Haz este ejercicio ahora mismo: entra a tu WordPress, ve a Usuarios y cuenta cuántas cuentas con rol de Administrador hay. Ahora pregúntate cuántas de esas personas siguen trabajando contigo.
La verdad incómoda es que la mayoría de webs de pymes no se las hackean por una falla sofisticada. Se las hackean, o se las “secuestran”, por una puerta que el mismo dueño dejó abierta: el diseñador de hace tres años, el sobrino que “ayudó con la página”, la agencia con la que terminaste mal o una cuenta llamada admin que todos comparten con la misma contraseña desde 2021.
El problema no es la contraseña, es quién la tiene
Solemos hablar de seguridad como si fuera solo cuestión de contraseñas largas y plugins de firewall. Importa, sí. Pero si cinco personas conocen la contraseña del administrador, tener una contraseña de 20 caracteres no sirve de mucho. La seguridad empieza por algo más básico: saber exactamente quién puede entrar y qué puede hacer.
Cuando una web se queda con accesos viejos pasan cosas como estas:
- Un exproveedor molesto cambia el correo del administrador y te deja fuera de tu propio sitio.
- La computadora de alguien que ya no trabaja contigo se infecta, y con ella la contraseña guardada en su navegador.
- Aparece un cambio raro en la web y nadie sabe quién lo hizo, porque todos usan la misma cuenta.
- Un plugin instalado “de prueba” por un colaborador queda olvidado, sin actualizar, y se convierte en la entrada de un ataque.
Es la misma lógica que explicamos en tu dominio no es tuyo si no está a tu nombre: si el control de un activo digital depende de otra persona, ese activo no es del todo tuyo.
Auditoría de accesos en 20 minutos
No necesitas ser técnico. Necesitas una tarde tranquila y esta lista.
1. Una persona, una cuenta
Nada de cuentas compartidas. Cada persona que entra a tu WordPress debe tener su propio usuario, con su propio correo. Así sabes quién hizo qué y puedes quitarle el acceso a uno sin cambiarle la contraseña a todos. Si tienes un usuario llamado admin, crea uno nuevo con nombre propio y elimina el viejo, asignando su contenido a la cuenta nueva.
2. El rol mínimo que haga falta
WordPress trae roles por una razón y casi nadie los usa. Quien solo escribe en el blog no necesita ser Administrador: con Autor o Editor le basta. Quien redacta pero no debería publicar sin revisión, Colaborador. Si tienes tienda con WooCommerce, quien atiende pedidos puede trabajar como Gestor de tienda sin tocar plugins ni temas. Regla práctica: administradores, idealmente uno o dos, y uno de ellos eres tú.
3. Borra a los que ya no están
Revisa la lista completa de usuarios y elimina o baja de rol a cualquiera que ya no trabaje contigo. Si alguien se fue en malos términos, hazlo hoy, no “cuando haya tiempo”. Al eliminarlo, WordPress te pregunta a quién asignarle sus entradas: elige tu cuenta y no pierdes nada.
4. Cierra sesiones abiertas
Una persona eliminada pierde el acceso, pero si solo cambiaste contraseñas puede haber sesiones abiertas en otros dispositivos. En tu perfil de usuario existe la opción de cerrar sesión en todas las demás ubicaciones. Úsala después de cualquier cambio importante de accesos.
5. Revisa las contraseñas de aplicación
Al final de cada perfil de usuario hay una sección de contraseñas de aplicación. Sirven para que apps y servicios externos se conecten a tu WordPress sin usar tu contraseña real. Son útiles, pero si ves alguna que no reconoces o que pertenece a una herramienta que ya no usas, revócala.
6. Activa la verificación en dos pasos
Para las cuentas de administrador, la verificación en dos pasos (un código desde una app en tu teléfono) cambia el juego: aunque alguien consiga tu contraseña, no entra. WordPress no la trae activada de fábrica, pero se agrega con un plugin confiable y bien mantenido. Es de las medidas con mejor relación esfuerzo-beneficio que existen.
No te quedes solo en WordPress
Tu sitio no vive únicamente en el panel de WordPress. Haz el mismo ejercicio con:
- El panel del hosting (cPanel u otro): ¿quién tiene usuario y contraseña?
- Las cuentas FTP: suelen crearse para un proveedor y quedarse ahí para siempre.
- El registrador del dominio: el acceso más crítico de todos.
- Los correos corporativos: si alguien puede leer el correo del administrador, puede recuperar la contraseña de todo lo demás.
Ese último punto es el que más se olvida. El correo con el que te registraste en WordPress es la llave maestra: cualquiera que lo controle puede pedir “olvidé mi contraseña” y entrar. Que sea un correo que solo tú controlas, con su propia verificación en dos pasos.
Lo que no resuelve una auditoría de accesos
Ordenar quién entra no reemplaza lo demás: mantener WordPress, temas y plugins actualizados, y tener copias de seguridad que de verdad funcionen. Si ya alguien hizo cambios que no reconoces, primero recupera el control y luego revisa, porque puede haber dejado usuarios ocultos o archivos modificados. Por eso insistimos en que tu backup no existe hasta que lo restauras: el día que algo sale mal, es lo único que te devuelve el sitio limpio.
Y una aclaración honesta: dar acceso a tu desarrollador o a tu proveedor de hosting no es malo. Lo malo es darlo sin registro, sin rol adecuado y sin quitarlo cuando termina el trabajo. Un buen proveedor te pedirá su propio usuario y no tendrá problema en que se lo retires después.
Hazlo una vez al trimestre
Pon un recordatorio en tu calendario cada tres meses: revisar usuarios, roles, contraseñas de aplicación y accesos al hosting. Son 20 minutos. Comparado con el costo de recuperar un sitio secuestrado, o de explicarle a tus clientes por qué tu web muestra publicidad de casinos, es el mejor negocio que vas a hacer esta semana.
Si no sabes quién tiene acceso a tu web, a tu hosting o a tu dominio, o sospechas que alguien entró sin permiso, escríbenos y lo revisamos contigo. En TuNegocioEnLinea.net te ayudamos a recuperar el control y a dejarlo ordenado para que no dependa de nadie más.
Sigue leyendo
- Dos parches de seguridad en 5 días: ¿tu WordPress ya se enteró?
- Tu dominio no es tuyo si no está a tu nombre
¿Prefieres no cargar con esta lista cada trimestre? Los sitios que hacemos con TNL-CMS traen roles (administrador, editor, cajero y cliente), acceso con código por correo, bloqueos dinámicos y registro de actividad desde el primer día. Revisa el Plan Básico o compara todos en nuestra página de precios.
Comentarios (0)
Sé el primero en comentar.