Usar la IA para proteger tu WordPress: en qué te ayuda de verdad y dónde no confiar

Los asistentes de IA son muy buenos leyendo grandes cantidades de texto técnico y explicándolo en simple. En seguridad eso vale oro: registros del servidor, alertas, código de plugins. Pero no ven tu servidor, no saben qué hay instalado y, cuando no saben algo, a veces lo inventan con total seguridad.

Usada como analista que te ayuda a entender y a decidir, es una gran herramienta. Usada como guardia al que le entregas las llaves, es un riesgo.

Cinco usos que sí funcionan

1. Entender una alerta de vulnerabilidad

Pega el texto de la alerta y pregunta:

Tengo un sitio WordPress con este plugin en la versión 3.2.1.
Esta es la alerta publicada: [pega el texto].
Explícame en simple: ¿qué puede hacer un atacante?, ¿necesita
una cuenta en mi sitio?, ¿qué tan urgente es actualizar si
solo yo tengo cuenta de administrador?

2. Leer los registros del servidor

Un access.log tiene miles de líneas. La IA las resume en segundos:

Este es un extracto del access.log de mi WordPress (últimas
2 horas). Dime qué IPs o patrones parecen ataques, a qué
archivos apuntan y qué medida me recomiendas para cada uno.

Antes de pegar un registro, borra o reemplaza los datos personales: correos, nombres, direcciones IP de tus clientes, parámetros con tokens. Pega solo lo necesario.

3. Revisar un archivo sospechoso

Si encontraste un PHP raro en wp-content/uploads o un código ofuscado en tu tema:

Encontré este archivo en wp-content/uploads/2026/05/. No lo
subí yo. ¿Qué hace? ¿Es malicioso? Si está ofuscado,
desofúscalo y explícame paso a paso qué ejecuta.

Es muy buena para esto. Pero no ejecutes el código que te devuelva «desofuscado» para comprobarlo.

4. Revisar el código de un plugin o un snippet

Antes de pegar un snippet en tu sitio, pídele una revisión de seguridad: entradas sin sanitizar, salidas sin escapar, acciones sin nonce ni comprobación de permisos.

5. Escribir reglas (que luego tú revisas)

Una regla de .htaccess o de Cloudflare a partir de lo que encontraste en los registros. Es un buen punto de partida, pero:

• Pide que te explique cada línea.
• Pruébala primero en modo «registrar» o en un sitio de pruebas.
• Ten a mano cómo deshacerla (por FTP o desde el panel de Cloudflare) por si te deja fuera.

Dónde no confiar

• Versiones y fechas recientes. La IA puede no conocer la última versión de un plugin o una vulnerabilidad publicada ayer. Para eso, consulta las bases de datos de vulnerabilidades o el registro de cambios del plugin.
• «Tu sitio está limpio.» Una IA no puede asegurarlo sin revisar todos los archivos, la base de datos y el servidor. Un escáner y una revisión manual siguen siendo necesarios.
• Configuraciones de servidor completas. Un nginx.conf o un .htaccess entero generado de una vez puede romper el sitio o abrir algo que estaba cerrado.

Lo que nunca le debes entregar

• Contraseñas, claves de API, el contenido de wp-config.php con sus claves y salts.
• Acceso de administrador a tu WordPress o a tu hosting para que «lo arregle sola».
• Datos de clientes (pedidos, correos, RUT).

Si un agente de IA necesita acceso a tu sitio para una tarea, crea un usuario específico con el rol mínimo, una contraseña de aplicación que puedas revocar, y trabaja en una copia de pruebas.

¿Y los plugins de seguridad «con IA»?

Muchos plugins anuncian funciones de IA. Lo importante no cambia: revisa qué hacen exactamente, dónde envían tus datos (si mandan archivos o registros a un servidor externo) y si tienen un historial de actualizaciones serio. La etiqueta «IA» no es una garantía de nada.

¿Usaste una IA para analizar un problema de seguridad? Cuéntanos en el foro qué le preguntaste y si la respuesta fue útil o te llevó por mal camino.