Plugins de seguridad para WordPress: ¿hacen falta en Hostsuar?

Los plugins de seguridad son de lo más instalado en WordPress. Hay cientos, y los más conocidos, como Wordfence, All-In-One Security (AIOS) o Kadence Security (el antiguo iThemes Security), funcionan en millones de webs.

Durante años los recomendamos. Hoy, en nuestro hosting, no los vemos necesarios, y en muchos casos son contraproducentes. No es que sean malos plugins: es que casi todo lo que hacen ya lo hace el servidor, antes y mejor.

Lo que ya hace el servidor

Nuestros servidores tienen de forma nativa las protecciones que ofrecen estas suites:

• Ataques de fuerza bruta contra wp-login.php y xmlrpc.php: los detecta y bloquea el sistema de seguridad.
• Cortafuegos de aplicación (WAF): miles de reglas en el servidor web, actualizadas continuamente, que bloquean ataques conocidos contra WordPress y sus plugins.
• Lista negra de IPs alimentada por miles de servidores, y una verificación por captcha para separar bots de personas en los accesos sospechosos.
• Antivirus y escáner de malware de Imunify360, con Proactive Defense, que analiza en tiempo real lo que hacen los scripts PHP.
• Protección DDoS en la red.
• Copias de seguridad diarias automáticas fuera del servidor.

Tienes la lista completa en nuestras medidas de seguridad.

La diferencia está en dónde se ejecutan. El servidor filtra un ataque antes de que llegue a WordPress. Un plugin, en cambio, tiene que arrancar WordPress y PHP en cada petición para decidir si la bloquea, y su escáner revisa ficheros con los recursos de tu propia cuenta. El resultado es una web más lenta y más consumo de CPU y memoria a cambio de una protección que ya tenías.

Lo que sí conviene añadir

Hay funciones que el servidor no puede dar porque dependen de WordPress por dentro. Para esas, mejor un plugin pequeño que haga solo eso que una suite con cincuenta opciones:

• Verificación en dos pasos para los administradores: Two Factor, mantenido por colaboradores de WordPress. Con una contraseña robada no basta para entrar.
• Registro de actividad (quién cambió qué y cuándo): WP Activity Log. Útil cuando varias personas administran la web.
• Cambiar la dirección de acceso: WPS Hide Login, para que los bots no encuentren el formulario.
• Captcha en formularios de contacto o registro: muchos formularios (Contact Form 7, WPForms, Gravity Forms) ya lo integran sin plugins adicionales.

Si ya tienes una suite instalada

No hace falta que la quites con prisa, pero si quieres ganar velocidad:

1. Anota qué funciones usas de verdad (casi siempre, el 2FA y poco más).
2. Instala el plugin pequeño que las sustituye y comprueba que puedes entrar con él.
3. Desactiva la suite y bórrala desde Plugins.
4. Revisa el .htaccess y, en el caso de Wordfence, el fichero .user.ini de la carpeta de WordPress: algunas suites dejan ahí reglas o una línea auto_prepend_file que siguen cargándose después de borrarlas. Si ves un bloque con el nombre del plugin, elimínalo.

Ningún plugin sustituye a lo básico: WordPress, plugins y tema actualizados, contraseñas únicas y quitar lo que no usas. Lo explicamos en los consejos de seguridad para WordPress.