Evaluación de riesgos de TI para WordPress: método sencillo
Evaluación de riesgos de TI para sitios WordPress: inventario de activos, amenazas, escala 1–3, medidas con responsable y un registro de ejemplo ya relleno.
Melike Görel
Melike Görel escribe las guías de secaudit.eu sobre seguridad de WordPress y cumplimiento normativo europeo para AngelForce OÜ, la empresa de software de Tallin que está detrás de secaudit.eu.
Artículos de Melike Görel
HTTPS en WordPress: contenido mixto y redirecciones
HTTPS en WordPress bien hecho: certificados gratuitos, sustitución segura de URL con WP-CLI, una sola redirección 301, bucles con proxy, contenido mixto y caducidad.
WordPress hackeado otra vez: encuentre la puerta trasera
¿Su WordPress sigue hackeado tras limpiarlo? Encuentre las puertas traseras que sobreviven: auto_prepend_file, mu-plugins, plugins falsos, cron y sitios vecinos.
Enumeración de usuarios en WordPress: REST API y autores
Enumeración de usuarios en WordPress: compruebe qué logins filtra su web por REST API, URL de autor, sitemap y errores de acceso, y aplique correcciones seguras.
Permisos de archivos en WordPress: 644, 755 y propietario
Permisos de archivos en WordPress: qué significan 755 y 644, quién debe ser propietario, comandos seguros para restablecerlos y por qué 777 no arregla las subidas.
Contrato de encargado del tratamiento para agencias web (art. 28)
Cuándo necesita una agencia web un contrato de encargado del tratamiento (art. 28 RGPD): anexo de seguridad, subencargados, incidentes y fin del contrato.
Redirección maliciosa en WordPress: encontrar y eliminar
Redirección maliciosa en WordPress: reprodúzcala con curl y las herramientas de desarrollo, localícela en .htaccess, PHP, base de datos o CDN y evite que vuelva.
Proteger wp-config.php: 10 ajustes que debe revisar
Cómo proteger wp-config.php en 10 revisiones: salts únicos, depuración en producción, FORCE_SSL_ADMIN, permisos, copias olvidadas y edición segura del archivo.
Sellos de seguridad web: qué prueba una insignia y qué no
Qué puede probar un sello de seguridad web y qué no: tipos de sellos, por qué una insignia estática no vale nada, cuatro rasgos de un sello honesto y cómo verificarlo.
Seguridad de roles de usuario en WordPress: limpie admins
Seguridad de roles de usuario en WordPress: localice a cada administrador, elimine accesos obsoletos, revoque contraseñas de aplicación y revise cada trimestre.
Copias de seguridad de WordPress que sí se restauran
Plan de copias de seguridad de WordPress pensado para restaurar: archivos y base de datos, regla 3-2-1 con copia externa inmutable, cifrado y pruebas, art. 32 RGPD.
Cabeceras de seguridad en WordPress: CSP, HSTS y más
Cabeceras de seguridad en WordPress: valores iniciales seguros para HSTS, CSP, Referrer-Policy y Permissions-Policy, dónde configurarlas y cómo evitar fallos.
Protección contra fuerza bruta en WordPress: qué hace un plugin
Protección contra fuerza bruta en WordPress por capas: límite de inicios de sesión, multicall de XML-RPC, enumeración REST y por qué un plugin no frena un DDoS.
PHP2Shell: qué debe hacer ahora si su web usa WordPress
PHP2Shell (CVE-2026-109618, CVE-2026-109619) permite ejecutar código en PHP sin parchear. Compruebe su versión, actualice, reinicie y vigile las señales.
DISALLOW_FILE_EDIT: desactivar el editor de archivos de WordPress
Cómo añadir DISALLOW_FILE_EDIT a wp-config.php, qué no impide y cuándo compensa DISALLOW_FILE_MODS sin romper las actualizaciones de WordPress.
Verificar checksums de WordPress: archivos modificados
Cómo verificar los checksums de WordPress con WP-CLI o la API de WordPress.org, interpretar avisos de archivos modificados o sobrantes y reinstalar el núcleo.
Web shells en WordPress: encontrar y bloquear en uploads
Encuentre web shells en wp-content/uploads con comandos seguros, bloquee la ejecución de PHP en Apache y nginx, revise los permisos y cierre la vía de entrada.
Spam SEO en WordPress: enlaces ocultos de casino y farmacia
Spam SEO en WordPress: localice enlaces ocultos de casino y farmacia, vea lo que ve Googlebot, limpie la base de datos y los archivos y solicite la revisión a Google.
Informe de auditoría de seguridad WordPress: qué pruebas guardar
Cómo montar un informe de auditoría de seguridad de WordPress: seis registros que conservar, qué es una buena evidencia y una plantilla de ejemplo.
WordPress hackeado: 12 señales y cómo comprobarlas
Doce señales de que su WordPress ha sido hackeado, de administradores desconocidos a redirecciones ocultas: cómo comprobar cada una y qué hacer en la primera hora.
Plugins vulnerables en WordPress: auditar, actualizar, sustituir
Cómo gestionar las vulnerabilidades de los plugins de WordPress: inventario, actualizaciones rápidas, borrar lo que no usa o está abandonado y qué hacer si no hay parche.
Artículo 32 del RGPD y WordPress: qué es la «seguridad adecuada»
El artículo 32 del RGPD aplicado a la seguridad de WordPress: cifrado, actualizaciones, control de accesos, copias probadas, análisis periódicos, registros y contratos.
Reglamento de Ciberresiliencia y plugins WordPress: qué hacer
Reglamento de Ciberresiliencia si vende plugins o temas de WordPress: notificaciones desde el 11 de septiembre de 2026, obligaciones de diciembre de 2027 y qué hacer ya.
OWASP Top 10:2025 en WordPress, explicado
El OWASP Top 10:2025 aplicado a WordPress: cómo se ve cada riesgo en plugins, temas y ajustes, y qué pueden comprobar propietarios y desarrolladores.
WordPress hackeado: notificar la brecha del RGPD en 72 horas
¿Han hackeado su WordPress? Cuándo un hackeo es una brecha de datos del RGPD, cuándo empiezan las 72 horas, qué notificar, qué documentar y a quién informar.
NIS2 y su sitio WordPress: ¿le afecta la directiva?
NIS2 y WordPress: compruebe si su empresa, agencia o hosting entra en el ámbito, qué se espera de los proveedores y qué medidas del art. 21 afectan a su sitio.
Google Fonts y RGPD: alojar las fuentes localmente en WordPress
Google Fonts y RGPD: qué resolvió el tribunal de Múnich, por qué el Marco de Privacidad de Datos no zanja la cuestión y cómo detectar y alojar las fuentes en WordPress.
Eliminar malware de WordPress: plan paso a paso
Eliminar malware de WordPress en ocho pasos: contener el sitio, conservar pruebas, hallar el punto de entrada, limpiar desde fuentes fiables, renovar claves y reforzar.
Checklist de seguridad WordPress para empresas de la UE (2026)
Checklist práctica de seguridad WordPress para empresas de la UE: 25 medidas sobre hosting, actualizaciones, 2FA, vigilancia, copias y documentación, según RGPD y NIS2.
Autenticación de dos factores para administradores de WordPress
Cómo configurar la autenticación de dos factores en WordPress: apps TOTP, llaves de acceso, códigos de respaldo, por qué el SMS es más débil, quién la necesita y NIS2.