Hardening de WordPress: los 12 refuerzos que aplico tras cada limpieza

Tras cada limpieza aplico 12 refuerzos de hardening, y sin ellos la reinfección es cuestión de tiempo. La mayoría de los sitios que recaen lo hacen por la misma puerta: contraseñas débiles, plugins abandonados y cero refuerzos. Esta es la lista exacta, en el orden en que la ejecuto.

¿Por qué limpiar sin endurecer invita al regreso?

Quitar el malware es cerrar una herida; el hardening es cerrar la puerta por la que entró. Si solo haces lo primero, el atacante vuelve a entrar por el mismo lugar y el ciclo se repite. Por eso no entrego una limpieza sin estos refuerzos.

¿Cuáles son los 12 refuerzos de hardening?

• Contraseñas únicas y largas para el administrador, la base de datos, el FTP y el hosting.
• Doble factor (2FA) para todas las cuentas de administrador.
• Desactivar el editor de archivos y de plugins desde el panel.
• Limitar los intentos de acceso y cerrar XML-RPC si no se usa.
• Eliminar plugins y temas no usados, incluidos los inactivos.
• Actualizar núcleo, plugins y temas el mismo día en que se publican los parches.
• Permisos de archivos correctos, con la configuración central intocable.
• Cabeceras de seguridad HTTP y política de contenido (CSP).
• Ocultar la versión de WordPress y los mensajes de error del login.
• Copias de seguridad automáticas guardadas fuera del mismo servidor.
• Monitor de integridad de archivos con alertas inmediatas.
• Cuentas mínimas: nadie con «admin» como nombre de usuario.

Doce puntos suenan a mucho hasta que los comparas con el costo de una segunda limpieza y un segundo aviso rojo de Google.