Cuando recibes un WordPress que no conoces, es tentador empezar a «arreglar». Es mejor primero mirar todo, anotar y recién después decidir qué hacer. Esta lista sigue el orden que conviene, desde lo urgente a lo importante.
1. Accesos (lo primero)
- ¿Quién es administrador? Elimina o baja de rol a quien ya no debería estarlo.
- ¿Hay usuarios que no reconoces, sobre todo creados recientemente?
- ¿Hay contraseñas de aplicación que nadie sabe para qué son?
- ¿Tienes acceso a todo: hosting, cPanel, dominio, DNS, Cloudflare, correo?
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp user application-password list 12. Respaldos (antes de tocar nada)
- ¿Existen? ¿Dónde están? ¿Fuera del mismo servidor?
- ¿Cuándo fue el último? ¿Alguien ha probado restaurar uno?
- Si no hay, haz uno completo ahora, antes de seguir.
wp db export auditoria-$(date +%F).sql
tar -czf archivos-$(date +%F).tar.gz wp-content3. Versiones
- WordPress, PHP y base de datos: ¿están en versiones con soporte?
- Plugins y temas: ¿cuántos tienen actualizaciones pendientes? ¿Alguno fue retirado del directorio oficial?
- Plugins y temas desactivados: si no se usan, se borran.
wp core version
wp eval 'echo PHP_VERSION . PHP_EOL;'
wp plugin list --fields=name,status,version,update
wp theme list4. Integridad y seguridad
- ¿Los archivos del núcleo y de los plugins coinciden con los originales?
- ¿Hay archivos PHP en
uploads? - ¿Está desactivado el editor de archivos del escritorio?
- ¿Hay doble factor para administradores?
- ¿Hay alguna protección contra fuerza bruta?
wp core verify-checksums
wp plugin verify-checksums --all
find wp-content/uploads -name "*.php"
grep -n "DISALLOW_FILE_EDIT" wp-config.php5. Salud del sitio
Abre Herramientas → Salud del sitio y anota todo lo que marque como crítico o recomendado. Luego revisa la pestaña Información para conocer los límites de PHP (memoria, tiempo de ejecución, tamaño de subida).
6. Rendimiento
- Mide la portada y una página interna en PageSpeed Insights, en móvil.
- ¿Hay caché de página? ¿Caché de objetos?
- ¿Cuánto pesan las opciones autoload?
- ¿Cuántos plugins hay activos y cuáles cargan en todas las páginas sin necesidad?
- ¿WP-Cron funciona? ¿Hay tareas atrasadas?
wp option list --autoload=on --format=total_bytes
wp cron event list --fields=hook,next_run_relative | head -207. Base de datos
- Tamaño total y tablas más pesadas.
- Tablas de plugins que ya no existen.
- Revisiones, borradores automáticos y papelera acumulados.
wp db size --tables --human-readable | sort -k2 -h | tail -15
wp post list --post_type=revision --format=count8. SEO básico
- ¿Está marcada la casilla «Disuade a los motores de búsqueda» por error? Pasa más de lo que parece después de una migración.
- ¿Hay mapa del sitio y está enviado en Search Console?
- ¿Las versiones con y sin www, y con y sin https, redirigen a una sola?
- ¿Hay errores en Search Console → Páginas?
wp option get blog_public
curl -sI http://tudominio.cl | head -3
curl -sI https://www.tudominio.cl | head -39. Correo
- ¿Los formularios llegan? Envía una prueba.
- ¿El dominio tiene SPF, DKIM y DMARC?
- ¿WordPress envía por SMTP o con
mail()?
10. Documenta y prioriza
Termina con un documento simple de tres columnas: qué encontraste, qué tan urgente es y qué propones. Lo urgente (accesos, respaldos, versiones con vulnerabilidades) va primero. Lo de rendimiento y SEO, después. Es lo que convierte una revisión en un plan de trabajo, y lo que tu cliente entiende.
Si es el sitio de un cliente, pide por escrito el permiso para revisar y hacer respaldos antes de entrar. Te protege a ti y deja claro el alcance del trabajo.
¿Encontraste algo en la auditoría que no sabes cómo priorizar? Compártelo en el foro y lo vemos entre todos.
