Lista de verificación de seguridad de WordPress para 2026

Actualizaciones

• ✓El núcleo de WordPress está en la última versión.
• ✓Todos los plugins y temas instalados están actualizados — incluidos los que desactivaste pero no borraste.
• ✓La versión de PHP está actualizada y es compatible con tus plugins/temas (una versión de PHP desactualizada es en sí misma un riesgo de seguridad).

Protección del admin

• ✓Cada cuenta de administrador usa una contraseña única y fuerte (no compartida con ningún otro sitio).
• ✓No existen cuentas de administrador/editor sin usar o no reconocidas.
• ✓El nombre de usuario "admin" por defecto no está en uso.
• ✓Los intentos de inicio de sesión están limitados o protegidos de otra forma contra ataques de fuerza bruta.

Oculta tu login

• ✓wp-login.php / wp-admin no está en una URL predecible por defecto — un plugin para ocultar el login (o equivalente) lo mueve a un lugar que solo tú conoces.
• ✓Conoces la URL real y actual de inicio de sesión de tu sitio — vale la pena verificarlo, ya que algunas configuraciones de ocultar login se desconfiguran después de una actualización.

Backups

• ✓Tienes un backup completo reciente — archivos y base de datos — almacenado fuera del mismo servidor que tu sitio.
• ✓Los backups se ejecutan automáticamente, no solo cuando te acuerdas de hacerlos.
• ✓Confirmaste realmente que un backup se puede restaurar, no solo que existe.

Escaneos de malware

• ✓Ejecutas un escaneo de seguridad regularmente, no solo cuando algo parece estar mal.
• ✓El escaneo cubre toda tu cuenta de hosting, no solo la carpeta de WordPress — el malware colocado en otro lugar del hosting compartido puede reinfectar tu sitio.
• ✓No estás usando plugins o temas premium nulled (piratas) — una fuente común de backdoors.
• ✓El monitoreo está activo, así te alertamos de un problema nuevo en lugar de que lo descubras semanas después.

Every item on this list is something WP Clinic's free scan and free plugin directly check for — outdated core/plugins/CVEs and your real login URL from the passive scan, and malware/webshells/nulled plugins/backups/monitoring from the deep scan.