Plugins de seguridad para WordPress: Wordfence, Kadence Security y AIOS

Compare Wordfence para reunir cortafuegos, análisis de malware y protección de acceso; Kadence Security para las políticas de usuarios y autenticación; y All-In-One Security (AIOS) para configurar protecciones por etapas. Revise el alcance gratuito, cómo investigará los falsos positivos y cómo recuperará el acceso un administrador bloqueado. Ningún plugin sustituye las actualizaciones, la gestión de cuentas y las copias ni garantiza evitar todas las intrusiones.

Defina qué tarea debe cubrir el plugin

Distinga prevención, detección y recuperación. Un cortafuegos de aplicaciones web, o WAF, compara peticiones con reglas de ataque. La protección de acceso reduce el riesgo de adivinar contraseñas o tomar cuentas. El análisis busca archivos modificados o patrones conocidos de malware. Investigar una intrusión, eliminar su causa y recuperar un estado limpio son tareas diferentes.

Un aviso de cambio de archivo puede deberse a una actualización legítima o a un ataque. Recibirlo no confirma una infección, y borrar el elemento detectado no demuestra que la causa haya desaparecido. Compare su ruta y momento con las actualizaciones realizadas y revise las pruebas.

Primero compruebe administradores innecesarios, contraseñas compartidas, plugins abandonados y copias recuperables. El manual de refuerzo de WordPress describe la gestión por capas. Si el alojamiento ya ofrece cortafuegos o análisis, determine qué responsabilidad tendrá cada herramienta o proveedor.

Protección gratuita y funciones de pago

Compare número de sitios, soporte y renovación además del precio. Comprar una licencia no equivale a contratar personas que investiguen y eliminen una infección. Una puntuación del panel o el número de instalaciones tampoco demuestran que el producto encaje con su sitio.

Condiciones importantes de cada opción

Wordfence: si puede revisar el cortafuegos y los análisis

Wordfence ejecuta el cortafuegos, el análisis de archivos y la protección de acceso dentro del entorno de WordPress. Valórelo si hay alguien que distinga actualizaciones normales de cambios sospechosos y revise las peticiones bloqueadas. Compruebe también duración de los análisis, uso de recursos y conservación de registros.

Una diferencia importante es cuándo llegan las reglas y firmas nuevas. La documentación de Wordfence Free describe un retraso de 30 días respecto a Premium. La versión gratuita conserva protecciones existentes y doble factor; no significa que carezca de defensa. La comparación de productos distingue la información inmediata de los servicios de intervención humana.

Kadence Security: si prioriza las políticas de usuarios

El nombre actual en el directorio es Kadence Security; las instrucciones antiguas de iThemes Security o Solid Security pueden mostrar otros menús. Es una opción para organizar doble factor, requisitos de contraseña y protección contra fuerza bruta por grupos. Administradores y clientes necesitan políticas adecuadas a su función y a las rutas reales de acceso.

La ficha oficial identifica dispositivos de confianza, acceso sin contraseña y parches automáticos entre las funciones Pro. Una alerta de vulnerabilidad no es un parche automático. Incluso con parches debe aplicar las actualizaciones del desarrollador y decidir si retira un producto sin mantenimiento.

AIOS: si quiere revisar cada ajuste

AIOS incluye controles de acceso, cortafuegos y cambios de archivos. Valórelo si leerá cada opción y añadirá protección gradualmente. Detectar cambios no equivale a inspeccionar el contenido en busca de malware: no suponga que todas las funciones de análisis tienen la misma cobertura.

La página oficial de AIOS separa el análisis de malware y la autenticación avanzada Premium. Las funciones basadas en reglas del servidor también dependen del alojamiento. Por ejemplo, las reglas que necesitan .htaccess no se aplican sin cambios en Nginx; revise el soporte del producto para su servidor.

Prepare la recuperación antes de imponer restricciones

Disponga de una copia recuperable y acceso al alojamiento, y registre cuentas, rutas e integraciones externas. La guía para instalar plugins explica la instalación. Asigne el doble factor y los bloqueos a una herramienta definida en vez de duplicar controles equivalentes en varias.

1. Registre un funcionamiento correcto. Pruebe acceso de administrador y usuarios, correo de restablecimiento, formularios y menú móvil. Incluya las pantallas específicas de tienda o membresía.
2. Complete la configuración inicial. Verifique el tipo de sitio y el correo del administrador. Si utiliza un proxy, compruebe la identificación de IP: confundir a varios visitantes con una misma dirección puede provocar bloqueos incorrectos.
3. Empiece con la protección de acceso. La autenticación de doble factor, o 2FA, exige un factor adicional a la contraseña. Configúrela en una cuenta de gestión, conserve los códigos de recuperación y decida qué perfiles deben usarla.
4. Mantenga la sesión actual mientras prueba otra ventana. Verifique la autenticación en privado antes de cerrar todas las sesiones. La sesión existente puede permitir corregir un ajuste incompatible.
5. Añada restricciones de una en una. Separe cambios del cortafuegos, CAPTCHA y ruta de acceso. Compruebe móvil, formularios, comercio y automatización, y ajuste la regla que falle basándose en lo observado.
6. Asigne la revisión de avisos. Elija un correo atendido, horarios y conservación. Distinga ruido de alertas importantes y confirme que las comprobaciones programadas se ejecuten.

Compruebe un inicio de sesión real tras activar 2FA

En Wordfence, abra Wordfence → Login Security, conecte la aplicación de autenticación, obtenga los códigos de recuperación y active la función con el código de la aplicación. Los códigos permiten recuperarse si pierde el dispositivo; no deje la única copia en ese mismo teléfono. Termine una prueba de acceso antes de cerrar la sesión original.

Un formulario del tema o la cuenta de WooCommerce pueden funcionar de forma distinta al acceso estándar. Revise integraciones y perfiles en las opciones de Login Security y pruebe su pantalla con las instrucciones oficiales de 2FA. Si falla el código, confirme que eligió el sitio correcto y revise la hora del dispositivo y del servidor.

Antes de modificar la autenticación de todo el sitio, identifique servicios que utilicen REST API, XML-RPC o contraseñas de aplicación. El acceso del navegador y la API pueden seguir rutas distintas. Determine el uso y la compatibilidad antes de activar un rechazo general.

Si el administrador queda bloqueado

Anote el producto, el motivo indicado y el momento del error. Para un problema del autenticador, use los medios de recuperación; para bloqueos de IP o peticiones, revise el procedimiento y los registros. Wordfence explica el desbloqueo por correo del administrador y otras vías en su guía de bloqueos. La falta de correo requiere una investigación distinta del bloqueo.

Si no funcionan ni el administrador ni la recuperación normal, el propietario debe seguir el procedimiento oficial con el alojamiento o el soporte de seguridad. No elimine permanentemente toda protección ni borre archivos sin identificar la causa. Una vez recuperado el acceso, corrija la regla o autenticación, pruebe el acceso normal y restablezca la protección prevista.

Una respuesta antigua de bloqueo puede permanecer en la caché de página, alojamiento o CDN. Distinga un falso positivo de una posible intrusión. Si sospecha infección, conserve archivos, registros y estado actual y determine con el responsable la causa, el impacto y el alcance de recuperación. Instalar otro plugin no demuestra que la limpieza esté terminada.