Si tu pyme usa WordPress, seguramente tienes plugins para formularios, reservas, SEO, cookies, analítica, pagos o diseño visual. Es normal: WordPress funciona muy bien precisamente porque permite añadir piezas. Pero esa comodidad tiene una parte menos visible: cuando instalas un plugin, también confías en su proveedor, en sus servidores, en sus actualizaciones y en las conexiones externas que utiliza.
La noticia de una posible manipulación en el ecosistema de BdThemes, distribuida mediante una respuesta de API envenenada, vuelve a poner sobre la mesa un tema importante: no todos los incidentes empiezan porque tengas una contraseña débil o porque no hayas actualizado. A veces el problema llega a través de una pieza legítima que ya estaba dentro de tu web.
No se trata de entrar en pánico ni de desinstalar medio WordPress. Se trata de trabajar con método. Para una pyme española, una web caída, infectada o redirigiendo a páginas raras puede significar llamadas perdidas, campañas paradas, pérdida de confianza y horas de limpieza. Vamos a ver qué puedes hacer de forma práctica.
Qué es un ataque a la cadena de suministro en WordPress
Un ataque a la cadena de suministro ocurre cuando el problema no entra directamente por tu web, sino por algo que tu web usa. Puede ser un plugin, una plantilla, una librería JavaScript, un sistema de licencias, un repositorio de actualizaciones o una API externa.
Imagina una clínica dental en Jerez con una web hecha en WordPress. Tiene un plugin de formularios, otro para gestionar citas, uno para cookies y una plantilla con extras de diseño. Si uno de esos componentes empieza a recibir instrucciones manipuladas desde un servidor externo, la clínica puede verse afectada aunque nadie haya tocado su panel de administración.
La parte delicada es que muchas veces el plugin parece legítimo. Está instalado desde hace meses, no ha dado problemas y quizá hasta tiene buena reputación. Por eso, la seguridad no puede depender solo de instalar plugins conocidos. También necesitas limitar daños, vigilar cambios y tener una forma rápida de volver atrás.
Señales de que algo no va bien
No todos los ataques se ven igual, pero hay señales que conviene tomar en serio. Si detectas una de estas, no lo dejes para el viernes por la tarde:
- Redirecciones extrañas: al entrar desde Google o desde el móvil, la web lleva a páginas de sorteos, criptomonedas, contenido adulto o tiendas falsas.
- Usuarios nuevos: aparecen administradores que nadie ha creado.
- Plugins modificados: ves plugins activos que no recuerdas haber instalado o carpetas con nombres raros en el hosting.
- Alertas del navegador: Chrome, Firefox o un antivirus indican que la web no es segura.
- Caída de rendimiento: la web va lenta sin motivo, consume muchos recursos o el hosting avisa de procesos sospechosos.
- Emails que no llegan: el dominio entra en listas negras porque la web se está usando para enviar spam.
Un ejemplo concreto: una tienda online de productos artesanos detecta que las visitas desde anuncios de Google Ads rebotan mucho más de lo normal. Al probar desde un móvil en incógnito, la web redirige a una promoción falsa. En escritorio parece correcta. Este tipo de comportamiento busca pasar desapercibido para quien administra la web.
Qué hacer esta semana para reducir el riesgo
La seguridad perfecta no existe, pero sí hay medidas sencillas que reducen mucho la exposición. Empieza por estas:
- Haz inventario de plugins y temas: apunta qué tienes instalado, para qué sirve cada cosa y quién lo mantiene. Si no sabes para qué sirve un plugin, es candidato a revisión.
- Elimina lo que no uses: un plugin desactivado también puede ser un problema si sigue en el servidor. Si no se usa, fuera.
- Revisa la procedencia: prioriza plugins del repositorio oficial de WordPress o proveedores con historial claro, documentación y actualizaciones frecuentes.
- Actualiza con cabeza: no acumules meses de retraso, pero evita actualizar a ciegas en una web crítica sin copia previa.
- Activa copias de seguridad externas: una copia en el mismo hosting no basta. Si el servidor queda comprometido, la copia puede caer con él.
- Usa usuarios con permisos limitados: no todo el mundo necesita ser administrador. Para publicar noticias, basta con editor.
- Instala protección adicional: un firewall de aplicación, escaneo de malware y bloqueo de intentos de acceso ayudan a detectar y frenar problemas.
Para una asesoría, por ejemplo, esto puede traducirse en una rutina mensual de 30 minutos: revisar actualizaciones, comprobar copias, eliminar plugins sobrantes y mirar usuarios administradores. No es glamuroso, pero evita muchos sustos.
Cómo organizar las actualizaciones sin romper la web
Muchas pymes no actualizan WordPress porque una vez algo se rompió. Es comprensible. Pero dejar todo congelado durante meses no es una estrategia, es una apuesta.
Lo razonable es separar tres tipos de web. Si tienes una web corporativa sencilla, puedes activar actualizaciones automáticas para plugins fiables y mantener copias diarias. Si tienes una tienda online, una academia con cursos o una web con reservas, conviene probar primero en un entorno de staging. Es decir, una copia privada donde se actualiza antes de tocar la web real.
Después de actualizar, comprueba lo básico: portada, formularios, compra o reserva, emails, menú móvil y páginas clave. Una empresa de alquiler vacacional, por ejemplo, debería probar el calendario de disponibilidad y el formulario de contacto después de cada actualización importante. No hace falta revisar 200 páginas, pero sí los puntos donde entra dinero o llegan oportunidades.
También conviene evitar el exceso de plugins que hacen casi lo mismo. Dos plugins de caché, tres constructores visuales o varias herramientas de seguridad pisándose entre sí suelen traer más problemas que ventajas. Menos piezas, mejor elegidas, suele significar menos riesgo y menos mantenimiento.
Qué hacer si sospechas que tu WordPress está infectado
Si crees que tu web está comprometida, no empieces a borrar archivos al azar. Puedes perder pistas o romper más cosas. Sigue un orden:
- Pon la web en modo mantenimiento si está redirigiendo o mostrando contenido peligroso.
- Cambia contraseñas de WordPress, hosting, FTP, base de datos y correos asociados.
- Revisa usuarios administradores y elimina los desconocidos.
- Compara archivos de WordPress, plugins y temas con versiones limpias.
- Restaura una copia segura si sabes con certeza que es anterior al incidente.
- Actualiza todo después de limpiar, no antes de entender el alcance.
- Solicita revisión en Google Search Console si la web fue marcada como peligrosa.
La clave está en no limitarse a limpiar lo visible. Si no cierras la puerta de entrada, el problema volverá. Hemos visto casos donde una web se limpiaba por la mañana y por la tarde volvía a estar igual porque seguía activo el plugin vulnerable o una cuenta administradora oculta.
WordPress sigue siendo una buena opción para muchas pymes, pero necesita mantenimiento real. Igual que no dejarías el cierre de tu local abierto por comodidad, no conviene dejar una web con plugins abandonados, copias sin comprobar y usuarios de más.
La idea no es vivir pendiente de cada alerta, sino tener una base sana: pocos plugins, actualizaciones controladas, copias externas, permisos ajustados y vigilancia mínima. Con eso, un incidente en la cadena de suministro deja de ser una crisis total y pasa a ser un problema gestionable.
