En un panorama de amenazas globales en crecimiento, la prevención y la vigilancia continua siguen siendo las mejores defensas para garantizar la seguridad y disponibilidad de los sitios web. Según cifras globales del Web Application Firewall (WAF) de WordPress.com, la plataforma de creación web y comercio electrónico propiedad de Automattic, en los últimos doce meses se han bloqueado cerca de 12.000 solicitudes por segundo de tráfico no deseado o malicioso, y 165 peticiones por segundo de ataques potencialmente relacionados con vulnerabilidades de seguridad. En el caso de España, se estima que durante este periodo se bloquearon más de 1.100 millones de solicitudes maliciosas y alrededor de 15,3 millones de intentos de ataque detectados y bloqueados.
Ante este escenario, y con el compromiso de ayudar a los usuarios a proteger sus sitios, WordPress.com ha identificado los principales factores de riesgo que exponen a los sitios web a posibles brechas de seguridad. Aunque el volumen de ciberataques aumentan año tras año, la mayoría de las vulnerabilidades derivan de prácticas evitables o de una gestión deficiente del mantenimiento digital.
Plugins desactualizados y contraseñas débiles
Los plugins y temas desactualizados continúan siendo una de las principales puertas de entrada para los ciberdelincuentes. Según los datos de WordPress.com, una proporción significativa de los intentos de intrusión detectados el último año tuvo su origen en extensiones con vulnerabilidades conocidas o en versiones que no habían sido actualizadas a tiempo. Estas brechas son aprovechadas por atacantes que rastrean la web en busca de componentes obsoletos o poco seguros, lo que subraya la importancia de mantener el software al día y eliminar complementos de dudosa procedencia.
El segundo gran punto débil sigue siendo la gestión de contraseñas. Pese a las herramientas disponibles, muchos usuarios utilizan claves predecibles o repetidas. La falta de autenticación multifactor agrava el problema y multiplica las posibilidades de acceso no autorizado, resultando necesario implementar códigos robustos junto con métodos adicionales de verificación para reforzar la protección del sitio.
Permisos innecesarios y código personalizado inseguro
A las amenazas tradicionales se suman otras que se han extendido recientemente. Una de ellas es la configuración de roles de usuario con permisos excesivos, ya que, cuando los administradores o editores tienen más privilegios de los necesarios, aumentan las posibilidades de explotación si una cuenta se ve comprometida. Para evitarlo, es clave revisar y limitar el acceso según las tareas que realmente necesita realizar cada usuario.
Otra fuente de riesgo creciente es el uso de código personalizado sin medidas de protección adecuadas. Fragmentos de código mal escritos, integraciones con APIs externas o modificaciones directas en los archivos del tema pueden originar brechas difíciles de detectar. Por ello, se aconseja recurrir siempre a desarrolladores de confianza, no insertar código sin revisión previa y usar herramientas de análisis que detecten posibles debilidades antes de ponerlos en producción.
Cómo mejorar la seguridad de la web
Teniendo en cuenta que un sitio seguro influye directamente en la confianza y reputación de las empresas, protegerlo de forma efectiva requiere combinar buenas prácticas cotidianas con soluciones tecnológicas sólidas. Por ello, desde WordPress.com recomiendan actualizar con regularidad el software y plugins instalados, eliminar extensiones innecesarias o de fuentes no oficiales, realizar copias de seguridad periódicas y almacenarlas en entornos seguros, además de contar con contraseñas robustas y autenticación en dos pasos.
Para facilitar el trabajo, las soluciones de seguridad incorporadas en WordPress.com, como copias y actualizaciones automáticas, cifrado de datos y monitoreo constante, permiten que los sitios mantengan la continuidad operativa incluso ante intentos de ataque. De esta forma, tanto grandes corporaciones como proyectos personales pueden enfocarse en la gestión y el contenido de sus sitios, mientras las medidas de seguridad permanecen activas sin necesidad de intervención.
