Cómo Securizar un Servidor WordPress (Sin depender de plugins)

Cuando montas una página web con WordPress en tu propio servidor VPS, te das cuenta rápidamente de un problema: los intentos de hackeo empiezan a los pocos minutos de apuntar tu dominio. El usuario promedio intenta solucionar esto instalando pesados "plugins de seguridad" que ralentizan la carga de la web.

En Guía SysAdmin aplicamos la seguridad desde las trincheras: a nivel de servidor y archivos de configuración. Vamos a blindar tu WordPress en 4 pasos esenciales de infraestructura para que sea impenetrable ante ataques automatizados.

Paso 1: Desactivar la edición de archivos desde el panel

Si un atacante logra adivinar tu contraseña de administrador, lo primero que hará será ir a Apariencia > Editor de archivos para inyectar código malicioso en tu plantilla. Vamos a cortarle las manos desactivando esta función de raíz.

Accede por SSH a tu servidor, edita el archivo maestro de WordPress:

sudo nano /var/www/html/wp-config.php

Añade esta línea justo antes de donde dice "¡Eso es todo, deja de editar!":

define( 'DISALLOW_FILE_EDIT', true );

Paso 2: Corregir los permisos de archivos en Linux

Un error clásico es dejar los archivos de la web con permisos totales (777), lo que permite a cualquier usuario del servidor modificarlos. Los permisos correctos dictan que los directorios deben ser 755 y los archivos 644.

Ejecuta estos dos comandos en la terminal apuntando a tu carpeta de WordPress:

sudo find /var/www/html/ -type d -exec chmod 755 {} \;
sudo find /var/www/html/ -type f -exec chmod 644 {} \;

Además, vamos a blindar el archivo más crítico (wp-config.php, que contiene las contraseñas de tu base de datos) para que solo el propietario pueda leerlo:

sudo chmod 440 /var/www/html/wp-config.php

Paso 3: Bloquear ataques de fuerza bruta a XML-RPC

El archivo xmlrpc.php es una función antigua de WordPress que los bots utilizan masivamente para probar miles de contraseñas por segundo. Si usas Apache como servidor web, vamos a bloquear el acceso a este archivo directamente desde el .htaccess.

Edita tu archivo .htaccess y añade este bloque de código al principio:

# Bloquear acceso a xmlrpc.php
<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

Paso 4: Ocultar la versión de tu WordPress

Por defecto, WordPress anuncia al mundo qué versión estás usando a través de una etiqueta meta en el código fuente. Si usas una versión desactualizada, le estás diciendo al hacker exactamente qué vulnerabilidad usar.

Ve al archivo functions.php de tu tema activo (idealmente un tema hijo) y añade esta línea para silenciar esa fuga de información:

remove_action('wp_head', 'wp_generator');

---

Con estas 4 configuraciones a nivel de servidor, has eliminado más del 90% de los vectores de ataque automatizados sin instalar ni un solo plugin extra. Tu infraestructura web ahora es mucho más ligera y segura.