La Seguridad del Hosting Es Compartida: Qué Nos Toca y Qué Le Toca
La mayoría de los WordPress hackeados no se vulneran por el servidor. Entran por la puerta principal: una contraseña adivinada o filtrada, una cuenta de administrador que nadie recuerda haber creado, o un plugin que no se actualiza hace dos años.
No es un reclamo a los dueños de sitios. Así funciona la seguridad en cualquier plataforma de hosting. Algunas capas le tocan al proveedor y otras a quien tiene los accesos. Saber dónde está la línea es la mayor parte del trabajo.
De qué es responsable el proveedor de hosting
En una plataforma administrada, el lado del servidor le toca al proveedor:
- El sistema operativo y el software del servidor — parchados y al día
- El firewall de aplicaciones web — bloquea patrones de ataque conocidos antes de que lleguen a su sitio
- El escaneo de malware — detecta archivos infectados y los limpia
- La protección a nivel de red — límites contra fuerza bruta, filtro de bots maliciosos
- Los certificados SSL — emitidos y renovados automáticamente
- El aislamiento — el problema de una cuenta no se pasa a la siguiente
En HOSTEMCLOUD, eso es Imunify360 funcionando en cada servidor, certificados automáticos en cada dominio y monitoreo 24/7.
Lo que le toca a usted
El proveedor no puede ver sus contraseñas ni decidir quién debe ser administrador. Esto es suyo:
- Los accesos — el admin de WordPress, cPanel, su correo, su registrador de dominio
- Quién tiene acceso — colaboradores, freelancers, agencias anteriores
- El software de su sitio — los temas y plugins que decidió instalar (salvo que su plan incluya administrarlos)
- Lo que instala — los plugins premium “nulled” de sitios no oficiales son una de las fuentes más comunes de malware
Nada de esto toma mucho tiempo. Todo importa más que cualquier configuración del servidor.
Cuatro cosas para hacer hoy
1. Active la verificación en dos pasos (2FA). En el admin de WordPress, cPanel, el correo y el registrador de dominio. Con eso, una contraseña robada ya no alcanza. Si solo va a hacer una cosa de esta lista, que sea esta.
2. Use un gestor de contraseñas y contraseñas únicas. Las contraseñas repetidas son como una filtración en otro lado se convierte en una entrada aquí. Un gestor de contraseñas hace que usar contraseñas largas y únicas no cueste nada.
3. Limpie los usuarios. Entre a Usuarios en WordPress. Elimine a quien ya no necesite acceso y asegúrese de que nadie sea Administrador si solo necesita ser Editor. Ya que está ahí, si alguna cuenta se llama literalmente admin, reemplácela — es el primer usuario que prueba cualquier bot.
4. Borre los plugins y temas que no usa. Desactivarlos no basta. Los archivos de un plugin desactivado siguen en el servidor y se pueden explotar igual. Si no lo usa, bórrelo.
Donde se cruzan
Algunas cosas quedan en medio. Los respaldos los hace el proveedor, pero conviene que sepa cómo pedir una restauración antes de necesitarla. Las actualizaciones de WordPress y los plugins se pueden automatizar, pero alguien debería revisar el sitio después (más sobre eso en cómo actualizar WordPress sin romper su sitio). Si no sabe a quién le toca algo, pregunte. Es mucho mejor tener esa conversación antes de un incidente.
Si algo sale mal
Todo plan UNITY incluye recuperación por hackeo: si su sitio se ve comprometido, lo limpiamos. Pero la recuperación arregla el daño; no cierra la puerta abierta. Después de cualquier incidente, los cuatro pasos de arriba siguen siendo lo primero — si no, la misma contraseña deja entrar otra vez al mismo atacante. Estas son las señales tempranas de un sitio comprometido.
Preguntas frecuentes
¿La seguridad no es trabajo del proveedor de hosting?
En parte. El proveedor protege el servidor. Nadie más que usted puede proteger sus contraseñas y decidir quién tiene acceso.
¿Qué método de 2FA debo usar?
Una app de autenticación es el mejor balance entre seguridad y comodidad. El SMS es mejor que nada, pero más débil.
¿Necesito un plugin de seguridad si mi hosting tiene firewall?
Normalmente no para escaneo ni firewall, porque eso ya corre a nivel de servidor. Un plugin pequeño para agregar 2FA al inicio de sesión de WordPress sí vale la pena.
¿Quiere un hosting donde el lado del servidor ya esté resuelto? Empiece con UNITY.