En resumen: Seguridad de WooCommerce en 13 pasos
La mayoría de las tiendas son asaltadas a través de un agujero que alguien ya conocía. Estos pasos cierran los comunes, aproximadamente en el orden en que los haría.
- Actualiza todo – Los plugins y temas desactualizados son la forma más común de entrar.
- Bloquea el inicio de sesión – Contraseñas seguras, autenticación de dos factores y un limitador de inicio de sesión detienen las adivinaciones de contraseñas.
- Mantén el SSL activado – Cifra lo que los clientes te envían, incluyendo detalles de contacto y pago.
- Deja que Stripe o PayPal guarden los datos de la tarjeta – Te mantiene fuera del alcance de la mayoría de las normas PCI.
- Haz copias de seguridad fuera del sitio – Las copias de seguridad no previenen nada, pero son la forma en que te recuperas.
- Sé consciente de lo que cada paso no hace – Mover tu página de inicio de sesión reduce el ruido de los bots. No detendrá una adivinación de contraseña.
WooCommerce es seguro por defecto, pero eso no significa que tu tienda lo sea. Sin unos cuantos pasos adicionales, todavía puedes acabar con registros falsos, bots atacando tu página de inicio de sesión o tú mismo bloqueado de tu propio panel de administración.
Cuando eso empezó a suceder en una tienda que administraba, no podía averiguar qué me había perdido, porque todo parecía configurado correctamente. Esa es la parte incómoda: una tienda puede parecer completamente normal en la superficie mientras su parte trasera está completamente expuesta.
La seguridad de WooCommerce no es una configuración que se activa. Es un puñado de trabajos pequeños, la mayoría de ellos de unos cinco minutos cada uno.
La pregunta más difícil es cuáles realmente importan, porque un par de los consejos más repetidos te protegen mucho menos de lo que parecen. He sido directo al respecto en cada paso a continuación, y hay una tabla resumen más abajo si quieres la versión corta.
Tabla de Contenidos
- 1. Usa un proveedor de hosting seguro
- 2. Usa siempre SSL (HTTPS)
- 3. Mantén actualizados WordPress, plugins y temas
- 4. Usa contraseñas seguras + autenticación de dos factores
- 5. Limita los intentos de inicio de sesión + añade CAPTCHA
- 6. Instala un plugin de seguridad
- 7. Usa una URL de inicio de sesión de WooCommerce personalizada
- 8. Protege el proceso de pago de tu WooCommerce
- 9. Haz copias de seguridad de tu sitio regularmente
- 10. Establece los roles de usuario correctos
- 11. Oculta wp-admin + deshabilita XML-RPC
- 12. Monitoriza tu sitio en busca de actividad sospechosa
- 13. Comprende el cumplimiento de PCI
- De qué te protege realmente cada paso
- Preguntas frecuentes sobre seguridad en WooCommerce
¿Por qué proteger tu sitio de WooCommerce?
WooCommerce impulsa más de 4 millones de tiendas activas. Ese tipo de popularidad lo convierte en un objetivo común para hackers y bots que buscan puntos débiles.
Si tu tienda no está debidamente protegida, te arriesgas a algo más que dolores de cabeza técnicos. Podrías perder la confianza de los clientes, dejar de vender o incluso que tu sitio sea marcado como inseguro por motores de búsqueda y navegadores.
Los problemas de seguridad pueden provocar pedidos falsos, cuentas bloqueadas y tiempo de inactividad, todo lo cual perjudica tu reputación y tus beneficios.
No tienes que ser un experto en seguridad para proteger tu tienda. Unos cuantos pasos sencillos cierran los agujeros más comunes, y ninguno de ellos necesita código.
Pasos para proteger tu sitio de WooCommerce
No hay una solución de un clic, pero hay un orden que tiene sentido. Sigue la lista y, si te detienes a mitad de camino, aún habrás cerrado los agujeros que realmente se utilizan.
1. Usa un proveedor de hosting seguro
Un buen hosting no se trata solo de velocidad o almacenamiento. Es tu primera capa de seguridad.
Si tu proveedor no ofrece protecciones básicas, todo lo demás que configures estará en riesgo. He visto sitios caerse debido a malware que debería haber sido bloqueado a nivel de servidor, o copias de seguridad que no estaban allí cuando más se necesitaban.
Esto es lo que siempre busco ahora:
- SSL gratuito
- Copias de seguridad diarias externas
- Escaneo de malware
- Cortafuegos activos
He tenido resultados fiables con SiteGround y Bluehost. Se encargan de lo esencial en segundo plano para que puedas centrarte en tu tienda.
Analizo los pros y los contras aquí: cómo elegir alojamiento WordPress
2. Usa siempre SSL (HTTPS)
SSL protege los datos que tus clientes comparten con tu sitio, como contraseñas, información de pago y datos de contacto. Mantiene todo cifrado para que nadie pueda interceptarlo.
La mayoría de los buenos alojamientos incluyen SSL gratuito a través de Let’s Encrypt, pero a veces necesitas activarlo manualmente en tu panel de control de alojamiento. Si eso no funciona, el plugin gratuito Really Simple SSL puede encargarse de ello por ti.
Si no ves un icono de candado en la barra de direcciones de tu navegador, algo no está configurado correctamente y tus visitantes lo notarán.
Algo que vale la pena saber: SSL protege los datos en tránsito, por lo que no hace nada sobre lo que ya está en tu servidor. Es necesario, no suficiente.
3. Mantén actualizados WordPress, plugins y temas
La mayoría de los hackeos ocurren porque algo está desactualizado. Podría ser un plugin, tu tema o incluso WordPress en sí.
Las actualizaciones a menudo incluyen correcciones de seguridad, por lo que omitirlas significa dejar problemas conocidos abiertos para los atacantes.
En las tiendas que he administrado, mantengo las actualizaciones automáticas activadas para WooCommerce, el tema y los plugins de WordPress de los que el sitio realmente depende. Una vez a la semana compruebo que no se haya omitido nada.
Si ya no uso un plugin o tema, lo elimino por completo. Incluso los desactivados pueden suponer un riesgo.
Solo lleva unos minutos, pero marca una gran diferencia para mantener tu sitio seguro.
4. Usa contraseñas seguras + autenticación de dos factores
Las contraseñas débiles son una de las formas más fáciles para que los bots accedan a tu sitio. Si estás usando algo simple o todavía inicias sesión como "admin", es hora de hacer un cambio.
La autenticación de dos factores, o 2FA, añade una capa adicional de seguridad a tu inicio de sesión. Después de introducir tu contraseña, necesitarás proporcionar un segundo código, que normalmente se envía a tu teléfono o correo electrónico.
De esta manera, incluso si un hacker roba tu contraseña, no podrá acceder a tu sitio sin ese segundo paso de verificación. Es una de las mejores maneras de detener el acceso no autorizado y los ataques de fuerza bruta.
Plugins como WP 2FA, Duo y Wordfence Login Security configuran esto en pocos minutos.
Si solo haces una cosa de toda esta lista, la haría esta. La autenticación de dos factores es el único paso aquí que aún te protege después de que tu contraseña ya se haya filtrado, y las contraseñas se filtran a través de las brechas de otras personas, no de las tuyas.
5. Limita los intentos de inicio de sesión + añade CAPTCHA
Los ataques de fuerza bruta ocurren cuando los bots intentan acceder a tu sitio adivinando tu nombre de usuario y contraseña miles de veces. Estos intentos automatizados pueden sobrecargar tu página de inicio de sesión y tener éxito si tus contraseñas son débiles.
Un limitador de inicio de sesión es la solución, y es lo más efectivo de esta lista contra los intentos de adivinar contraseñas, porque les quita la única ventaja real al atacante: poder intentarlo de nuevo. Limit Login Attempts Reloaded es el que veo recomendado con más frecuencia, y bloquea una dirección después de un puñado de fallos.
También añado CAPTCHA a las páginas de inicio de sesión, formularios de pago y formularios de contacto para evitar que los bots creen cuentas falsas o envíen spam.
Cloudflare Turnstile funciona bien porque se ejecuta en segundo plano y no ralentiza a los usuarios reales. WPForms también ofrece CAPTCHA integrado si lo estás utilizando para tus formularios.
No lo notarás mucho, pero filtra silenciosamente la basura antes de que te llegue.
6. Instala un plugin de seguridad
Un buen plugin de seguridad funciona en segundo plano para mantener alejadas las amenazas, incluso cuando no has iniciado sesión. Puede bloquear el tráfico sospechoso, escanear en busca de malware y alertarte si algo parece inusual.
Wordfence, Sucuri y Kadence Security son los tres en los que he pasado más tiempo. Todos tienen niveles gratuitos que cubren escaneo y un firewall, y puedes actualizar más tarde si necesitas más.
Kadence Security merece una nota si has leído guías antiguas, porque es posible que lo conozcas como iThemes Security. Se renombró a Solid Security, luego se trasladó de nuevo, por lo que el nombre en un tutorial de 2023 no es el nombre en el directorio de plugins hoy.
No necesitas todos, solo elige uno y ponlo en funcionamiento. La mayoría de los plugins te guían a través de la configuración con un asistente sencillo, y una vez que está activo, empezarás a ver informes de inicio de sesión, resultados de escaneos y otras actualizaciones útiles.
Para la lista de verificación completa, consulta cómo proteger un sitio de WordPress contra hackers.
7. Usa una URL de inicio de sesión de WooCommerce personalizada
La mayoría de los sitios de WordPress mantienen su inicio de sesión en /wp-login.php o /wp-admin, y todos los bots de Internet conocen ambas direcciones. Mover la tuya a un lugar menos obvio reduce mucho el tráfico basura que lo golpea.
SeedProd es un creador de sitios web de arrastrar y soltar para WordPress, y su modo de página de inicio de sesión te permite diseñar una pantalla de inicio de sesión en una dirección que elijas sin tocar código. En las tiendas que he administrado, el valor real fue cómo se veía: los clientes obtuvieron una página que coincidía con su marca en lugar del gris predeterminado de WordPress.
Mover tu página de inicio de sesión no desactiva la antigua, aunque, y eso resulta importante.
Lo que una página de inicio de sesión de marca no hará: Los visitantes de tu antigua dirección de inicio de sesión son redirigidos a la nueva página, pero esa antigua dirección todavía acepta intentos de inicio de sesión, por lo que un bot puede seguir adivinando contraseñas allí sin encontrar nunca tu nueva página. Comprobé esto en SeedProd Pro 6.20.9, y es deliberado, porque el formulario de inicio de sesión se envía a esa misma dirección y bloquearla también te dejaría fuera.
Por lo tanto, una página de inicio de sesión personalizada vale la pena. Simplemente no es lo que impide que nadie entre, y los dos pasos que realizan ese trabajo son el limitador de inicio de sesión en el paso 5 y la autenticación de dos factores en el paso 4.
Si deseas que el formulario de inicio de sesión desaparezca genuinamente de la antigua dirección, mi guía sobre cómo cambiar la URL de inicio de sesión de administrador de WordPress cubre un método manual que hace eso, además de la ruta de SeedProd.
Marca tu nuevo enlace de inicio de sesión para no perder el acceso.
8. Protege el proceso de pago de tu WooCommerce
La página de pago es donde los clientes comparten su información más sensible. Si parece sospechosa o no inspira confianza, la gente se irá antes de completar su compra.
Quédate con un proveedor de pagos establecido como Stripe o PayPal. Ellos manejan el cifrado y las verificaciones de fraude en sus propios sistemas, lo que significa que los números de tarjeta nunca tocan tu servidor y tú nunca tienes que asegurarlos.
Incluso puedes crear una página de pago personalizada con funcionalidad adicional.
Pero, asegúrate de que tu página de pago:
- Utilice HTTPS
- Incluya insignias de confianza de tu proveedor de pago
- Coincida con el diseño del resto de tu sitio
Evita cualquier redirección o cambio de diseño que pueda hacer que los visitantes duden de la página.
Si estás configurando pagos desde cero, esto te guía a través de la conexión de una pasarela de pago a una página de WordPress.
9. Haz copias de seguridad de tu sitio regularmente
Incluso con una seguridad sólida, las cosas aún pueden salir mal. Una actualización de plugin defectuosa, un error simple o un ataque de malware pueden dejar tu tienda inactiva sin previo aviso.
Por eso las copias de seguridad forman parte de mi configuración de seguridad principal. No espero a que algo se rompa para empezar a hacer copias de seguridad.
Yo uso Duplicator para esto, de forma programada para no tener que recordarlo nunca. Empaqueta los archivos, la base de datos y la configuración en un solo archivo descargable.
Siempre almaceno las copias de seguridad fuera del sitio, como en Google Drive o Dropbox, para que estén seguras incluso si mi servidor de alojamiento tiene problemas.
Para tiendas con mucho tráfico, las copias de seguridad diarias son lo mejor. Los sitios más pequeños o nuevos generalmente pueden arreglárselas con copias de seguridad semanales, siempre que se realicen con regularidad.
Tener una buena copia de seguridad significa que puedes recuperarte rápidamente sin tener que empezar de nuevo.
Para los pasos completos, consulta mi guía sobre cómo hacer una copia de seguridad de tu sitio de WordPress.
10. Establece los roles de usuario correctos
No todo el mundo necesita acceso completo a tu panel de WordPress. Otorgar derechos de administrador a la persona equivocada, incluso por accidente, puede generar problemas graves como contenido eliminado o problemas de seguridad.
En las tiendas que he administrado, Administrador solo se otorgaba a personas de confianza con todo el sitio, y todos los que manejaban pedidos recibían Gestor de Tienda en su lugar.
Les da control sobre pedidos y productos sin permitirles cambiar plugins o configuraciones del sitio. Si alguien solo ayuda con el contenido, el rol de Editor es más adecuado.
WordPress incluye varios roles de usuario por defecto, cada uno con su propio conjunto de permisos. Elegir el correcto desde el principio ayuda a mantener tu sitio más seguro y fácil de gestionar.
Revisa la lista de usuarios cada pocos meses y elimina las cuentas en las que nadie ha iniciado sesión. Una cuenta de administrador inactiva que pertenece a un desarrollador que terminó el trabajo hace dos años es una de las formas más fáciles de entrar en una tienda, y nadie se da cuenta porque nada está roto.
Si quieres ir un paso más allá, puedes proteger con contraseña partes de tu sitio de WordPress para limitar aún más el acceso.
11. Oculta wp-admin + deshabilita XML-RPC
Dos de los objetivos más comunes para los ataques automatizados son la página de inicio de sesión y una función de WordPress llamada XML-RPC.
XML-RPC es un sistema que WordPress utiliza para permitir que las aplicaciones y los servicios se comuniquen con tu sitio de forma remota, como la aplicación móvil de WordPress o el plugin Jetpack. Desafortunadamente, los hackers a menudo lo explotan para sobrecargar tu sitio con solicitudes maliciosas o intentar acceder.
Estos dos merecen ser separados, porque no son la misma magnitud de ganancia. Desactivar XML-RPC cierra una ruta de ataque real, ya que permite a un atacante probar muchas contraseñas en una sola solicitud y puede usarse para inundar tu sitio.
Ocultar el área de inicio de sesión es lo menor de los dos. Silencia el tráfico automatizado, pero como en el paso 7, un bot que sigue intentando contraseñas en tu antigua dirección de inicio de sesión continúa sin verse afectado.
Si usas la aplicación móvil de WordPress o Jetpack, comprueba antes de deshabilitar XML-RPC, porque ambos dependen de él. Cualquiera de los plugins de seguridad en el paso 6 manejará ambas configuraciones con un interruptor, por lo que no necesitas editar archivos.
12. Monitoriza tu sitio en busca de actividad sospechosa
La seguridad no se trata solo de configurar las cosas una vez. Necesitas estar atento a lo que sucede detrás de escena.
Recibo alertas por correo electrónico para eventos importantes como intentos de inicio de sesión fallidos o cambios de archivos. Tanto Wordfence como Sucuri ofrecen esto y te notifican de inmediato si ocurre algo inusual.
También ayuda vigilar tu tráfico. MonsterInsights es un popular plugin de Google Analytics para WordPress que facilita el seguimiento de visitantes. Ayuda a detectar picos repentinos o fuentes de referencia extrañas que podrían indicar ataques de bots o spam.
Como respaldo, ejecuto mi sitio a través de Google Safe Browsing y VirusTotal aproximadamente una vez al mes. Estas herramientas escanean en busca de malware o listas negras para que puedas actuar rápidamente si es necesario.
13. Comprende el cumplimiento de PCI
Si aceptas pagos con tarjeta de crédito, tu tienda debe seguir las reglas de cumplimiento de PCI. Estos estándares protegen los datos de pago y mantienen seguros a los clientes.
Proveedores de pago como Stripe y PayPal cumplen con el Nivel 1 de PCI, lo que significa que asumen la mayoría de los requisitos en tu nombre.
Eso significa que no tienes que almacenar información de pago confidencial en tu sitio, lo que reduce tu riesgo.
Como pequeña tienda, no te preocuparías mucho por PCI, siempre que nunca manejes los números de tarjeta tú mismo. Es en el momento en que instalas algo que captura detalles de la tarjeta en tu propio sitio cuando esto se convierte en un verdadero problema, y esa es la línea que evitaría cruzar.
Extra: Añade una página de Política de Privacidad + Términos
Tener una política de privacidad y una página de términos en tu tienda genera confianza con tus clientes. Demuestra que te tomas en serio sus datos y que sigues las reglas.
La mayoría de los países exigen estas páginas por ley si recopilas información personal o procesas pagos. Incluso si acabas de empezar, añadirlas te protege a ti y a tu negocio.
Puedes crear estas páginas fácilmente usando plantillas o plugins de WordPress, o generarlas con herramientas en línea.
Para una guía fácil para principiantes, consulta mi publicación sobre cómo crear una política de privacidad de WordPress.
De qué te protege realmente cada paso
Las listas de seguridad tienden a presentar cada elemento como igualmente urgente, que es cómo la gente termina haciendo las fáciles y cosméticas y saltándose las dos que importan. Aquí está la versión honesta, incluyendo los pasos que no te protegen de nada en absoluto.
| Paso | Lo que detiene | Lo que no detiene |
|---|---|---|
| 1. Alojamiento seguro | Malware a nivel de servidor y mucho tráfico malo antes de que llegue a WordPress | Cualquier cosa que llegue a través de un inicio de sesión válido |
| 2. SSL (HTTPS) | Cualquiera que lea datos de clientes mientras viajan | Cualquier cosa que ya esté en tu servidor |
| 3. Actualizaciones | Ataques a agujeros de conocimiento público y ya parcheados | Contraseñas débiles y cualquier cosa que aún no esté parcheada |
| 4. Contraseñas + 2FA | Inicios de sesión que usan una contraseña adivinada o robada | Código de plugin vulnerable |
| 5. Limitador de inicio de sesión + CAPTCHA | Adivinación de contraseñas a granel, registros falsos, spam en formularios | Alguien que ya tiene la contraseña correcta |
| 6. Plugin de seguridad | Tráfico conocido como malicioso y te dice cuándo cambian los archivos | No es una copia de seguridad |
| 7. Página de inicio de sesión personalizada | Mucho tráfico de bots y parece tu marca | Adivinación de contraseñas en tu antigua dirección de inicio de sesión |
| 8. Stripe o PayPal al pagar | Tú, sosteniendo números de tarjeta en absoluto | Alguien que se apodera de la cuenta de un cliente |
| 9. Copias de seguridad | Nada. Así es como te recuperas después | Cualquier ataque, nunca |
| 10. Roles de usuario | Daños accidentales y acceso más amplio de lo necesario para el trabajo | Ataques desde el exterior |
| 11. Desactivar XML-RPC | Intentos de contraseñas múltiples por solicitud y una ruta de inundación | Adivinación de contraseñas ordinaria en el formulario de inicio de sesión |
| 12. Monitorización | Nada. Acorta el tiempo que un problema pasa desapercibido | Cualquier ataque |
| 13. Cumplimiento de PCI | Responsabilidad por retener los datos de la tarjeta usted mismo | Es un conjunto de reglas, no un control técnico |
Lee la tercera columna y el orden de prioridad se resuelve solo. Los pasos 3, 4 y 5 son los que hacen el trabajo pesado, y si solo tienes veinte minutos esta semana, dedícalos ahí.
Preguntas frecuentes sobre seguridad en WooCommerce
¿Es WooCommerce seguro de usar?
Sí. WooCommerce es mantenido por Automattic, los parches de seguridad se envían rápidamente y el plugin principal rara vez es la causa de que una tienda se vea comprometida. Los puntos débiles casi siempre están alrededor: una extensión desactualizada, una contraseña de administrador reutilizada o un host sin cortafuegos.
¿Cuál es el mejor plugin de seguridad para WooCommerce?
No hay una sola respuesta, y Wordfence, Sucuri o Kadence Security cubrirán lo básico en una tienda pequeña. Elige según cuánto quieras pensar en ello, porque Wordfence te da más detalles para leer mientras que Sucuri filtra el tráfico en su propia red primero. Ejecutar dos a la vez causa más problemas que soluciones.
¿Cifra WooCommerce los datos del cliente?
No por sí solo. WooCommerce almacena nombres, direcciones e historial de pedidos en tu base de datos como texto normal, por lo que SSL protege esos datos mientras viajan y tu hosting y tus inicios de sesión los protegen en reposo. Los números de tarjeta son la excepción, porque Stripe y PayPal los guardan y tu tienda nunca los recibe.
¿Cómo sé si mi sitio WooCommerce ha sido hackeado?
Busca cambios en el contenido por sí solo, una caída repentina en el tráfico de búsqueda, cuentas de usuario que no creaste o clientes que informan de advertencias del navegador. Las alertas de cambio de archivos de tu plugin de seguridad suelen notarlo antes que tú, que es la razón principal para activarlas.
¿Puedo asegurar mi tienda WooCommerce sin plugins?
En parte. Contraseñas seguras, roles de usuario correctos, un hosting decente y un certificado SSL no necesitan plugins y cierran la mayoría de las vulnerabilidades comunes. El escaneo de malware, las reglas del cortafuegos y la limitación de inicios de sesión son las partes que son realmente difíciles de hacer manualmente, por lo que la mayoría de las tiendas terminan con un plugin que cubre esos tres trabajos.
Consejos finales para mantener tu tienda segura
Nada de esto necesita un especialista, y no tienes que hacer los trece esta tarde. Si tuviera que elegir tres, serían las actualizaciones, un limitador de inicio de sesión y la autenticación de dos factores, porque entre ellos cubren la mayor parte del riesgo que realmente se materializa.
Si quieres que las páginas de inicio de sesión y de pago coincidan con el resto de tu tienda, puedes crear ambas en SeedProd hoy mismo sin editar un solo archivo.
Mientras estás aquí, también puedes encontrar útiles las siguientes guías de WooCommerce:
- Principales errores que cometen los principiantes al crear sitios de WordPress
- Las 10 mejores herramientas de SEO on-page para WordPress
- Cómo personalizar tu página de tienda WooCommerce (sin código)
¡Gracias por leer! Nos encantaría conocer tu opinión, así que únete a la conversación en YouTube, X y Facebook para obtener más consejos y contenido útil para hacer crecer tu negocio.
