WP Security Ninja: tutorial para proteger tu WordPress (Free y Pro)
Muchas webs WordPress que acaban hackeadas no caen por un ataque sofisticado, sino por un plugin sin actualizar, una contraseña débil o un acceso que nadie vigilaba. WP Security Ninja revisa esos puntos por ti: analiza la configuración y te da una puntuación, bloquea peticiones maliciosas con un firewall, avisa de vulnerabilidades conocidas en tus plugins y temas y, en la Pro, busca malware y protege el acceso. En este tutorial verás cómo se configura cada parte, qué hacer cuando encuentra algo, cómo funciona su asesor con IA y qué trae la versión gratuita frente a la de pago.
Tengo un curso entero de seguridad en WordPress en la academia, y la seguridad de una web nunca depende de una sola pieza: las copias de seguridad, las actualizaciones y las contraseñas fuertes van antes que cualquier plugin. Security Ninja es una capa más sobre esa base.
Qué es WP Security Ninja
WP Security Ninja es un plugin de seguridad para WordPress con versión gratuita en el repositorio oficial (versión 5.305, actualizada el 12 de octubre de 2026, con más de 7.000 instalaciones activas) y una versión Pro de pago. Tiene traducción al español, y su documentación también está en castellano.
La gratuita no es una versión de prueba: incluye un firewall básico basado en las reglas 8G, más de 50 pruebas de seguridad, el escáner de vulnerabilidades, el escáner de integridad del núcleo de WordPress, un registro básico de eventos y el asesor de seguridad con IA. La Pro añade el firewall en la nube, el escáner de malware, la protección del acceso con 2FA y los escaneos programados.
Security Ninja reduce el riesgo y te avisa antes, pero no sustituye a lo básico: WordPress, plugins y temas al día, contraseñas fuertes y una copia de seguridad reciente. Haz una copia antes de aplicar cualquier corrección que te proponga.
Instalación y asistente de configuración
Instala el plugin
La gratuita se instala desde Plugins → Añadir nuevo plugin buscando «Security Ninja». La Pro se descarga como archivo .zip desde el enlace del correo de compra: súbelo con Subir plugin, actívalo y pega la clave de licencia.
Sigue el asistente de inicio
Al activarlo se abre el asistente, que te propone activar una a una las piezas principales: la protección del firewall (que viene desactivada), el registro de eventos, el escáner de vulnerabilidades, la protección del acceso, las medidas de seguridad por defecto y, si tienes tienda, la protección de WooCommerce.
Deja los valores por defecto
Para empezar, los valores que trae son razonables. Termina el asistente, entra en el panel y deja los ajustes finos para cuando veas cómo se comporta tu web.
Pruebas de seguridad y puntuación
Es la primera pantalla que conviene mirar. En la pestaña de pruebas pulsa Ejecutar pruebas: el plugin revisa más de 50 puntos de la configuración y los clasifica en aprobadas, advertencias y fallidas, con una puntuación global. En el vídeo, una instalación casi recién hecha saca un 82.
Cada prueba tiene su explicación. Algunos ejemplos de lo que revisa:
- Si el núcleo de WordPress está al día. Si no lo está, la corrección es actualizar.
- Si el archivo
wp-config.phpestá en su ubicación por defecto. Moverlo un nivel por encima de la raíz de la web lo pone fuera del alcance directo. - Si el modo de depuración está activado.
WP_DEBUGencendido en una web en producción muestra errores que dan pistas a un atacante; hay que desactivarlo enwp-config.php.
Muchas pruebas fallidas tienen un botón para aplicar la corrección con un clic; las demás explican el paso a paso para hacerlo a mano.
Firewall y firewall en la nube
El firewall de la gratuita filtra las peticiones sospechosas con las reglas 8G, un conjunto de patrones que bloquea muchos intentos de explotación conocidos. La Pro añade el Cortafuegos en la nube: una lista compartida de más de 600 millones de IP maliciosas, actualizada a diario, que bloquea esas IP antes de que lleguen a tu web.
En la configuración del firewall de la Pro tienes además:
- Bloqueo por países, para toda la web o solo para el acceso: los visitantes de esos países ven la web pero no pueden iniciar sesión.
- El mensaje que ven las IP bloqueadas, o una redirección a otra página.
- Gestión de IP, con listas blanca y negra y una herramienta para comprobar si una IP está bloqueada.
- 404 Guard, que bloquea temporalmente las IP que generan muchos errores 404 seguidos, típico de los bots que buscan archivos vulnerables. En el vídeo, por defecto, son 10 errores en 5 minutos y 10 minutos de bloqueo, y los buscadores conocidos quedan fuera.
- Protección de WooCommerce, que limita la frecuencia de intentos en el pago, el carrito, los pedidos y los cupones.
Proteger el inicio de sesión: URL, intentos y 2FA
La página de acceso es el objetivo número uno de los ataques de fuerza bruta. La protección del acceso, el cambio de URL y la 2FA son funciones de la Pro.
| Ajuste | Qué hace |
|---|---|
| Bloquear intentos repetidos | Bloquea temporalmente a quien falla el acceso varias veces seguidas. Viene activado. |
| Bloquear el usuario «admin» | Bloquea al instante cualquier intento de entrar con el usuario «admin», el primero que prueban los bots. |
| Ocultar errores de acceso | No dice si lo que falló fue el usuario o la contraseña, para no dar pistas. |
| Avisos de accesos fallidos | Envía un correo a los administradores cuando hay intentos fallidos. |
| Cambiar la URL de acceso | Sustituye la dirección de acceso de siempre por una que solo conoces tú. |
| 2FA | Pide un segundo código, por aplicación (como Google Authenticator) o por correo. Puedes hacerla obligatoria para roles concretos, por ejemplo los administradores. |
Si tu usuario administrador se llama «admin», no actives el bloqueo de ese usuario: te dejarías fuera. Crea antes otro administrador con un nombre distinto. Y si cambias la URL de acceso, guárdala en un sitio seguro antes de cerrar la sesión.
Escáner de vulnerabilidades: qué hacer si encuentra una
El escáner de vulnerabilidades está en la gratuita. Descarga cada día una base de datos de vulnerabilidades conocidas y la compara con las versiones de tus plugins, temas y WordPress. Puedes recibir un correo cuando encuentre alguna (como mucho uno al día) e indicar carpetas de plugins o temas que quieras ignorar.
Que aparezca una vulnerabilidad no significa que te hayan atacado: significa que tienes instalado algo con un fallo conocido. Lo que toca hacer:
Identifica el componente y la versión
El aviso dice qué plugin, tema o versión de WordPress está afectado.
Actualiza a una versión corregida
Haz una copia de seguridad y actualiza. Es la solución en la mayoría de los casos.
Si no hay actualización, sustitúyelo
Si el fabricante no ha publicado un parche, desactiva el plugin o el tema y busca una alternativa mantenida. Puedes ocultar el aviso durante 24 horas, pero vuelve mientras el problema siga ahí.
Escáner de malware y escaneos programados
El escáner de malware es de la Pro. Revisa los archivos en busca de código sospechoso y, en los plugins de WordPress.org, comprueba si alguno ha cambiado respecto a la versión original. Si encuentra algo, te enseña el archivo, la línea, un fragmento del código y la regla que ha saltado.
El escáner puede dar falsos positivos. No borres un archivo solo porque aparezca marcado: si es de un plugin legítimo, lo romperías. Revisa por qué lo ha marcado; si es legítimo, añádelo a la lista blanca, y si es malicioso, elimínalo y averigua cómo entró.
En el Programador, también de la Pro, decides qué se analiza de forma automática (solo las pruebas de seguridad, solo el núcleo, ambas cosas o todo, incluido el malware), con qué frecuencia y si quieres el informe por correo siempre, nunca o solo cuando algo cambie. Con una o dos veces al día basta: programarlo cada pocos minutos solo carga el servidor.
El asesor de seguridad con IA
Es la novedad del plugin y está en la versión gratuita, pero requiere WordPress 7. Convierte los resultados de las pruebas, los escáneres y la actividad reciente del firewall y del acceso en un informe legible: un resumen, los riesgos ordenados por prioridad y los siguientes pasos. Después puedes preguntarle cosas como qué ha cambiado desde el último informe o qué deberías arreglar primero.
Security Ninja no pone la IA: usa los conectores de IA de WordPress 7, que configuras en Ajustes → Conectores con tu propia clave del proveedor que elijas (en el vídeo, OpenAI). Según el fabricante, al proveedor solo se envía información de seguridad sin datos personales (resultados de pruebas, estado de los escáneres, recuentos de eventos), y los informes se guardan en tu web.
El informe de la IA te ayuda a decidir por dónde empezar, pero no sustituye al firewall ni a los escáneres. Entiende cada cambio antes de aplicarlo.
Si gestionas varias webs: MainWP
Si llevas webs de clientes con MainWP, Security Ninja tiene una extensión para su panel. La gratuita, en WordPress.org, muestra los resultados de las pruebas y las vulnerabilidades de cada web y lanza escaneos en remoto. La de pago añade el registro de eventos combinado de todas las webs, un resumen diario por correo y el historial de puntuaciones. La extensión se instala solo en el panel de MainWP; en cada web basta con Security Ninja.
WP Security Ninja Free vs Pro y precios
| Función | Free | Pro |
|---|---|---|
| Pruebas de seguridad y puntuación | Sí | Sí |
| Firewall con reglas 8G | Sí | Sí |
| Escáner de vulnerabilidades y del núcleo | Sí | Sí |
| Asesor con IA (WordPress 7) | Sí | Sí, con los datos del escáner de malware |
| Registro de eventos | Básico | Completo, con exportación, informes y webhooks |
| Firewall en la nube y bloqueo por países | No | Sí |
| Escáner de malware | No | Sí |
| Protección del acceso, cambio de URL y 2FA | No | Sí |
| Escaneos programados | No | Sí |
La Pro se paga al año: 119 $ para una web, 259 $ para 5, 599 $ para 25 y 1.699 $ para 100, según su página de precios a 14 de octubre de 2026. Tiene 30 días de devolución, y puedes probar la Pro gratis durante 14 días. La prueba pide tarjeta o PayPal: no cobra nada al empezar, pero si no la cancelas antes del día 14 pasa a la suscripción anual. Con el código DAVIDIBIZA tienes un 10 % de descuento.
¿Cuál necesitas? En el vídeo se recomienda la gratuita para una web personal o pequeña, y la Pro si la web es un negocio, una tienda, guarda datos de clientes o si gestionas webs de terceros.
Preguntas frecuentes
¿WP Security Ninja es gratis?
Tiene una versión gratuita completa en WordPress.org, sin límite de tiempo, con firewall básico, pruebas de seguridad, escáner de vulnerabilidades y asesor con IA. La Pro es de pago anual.
¿Puedo cambiar la URL de acceso con la versión gratuita?
No. El cambio de URL, el límite de intentos y la 2FA son de la Pro.
¿Funciona el asesor con IA sin WordPress 7?
No. Usa los conectores de IA de WordPress 7, así que necesitas esa versión y un proveedor de IA conectado con tu clave.
¿Qué hago si detecta una vulnerabilidad?
Haz una copia de seguridad y actualiza el componente afectado. Si no hay versión corregida, desactívalo y sustitúyelo por una alternativa mantenida.
En resumen
- Empieza por Ejecutar pruebas: te da la puntuación y una lista de correcciones, muchas de un clic.
- La gratuita trae firewall 8G, escáner de vulnerabilidades y asesor con IA (con WordPress 7).
- La Pro añade firewall en la nube, malware, protección del acceso con 2FA y escaneos programados.
- Vulnerabilidad no es ataque: copia de seguridad y actualizar.
- Pro desde 119 $/año, prueba de 14 días y 10 % de descuento con DAVIDIBIZA.
¿Quieres blindar tu WordPress?
Curso de seguridad en WordPress
Aprende a proteger tu web de principio a fin, más allá de instalar un plugin.
Esta página incluye un enlace de afiliado a WP Security Ninja: si compras a través de él, a mí me corresponde una comisión, y con el código DAVIDIBIZA tú pagas un 10 % menos.
Respuestas