plugins. Aparece en una pestaña separada de «Must-Use», y los atacantes usan la carpeta como escondite. Más información: cómo eliminar malware.

Prefijo de la base de datos

La cadena, wp_ por defecto, que se añade al inicio de cada nombre de tabla de WordPress. Cambiarla da solo una leve oscuridad. No detendrá un ataque dirigido, pero filtra los intentos automatizados de inyección SQL menos sofisticados.

.htaccess

Un archivo de configuración del servidor Apache que puede restringir el acceso a archivos o carpetas, redirigir peticiones y bloquear patrones de tráfico. Se usa a menudo para proteger wp-config.php, desactivar el listado de directorios o bloquear xmlrpc.php, y también es un lugar habitual para reglas de redirección inyectadas.

XML-RPC

Una API de WordPress (xmlrpc.php) para la publicación remota y otras acciones, históricamente abusada para accesos por fuerza bruta y tráfico DDoS basado en pingbacks. Muchos sitios la desactivan si no usan la publicación remota.

Abuso de la API REST

El mal uso de la API REST integrada de WordPress, por ejemplo listar nombres de usuario mediante el punto de acceso predeterminado /wp-json/wp/v2/users, que luego alimenta un ataque de fuerza bruta o de credential stuffing.

Limitación de tasa

Restringir cuántas peticiones, como intentos de acceso, puede hacer una misma fuente en una ventana de tiempo. Es una de las defensas más simples contra la fuerza bruta, y una de las que más a menudo faltan en una instalación predeterminada de WordPress.

Monitorización de disponibilidad

La comprobación continua de que un sitio es accesible y responde correctamente. No es un control de seguridad en sí mismo, pero una caída repentina es a veces la primera señal de un hackeo, como una portada desfigurada, una base de datos caída o un bucle de redirección.