Si alguna vez instalaste un plugin que registra los accesos fallidos, quizás te asustaste: cientos o miles de intentos de entrar a tu sitio con usuarios como admin, administrador o el nombre de tu dominio. Tranquilidad: no te están atacando a ti en particular. Son programas automáticos que recorren internet probando contraseñas en todos los WordPress que encuentran.
Eso se llama ataque de fuerza bruta. Casi nunca funciona si tomas unas pocas medidas, pero sí consume recursos de tu servidor y puede ponerlo lento.
Por dónde entran
wp-login.php: la página de acceso normal de WordPress.xmlrpc.php: una forma antigua de que otras aplicaciones se conecten a WordPress. Permite probar muchas contraseñas en una sola petición, por eso es la favorita de los atacantes.
Cómo saber si te está pasando
Opción fácil: con un plugin
Plugins como Limit Login Attempts Reloaded o el módulo de seguridad de Wordfence muestran cuántos intentos fallidos hubo, desde qué IP y con qué usuario.
Opción cPanel: los registros de acceso
- En cPanel, busca Métricas → Acceso sin procesar (Raw Access) y descarga el registro de tu dominio.
- Ábrelo con un editor de texto y busca
POST /wp-login.phpyPOST /xmlrpc.php. - Si aparecen cientos de veces en un día, desde IPs que no son tuyas, estás recibiendo intentos de fuerza bruta.
Las medidas, de la más importante a la menos
1. Contraseñas largas y únicas
Es lo que de verdad te protege. Una contraseña de 16 caracteres al azar, guardada en un gestor de contraseñas, no se adivina por fuerza bruta. Cambia hoy cualquier contraseña corta o repetida de usuarios administradores y editores.
2. No uses «admin» como nombre de usuario
Es el primero que prueban. Si tu administrador se llama así, crea un usuario nuevo con rol de Administrador y otro nombre, entra con él y borra el usuario admin, atribuyendo su contenido al nuevo usuario cuando WordPress te lo pregunte.
3. Activa la verificación en dos pasos (2FA)
Con un plugin como Two Factor o el 2FA de Wordfence, además de la contraseña necesitas un código de una aplicación en tu celular. Aunque alguien adivine la contraseña, no entra.
4. Limita los intentos de acceso
Con Limit Login Attempts Reloaded (o tu plugin de seguridad), tras unos pocos intentos fallidos la IP queda bloqueada un tiempo. Ojo en sitios con foro: no lo dejes demasiado estricto o bloquearás a usuarios reales que olvidaron su contraseña.
5. Bloquea xmlrpc.php si no lo usas
Hoy casi nadie lo necesita. Las excepciones más comunes son Jetpack y algunas aplicaciones móviles antiguas. Si no usas nada de eso, puedes bloquearlo agregando esto al principio del archivo .htaccess de tu sitio (en el Administrador de archivos de cPanel, dentro de public_html, con «Mostrar archivos ocultos» activado):
<Files xmlrpc.php>
Require all denied
</Files>Antes de editar .htaccess, descarga una copia. Si el sitio deja de cargar, vuelve a subir la copia y listo.
Si prefieres no tocar archivos, muchos plugins de seguridad tienen una casilla para desactivar XML-RPC.
6. Si usas Cloudflare: un desafío en la puerta
En Cloudflare puedes crear una regla en Security → WAF → Custom rules que muestre un desafío (Managed Challenge) a quien visite /wp-login.php o /xmlrpc.php. Las personas lo pasan sin darse cuenta o con un clic; los programas automáticos se quedan afuera y ni siquiera llegan a tu servidor.
Lo que no hace falta
- Bloquear IPs a mano una por una: los ataques vienen de miles de IPs distintas. Es una pelea perdida.
- Instalar tres plugins de seguridad: se pisan entre sí y ponen lento el sitio. Uno bien configurado basta.
- Entrar en pánico por los números: mientras tus contraseñas sean fuertes y tengas 2FA, esos intentos son solo ruido.
Resumen
- Contraseñas largas y únicas, con gestor de contraseñas.
- Nada de usuario «admin».
- Verificación en dos pasos para administradores.
- Límite de intentos de acceso.
- xmlrpc.php bloqueado si no lo usas.
¿Tu plugin de seguridad muestra ataques y no sabes si preocuparte? Comparte una captura en el foro (tapa tu IP y tus usuarios) y te ayudamos a interpretarla.
