Cuando se habla de seguridad web, muchas veces se piensa solo en plugins, malware o actualizaciones. Pero hay un punto igual de importante y a menudo más descuidado: quién tiene acceso al panel de hosting, a WordPress, al dominio, al correo y al DNS.
Si una cuenta con permisos altos cae en malas manos, el impacto puede ser muy serio. Un atacante podría modificar la web, crear redirecciones, acceder a archivos, cambiar DNS, afectar al correo profesional o incluso bloquear el acceso al propietario. Por eso la seguridad de accesos no es un detalle administrativo: es una parte crítica de la protección digital de cualquier pyme.
El problema de compartir accesos
En muchas empresas pequeñas, los accesos se comparten por comodidad. La misma contraseña circula entre empleados, agencias, freelance y proveedores. A veces se envía por email o mensajería. Otras veces se mantiene activa durante años aunque la persona ya no colabore con la empresa.
Esto genera varios riesgos:
- No se sabe quién hizo cada cambio.
- Es difícil retirar acceso a una persona concreta.
- Si una contraseña se filtra, afecta a todos.
- Se mantienen cuentas antiguas sin control.
- Un proveedor externo puede tener más permisos de los necesarios.
- La recuperación de la cuenta depende de correos o teléfonos obsoletos.
La solución no es complicarlo todo, sino ordenar los accesos. Cada persona debería tener su usuario propio, con permisos adecuados y revocables.
2FA: una barrera sencilla que evita muchos sustos
La autenticación en dos factores, o 2FA, añade una segunda comprobación además de la contraseña. Puede ser una aplicación de códigos temporales, una llave de seguridad o un sistema equivalente. Aunque una contraseña se filtre, el atacante necesitaría también ese segundo factor.
Conviene activar 2FA al menos en:
- Panel de hosting.
- WordPress para usuarios administradores.
- Cuenta del registrador del dominio.
- Herramientas de analítica o publicidad.
- Servicios donde se gestionen DNS o facturación.
OWASP mantiene la autenticación multifactor como una medida recomendada para reducir riesgos de acceso no autorizado. Para una pyme, es una de las mejoras de seguridad con mejor relación entre esfuerzo e impacto.
Permisos mínimos: no todo el mundo necesita ser administrador
En WordPress, no todos los usuarios deberían ser administradores. El rol de administrador permite instalar plugins, cambiar temas, modificar ajustes y crear otros usuarios. Si una persona solo publica contenidos, puede usar un perfil de editor. Si solo escribe borradores, quizá basta con autor.
La misma lógica se aplica al hosting y al dominio. Un proveedor que solo necesita gestionar una web no debería tener acceso ilimitado a facturación, correo o todos los dominios de la empresa si no es necesario.
Buenas prácticas:
- Crear usuarios individuales.
- Asignar permisos mínimos necesarios.
- Revisar usuarios cada cierto tiempo.
- Eliminar cuentas que ya no se usan.
- Evitar cuentas genéricas como “admin” o “agencia”.
- Separar acceso a WordPress, hosting, correo y dominio.
- Documentar quién tiene acceso a qué.
La seguridad mejora mucho cuando los permisos responden a tareas reales, no a comodidad inicial.
Contraseñas de aplicación en WordPress
WordPress permite usar contraseñas de aplicación para integraciones externas. Son claves específicas que permiten conectar servicios sin compartir la contraseña principal del usuario. Además, se pueden revocar de forma independiente.
Esto es útil cuando una herramienta necesita conectarse a WordPress, pero no debería conocer la contraseña personal del administrador. Si la integración deja de usarse, se revoca esa contraseña y el resto de accesos no se ve afectado.
No es una función que todas las pymes necesiten usar a diario, pero sí conviene conocerla cuando se trabaja con aplicaciones externas, automatizaciones o desarrollos a medida.
Qué revisar cuando cambia una agencia o empleado
Los cambios de proveedor o personal son momentos críticos. Si una agencia deja de mantener la web, si un empleado cambia de puesto o si un freelance termina un proyecto, hay que revisar accesos.
Checklist recomendable:
- Eliminar o desactivar usuarios que ya no colaboran.
- Cambiar contraseñas compartidas.
- Revisar usuarios administradores de WordPress.
- Comprobar accesos al panel de hosting.
- Revisar acceso al dominio y DNS.
- Revisar cuentas de correo con permisos especiales.
- Revocar contraseñas de aplicación o tokens antiguos.
- Comprobar emails y teléfonos de recuperación.
- Activar 2FA donde falte.
Este proceso evita que una cuenta olvidada se convierta en una puerta abierta meses después.
Logs y trazabilidad
Siempre que sea posible, conviene revisar registros de acceso o historial de cambios. No todas las herramientas ofrecen el mismo nivel de detalle, pero cualquier trazabilidad ayuda a responder preguntas importantes: quién entró, cuándo, desde dónde y qué cambió.
En una web crítica, esto puede ser clave para detectar cambios no autorizados, errores de configuración o accesos sospechosos.
Conclusión
La seguridad de una web no depende solo de tener WordPress actualizado. También depende de controlar quién puede entrar, qué permisos tiene y cómo se protege cada cuenta. Activar 2FA, usar usuarios individuales, limitar permisos y revisar accesos antiguos reduce mucho el riesgo de incidentes evitables.
