Auditoría de seguridad WordPress: checklist antes de contratar mantenimiento

Publicado el 2026-11-14 por frfrand

Qué revisar en una auditoría WordPress: versiones, accesos, copias de seguridad, permisos, vulnerabilidades y obligaciones del proveedor.

# Auditoría de seguridad WordPress: checklist antes de contratar mantenimiento

Contratar mantenimiento WordPress no debería significar pagar por alguien que solo pulse «Actualizar plugins» una vez al mes. Una empresa necesita saber qué riesgos tiene, cómo se restaurará la web y quién responderá ante una incidencia. Esta lista permite evaluar a un proveedor con evidencias, no con promesas. ## Inventario técnico verificable Solicita una relación actualizada del núcleo, versión PHP, motor de base de datos, tema activo, plugins instalados y origen de cada componente. Marca los elementos abandonados, sin soporte, duplicados o innecesarios. Documenta los servicios externos usados por formularios, pagos, correo y analítica. Prueba esperada: inventario con versiones y fecha de revisión, no una captura genérica del panel. ## Identidades y permisos Comprueba usuarios administradores, cuentas de antiguos empleados y autenticación multifactor. Revisa accesos al hosting, SFTP/SSH, base de datos, panel DNS y cuentas de correo. Un proveedor no necesita compartir una sola contraseña de administrador entre todo su equipo. Prueba esperada: listado de roles autorizados y procedimiento de alta, baja y emergencia. Evita entregar secretos en informes. ## Actualizaciones y vulnerabilidades Revisa avisos oficiales, CVE relevantes, versiones corregidas y si los componentes están expuestos realmente. El riesgo no se decide solo por una puntuación CVSS: importan los privilegios necesarios, la función afectada, la explotación conocida y las mitigaciones disponibles. Acordad cuándo aplicar parches críticos y cómo se ensayan. Prueba esperada: registro de cambios con versión previa, versión nueva y resultado de prueba. ## Copias de seguridad recuperables Pregunta dónde se guardan copias de archivos y base de datos, cuántas versiones se conservan, si están cifradas y si una cuenta comprometida podría borrarlas todas. Exige al menos una restauración probada periódicamente; una copia que nunca se ha restaurado es una esperanza, no una garantía. Define RPO (cuántos datos se pueden perder) y RTO (cuánto tiempo de recuperación se busca) en términos acordes al negocio. ## Configuración e infraestructura Evalúa HTTPS, certificados, protección de secretos, permisos de archivos, exposición de servicios, registros y actualizaciones del sistema. Comprueba que el acceso a base de datos está restringido y que el servidor separa aplicaciones cuando corresponde. Un WAF ayuda, pero no justifica mantener un plugin vulnerable. ## Monitorización y respuesta El proveedor debe indicar qué se vigila: disponibilidad HTTP, errores 5xx, recursos, cambios sospechosos y fechas de caducidad de certificados. Define canal de reporte, responsables, horarios de atención, severidad y escalamiento. | Área | Evidencia mínima | |---|---| | Software | Inventario y plan de parches | | Accesos | Usuarios y roles auditados | | Backups | Copias externas y restauración probada | | Incidentes | Plan de contención y contacto | | Cambios | Historial y rollback | ## Señales de alerta contractuales Desconfía de afirmaciones de seguridad absoluta, backups sin pruebas, acceso compartido sin trazabilidad o falta de responsabilidad por tareas. Pide una separación explícita entre mantenimiento preventivo, mejoras funcionales y recuperación de incidentes. ## Preguntas frecuentes ### ¿Una auditoría sustituye el mantenimiento? No, es un diagnóstico inicial; el riesgo cambia con el tiempo. ### ¿Hace falta revisar cada plugin? Sí, especialmente los expuestos y que manejan datos sensibles. ### ¿El hosting es responsabilidad del desarrollador? Depende del contrato; debe quedar escrito. ## Para continuar Complementa con seguridad de infraestructura y qué es una CVE. Si contratas servicios de ArduMaker, define por escrito alcance, revisión de backups y respuesta ante incidentes. Fuente técnica: WordPress Security Hardening.