Ficha Técnica
| Dato | Detalle |
|---|---|
| Plugin | Kadence Security – Password, Two Factor Authentication, and Brute Force Protection (antes iThemes Security y Solid Security), desarrollado por Nexcess (StellarWP). |
| Instalaciones activas | Más de 700.000, según la ficha oficial en WordPress.org. |
| Valoración | Aproximadamente 4,6 de 5 estrellas, con más de 4.000 reseñas. |
| Modelo | Freemium: plugin gratuito en WordPress.org y versión Pro incluida en los planes de Kadence. |
| Ideal para | Blogs, webs corporativas, tiendas y sitios con varios usuarios que necesitan reforzar el acceso y aplicar buenas prácticas de seguridad sin tocar código. |
| Compatibilidad | Según la ficha, requiere WordPress 6.5 y PHP 7.4 como mínimo, y un servidor Apache o LiteSpeed con mod_rewrite, o NGINX. Se recomienda la última versión de WordPress y PHP 8.2 o superior. |
| Última actualización | Versión 10.0.6, publicada el 14 de octubre de 2026 y probada con WordPress 7.1, según la ficha oficial. |
| Enlace oficial | Ficha del plugin en WordPress.org |
¿Qué problema resuelve este plugin?
Imagina una casa con buenas cerraduras, pero con la llave de repuesto bajo el felpudo, una ventana del baño que no cierra y una lista con los nombres de todos los habitantes pegada en la puerta. Nadie necesita forzar nada: basta con conocer los descuidos. Muchos sitios WordPress están así, no por falta de un antivirus, sino por configuraciones débiles que nadie revisó.
El problema técnico es que una instalación estándar de WordPress deja abiertas varias puertas por comodidad. El editor de archivos de temas y plugins está activo en el escritorio, la carpeta de subidas permite ejecutar PHP en muchos servidores, XML-RPC acepta intentos de acceso masivos, los nombres de usuario se pueden descubrir con facilidad y nada impide que un administrador use “123456” como contraseña. Los ataques de fuerza bruta aprovechan justamente eso: prueban miles de combinaciones por hora contra el formulario de acceso.
Cuando un atacante consigue entrar con una cuenta de administrador, ya no necesita explotar ninguna vulnerabilidad: puede instalar un plugin malicioso, crear usuarios ocultos o inyectar spam. Las consecuencias habituales son:
- Cuentas comprometidas por contraseñas débiles o reutilizadas.
- Servidor saturado por intentos de acceso automatizados.
- Plugins vulnerables sin actualizar durante semanas.
- Cambios en archivos que nadie detecta hasta que Google marca el sitio como peligroso.
Kadence Security aborda el problema desde el endurecimiento (hardening) y la protección del acceso. Un asistente inicial aplica una configuración según el tipo de sitio, bloquea IP tras intentos fallidos, comparte información con una red de casi un millón de sitios para frenar atacantes conocidos, añade autenticación en dos pasos y aplica ajustes que cierran puertas innecesarias. Su enfoque es más preventivo que el de un firewall clásico: menos bloqueo de tráfico y más orden en la configuración.
Explotando la Versión Lite (Gratis al 100%)
La versión gratuita es amplia y suficiente para aplicar buenas prácticas en la mayoría de los sitios. Al activarla, un asistente te pide elegir una de seis plantillas de seguridad (comercio electrónico, red o comunidad, organización sin fines de lucro, blog, portafolio o web informativa) y definir grupos de usuarios, para aplicar a cada rol el nivel de seguridad que necesita.
Protección contra fuerza bruta local y en red
La protección local bloquea una IP o un usuario tras varios intentos fallidos. La protección en red (Network Brute Force) comparte con la red del desarrollador las IP que atacan otros sitios, de modo que se bloquean en el tuyo antes de que lo intenten. Para activarla solo pide un correo.
Autenticación en dos pasos y requisitos de contraseña
Permite activar 2FA con aplicaciones como Authy o Google Authenticator, códigos por correo o códigos de respaldo, exigirla por grupo de usuarios definir una política de contraseñas en menos de un minuto y rechazar contraseñas comprometidas en filtraciones conocidas.
Escaneo del sitio
El Site Scan revisa hasta cuatro veces al día si el núcleo, los plugins y los temas tienen vulnerabilidades conocidas, priorizadas con la puntuación de Patchstack, y consulta la API de Google Safe Browsing para saber si Google detectó malware en tu web. No es un antivirus que analice cada archivo del servidor, sino un control orientado a riesgos conocidos.
Ajustes de endurecimiento
Incluye ajustes para desactivar el editor de archivos, bloquear la ejecución de PHP en la carpeta de subidas y restringir XML-RPC y la API REST, además de herramientas avanzadas: ocultar la URL de acceso, forzar SSL, cambiar el prefijo de la base de datos, cambiar el ID del usuario 1, renovar las claves (salts) de WordPress y revisar los permisos de archivos.
Detección de cambios en archivos y registro de bloqueos
Registra los cambios en archivos del sitio, permite prohibir IP de forma permanente y crea copias de la base de datos programadas que puede enviar por correo. Ojo: no son copias completas del sitio.
Limitaciones reales de la versión gratuita:
- No incluye parches virtuales para vulnerabilidades sin corregir, que en la versión Pro protegen mientras llega la actualización oficial.
- No ofrece inicio de sesión sin contraseña, dispositivos de confianza ni enlaces mágicos para entrar mientras tu usuario está bloqueado.
- No incluye reCAPTCHA en los formularios de acceso y registro.
- No incluye la gestión de versiones, el registro de actividad de usuarios ni el escaneo cada hora.
- No es un escáner de malware profundo de archivos; conviene combinarlo con copias de seguridad y monitoreo.
- El soporte se limita a los foros públicos.
Guía de Configuración Paso a Paso (Ajustes Imprescindibles)
Antes de empezar, haz una copia de seguridad completa. Algunos ajustes modifican los archivos .htaccess y wp-config.php.
Paso 1. Instala el plugin y completa el asistente
Ve a Plugins → Añadir plugin, busca “Kadence Security”, instálalo y actívalo. Abre el menú Seguridad y responde el asistente: elige el tipo de web (comercio electrónico, red, sin ánimo de lucro, blog, porfolio o catálogo), define los grupos de usuarios y acepta la configuración recomendada.
Paso 2. Configura la detección de IP y los bloqueos
Si el plugin muestra el aviso de que no se ha configurado la detección de IP, atiéndelo primero: sin ese ajuste, varias protecciones quedan desactivadas. Ve a Seguridad → Ajustes → Ajustes globales, sección Detección de IPs, y elige el método adecuado; si usas Cloudflare u otro proxy, revísalo con tu hosting. En la misma pantalla, la sección Bloqueos trae 15 minutos de bloqueo por defecto, un valor recomendable. Activa Bloquear a reincidentes y usa Autorizar mi dirección IP solo si tu IP es fija.
Paso 3. Activa la protección contra fuerza bruta
En Seguridad → Ajustes → Características, revisa Fuerza bruta local: por defecto bloquea tras 5 intentos fallidos por IP o 10 por usuario en un periodo de 5 minutos, valores equilibrados para casi cualquier sitio. Activa también Ataque de fuerza bruta en red con tu correo, para bloquear IP que ya atacaron otros sitios de la red. En la misma sección, deja activo Rechazar contraseñas comprometidas y define los Requisitos de contraseñas para los grupos con más privilegios.
Paso 4. Exige autenticación en dos pasos
En Características, activa Dos factores con sus tres métodos: aplicación de autenticación, correo y códigos de respaldo. Desde Seguridad → Ajustes → Grupos de usuarios, exige 2FA al menos a administradores y editores. Luego ve a Usuarios → Perfil, configura tu propio segundo factor y guarda los códigos de respaldo fuera del sitio.
Paso 5. Aplica los ajustes de endurecimiento
En Seguridad → Ajustes → Avanzado encontrarás Ajustes del sistema y Ajustes de WordPress. Revisa que estén activos el bloqueo de PHP en la carpeta de subidas y la protección de archivos sensibles, y luego:
- Desactiva el editor de archivos del escritorio.
- Desactiva XML-RPC si no usas la aplicación móvil ni Jetpack.
- Restringe la API REST para que no exponga datos a visitantes anónimos.
Aplica estos cambios de uno en uno y revisa el sitio después de cada uno, porque algunas integraciones dependen de XML-RPC o de la API REST. En la misma pestaña está Ocultar escritorio, que cambia la URL de acceso: reduce el ruido de los bots, pero no sustituye la 2FA.
Paso 6. Activa la exploración programada y los avisos
En Características, activa Exploración del sitio programada y Cambio en archivos, que vienen desactivados en la versión gratuita. Después, en Seguridad → Ajustes → Avisos, indica un correo que revises a diario y deja activos los avisos de bloqueos, vulnerabilidades y cambios de archivos.
Verificación práctica
En una ventana privada, intenta entrar con una contraseña incorrecta varias veces y confirma que el bloqueo aparece en Seguridad → Cortafuegos y en Seguridad → Registros. Después entra con tu usuario y verifica que se solicita el código 2FA. Por último, revisa Seguridad → Vulnerabilidades y ejecuta un análisis desde Exploraciones del sitio.
Desbloqueando la Versión Pro: Funciones clave
Según el equipo del plugin en los foros de WordPress.org, Kadence Security Pro ya no se vende por separado: se incluye en los paquetes de Kadence, junto con otras herramientas. Precio sujeto a cambios; consultar web oficial.
| Función Premium | Beneficio | ¿Para quién conviene? |
|---|---|---|
| Parches virtuales de vulnerabilidades | Bloquea intentos de explotar fallos conocidos en plugins y temas aunque todavía no exista una actualización oficial. | Sitios con muchos plugins de terceros, tiendas y membresías. |
| Inicio sin contraseña y dispositivos de confianza | Permite entrar con un clic de forma segura y limita los privilegios de administrador a dispositivos conocidos, lo que frena el secuestro de sesiones. | Equipos con varios administradores o editores. |
| Gestión de versiones | Actualiza automáticamente WordPress, plugins y temas, aplica el parche cuando el escaneo detecta software vulnerable y endurece el sitio si usas versiones antiguas. | Quien no puede revisar el sitio a diario. |
| reCAPTCHA en acceso y registro | Frena bots en formularios de inicio de sesión, registro y recuperación de contraseña. | Sitios con registro abierto, comunidades y LMS. |
| Panel en tiempo real y registro de usuarios | Reúne ataques, bloqueos y resultados del escaneo, y registra accesos, cambios de plugins, temas y contenido. | Agencias y responsables de varios sitios. |
| Escalada temporal de privilegios | Da acceso de administrador temporal y seguro, por ejemplo a un desarrollador externo, sin crear cuentas permanentes. | Negocios que contratan soporte externo y agencias. |
La función que más justifica el pago son los parches virtuales de Patchstack. Entre el día en que se publica una vulnerabilidad y el día en que el autor del plugin libera la corrección pueden pasar días o semanas, y en ese intervalo los bots ya buscan sitios vulnerables. La versión Pro bloquea ese intento concreto mientras tanto, sin que tengas que desactivar el plugin afectado ni perder funciones del sitio.
Veredicto Final: ¿Qué versión necesitas tú?
Kadence Security es un buen plugin de seguridad para WordPress si buscas orden y prevención más que un firewall de aplicación:
| Tu perfil de proyecto | Versión recomendada | ¿Por qué? |
|---|---|---|
| Blog personal, web corporativa pequeña o sitio con bajo tráfico | Versión gratuita | Fuerza bruta, 2FA, endurecimiento y escaneo básico cubren los riesgos más comunes sin costo. |
| Tienda online, membresías, LMS o web que recibe pagos | Versión Pro dentro de un plan de Kadence | Los parches virtuales y la gestión de versiones reducen la exposición en sitios con muchos plugins y datos de clientes. |
| Agencia, e-commerce avanzado, proyecto de alto tráfico o sitio con información sensible | Pro, combinado con un firewall en la nube | Aporta control de usuarios y parches, pero conviene sumar un WAF externo, monitoreo y copias de seguridad fuera del servidor. |
Recomendación final: si todavía no tienes ningún plugin de seguridad, la versión gratuita de Kadence Security es una forma rápida de cerrar las puertas más obvias. No la combines con otro plugin de seguridad completo como Wordfence, porque las funciones se pisan. Si tu sitio genera ingresos, evalúa la versión Pro por sus parches virtuales.
Preguntas Frecuentes (FAQ)
¿Kadence Security hace más lento mi WordPress?
En general, no de forma apreciable. La mayoría de sus funciones actúan al iniciar sesión o se ejecutan como tareas programadas, no en cada visita. El punto que más recursos consume es la detección de cambios en archivos en sitios con muchas imágenes o carpetas de caché; excluir esas carpetas y programar el escaneo en horas de poco tráfico suele resolverlo sin perder protección.
¿Es seguro usar Kadence Security?
Sí. Es un plugin con muchos años de historia, primero como iThemes Security y luego como Solid Security, con más de 700.000 instalaciones y mantenimiento activo por parte de Nexcess. Como cualquier software, publica parches de seguridad de vez en cuando, por lo que debes mantenerlo actualizado. Descárgalo siempre desde WordPress.org o desde la cuenta oficial del desarrollador.
¿Funciona con WooCommerce, LearnDash y plugins de caché?
Funciona bien con WooCommerce, LearnDash y los plugins de caché más conocidos. Los conflictos suelen venir de ajustes de endurecimiento: restringir la API REST o desactivar XML-RPC puede afectar a aplicaciones móviles, Jetpack o integraciones externas. Lo que no conviene es usarlo junto con otro plugin de seguridad completo, porque duplican bloqueos y es difícil saber cuál causa un error.
¿La versión gratuita es suficiente?
Para blogs y webs pequeñas, sí. La protección contra fuerza bruta, la 2FA, los requisitos de contraseña y los ajustes de endurecimiento resuelven la mayoría de los riesgos reales. Complementa la versión gratuita con copias de seguridad automáticas fuera del servidor y con actualizaciones frecuentes de plugins y temas, que siguen siendo la defensa más eficaz.
¿Cuándo conviene pagar la versión Pro?
Cuando el sitio recibe pagos, guarda datos personales o usa muchos plugins de terceros. Los parches virtuales protegen ante vulnerabilidades sin corregir, y la gestión de versiones actualiza lo vulnerable sin esperar a que entres al escritorio. También compensa en equipos con varios usuarios, gracias al inicio sin contraseña y a los dispositivos de confianza.
¿Por qué ya no encuentro Solid Security?
Es la confusión más habitual. El plugin se llamó iThemes Security, pasó a Solid Security en 2023 y luego se integró en la marca Kadence, de Nexcess. Si buscas “Solid Security” en el instalador y no aparece, busca “Kadence Security”: es el mismo plugin, con el mismo identificador y tus ajustes intactos.
