Glosario de seguridad en WordPress: 25 términos explicados en simple (y por qué ningún sitio es 100% seguro)

Las alertas de seguridad están llenas de siglas. Si no sabes qué significan, es imposible decidir si una vulnerabilidad te afecta o si puedes esperar a mañana. Este glosario reúne los términos que más vas a encontrar, ordenados por tema, cada uno con un ejemplo en WordPress.

Ataques y amenazas

• Fuerza bruta: probar miles de combinaciones de usuario y contraseña hasta acertar. En WordPress, el blanco habitual es wp-login.php y xmlrpc.php.
• Relleno de credenciales: usar contraseñas filtradas de otros sitios. Si repites tu clave, alguien puede entrar a tu WordPress sin adivinar nada.
• Phishing: engañarte para que entregues tus datos, por ejemplo con un correo que imita un aviso de tu hosting.
• Malware: cualquier código malicioso. En WordPress suele ser PHP escondido en plugins, temas o la carpeta de subidas.
• Puerta trasera (backdoor): un acceso oculto que deja el atacante para volver a entrar aunque cambies las contraseñas.
• DDoS: saturar el sitio con tráfico falso hasta que deja de responder.
• Spam SEO: inyectar enlaces o páginas ocultas para posicionar otros sitios usando tu dominio.
• Enumeración de usuarios: averiguar los nombres de usuario de tu sitio (por ejemplo, desde /?author=1).

Tipos de vulnerabilidades

• XSS (Cross-Site Scripting): el atacante logra que tu sitio muestre un JavaScript suyo. Si lo ve un administrador, puede crear usuarios o instalar plugins en su nombre. Se evita escapando todo lo que se imprime.
• Inyección SQL: el atacante cuela instrucciones en una consulta a la base de datos. Se evita con consultas preparadas ($wpdb->prepare()).
• CSRF: obligar a un usuario con la sesión abierta a ejecutar una acción sin saberlo (por ejemplo, al visitar un enlace). Se evita con nonces.
• Escalada de privilegios: un usuario de bajo nivel (suscriptor) consigue permisos de administrador.
• Acceso no autorizado (control de acceso roto): una función que debería exigir permisos no los comprueba.
• Subida de archivos arbitrarios: un formulario que permite subir un .php en vez de una imagen. Es de las más graves.
• Ejecución remota de código (RCE): el atacante puede ejecutar el código que quiera en tu servidor. La peor de todas.

Para leer una alerta

• CVE: el número de identificación único de una vulnerabilidad (por ejemplo, CVE-2026-12345).
• CVSS: una puntuación de gravedad de 0 a 10. Desde 7 se considera alta; desde 9, crítica.
• Autenticada / no autenticada: si el atacante necesita una cuenta en tu sitio para aprovecharla. «No autenticada» es mucho más peligroso.
• Día cero: una vulnerabilidad que ya se está aprovechando y todavía no tiene parche.
• Parche: la actualización que corrige el fallo.

Defensas

• Nonce: un código de un solo uso que WordPress agrega a formularios y enlaces para comprobar que la acción la pidió de verdad el usuario.
• Sanitizar y escapar: limpiar los datos al recibirlos (sanitizar) y al mostrarlos (escapar).
• WAF (cortafuegos de aplicaciones web): un filtro que bloquea peticiones sospechosas antes de que lleguen a WordPress. Puede estar en un plugin, en el servidor o en un servicio como Cloudflare.
• 2FA: un segundo paso al entrar, además de la contraseña (un código en el celular, una llave física, una passkey).
• Mínimo privilegio: dar a cada usuario solo los permisos que necesita para su trabajo.
• Hardening (bastionado): el conjunto de ajustes que reducen la superficie de ataque: desactivar el editor de archivos, bloquear PHP en uploads, permisos de archivos correctos.

Con estos términos ya puedes leer una alerta típica: «XSS almacenado autenticado, nivel colaborador, CVSS 6,4» significa que alguien con una cuenta de colaborador puede guardar un script que se ejecutará cuando otro usuario vea esa página. Si no tienes colaboradores externos, el riesgo práctico es bajo, pero igual conviene actualizar.

¿Se puede tener un sitio 100% seguro?

No. Ni WordPress, ni ninguna otra plataforma, ni los sitios de los bancos. Siempre puede aparecer una vulnerabilidad nueva en un plugin, en PHP o en el servidor; una persona puede caer en un phishing; un proveedor puede tener una filtración.

Lo que sí se puede es reducir el riesgo a un nivel muy bajo y recuperarse rápido si algo pasa. En la práctica, cinco hábitos cubren la gran mayoría de los ataques reales:

1. Actualizar WordPress, plugins y temas con regularidad.
2. Usar pocos plugins, con desarrollo activo, y eliminar los que no usas.
3. Contraseñas únicas y 2FA (o passkeys) para todas las cuentas con permisos.
4. Copias de seguridad automáticas, guardadas fuera del servidor, y probar de vez en cuando que se pueden restaurar.
5. Un WAF delante del sitio.

Desconfía de cualquier plugin o servicio que prometa «seguridad total». La seguridad es un proceso, no un producto que se instala una vez.

¿Hay algún término de una alerta que no entendiste? Pregúntalo en el foro y lo sumamos a este glosario.