Seguridad básica para WooCommerce: 12 medidas que sí funcionan

Una tienda online guarda datos de clientes, pedidos y, a través de la pasarela, el flujo de dinero. Eso la convierte en un objetivo. La mayoría de los ataques a tiendas WooCommerce no son sofisticados: aprovechan plugins sin actualizar, contraseñas débiles o accesos olvidados. Por eso las medidas que más protegen son básicas y se pueden aplicar desde hoy.

La seguridad no es una herramienta que se instala una vez: es una rutina. Las tiendas que se hackean casi siempre fallaron en lo básico.

1. Mantén todo actualizado

WordPress, WooCommerce, el tema y los plugins reciben correcciones de seguridad con frecuencia. Una actualización pendiente es una puerta abierta conocida. Actualiza en un entorno de pruebas cuando sea posible y revisa que los pagos y el checkout sigan funcionando.

2. Elimina lo que no usas

Plugins y temas desactivados siguen estando en el servidor y pueden tener vulnerabilidades. Borra lo que no uses, y desconfía de plugins abandonados o descargados de fuentes no oficiales.

3. Contraseñas fuertes y doble verificación

• Contraseñas largas y únicas para administradores, hosting y base de datos.
• Doble factor de autenticación (2FA) para todos los usuarios con permisos de administración.
• No uses el usuario «admin».

4. Limita quién puede hacer qué

Da a cada persona el rol mínimo que necesita. El que carga productos no necesita ser administrador. Revisa los usuarios con frecuencia y elimina los de personas que ya no trabajan contigo.

5. Protege el acceso al panel

• Limita los intentos fallidos de inicio de sesión.
• Considera cambiar o restringir la ruta de acceso al panel.
• Restringe el acceso por IP si tu equipo trabaja desde ubicaciones fijas.

6. HTTPS en todo el sitio

Un certificado SSL válido es obligatorio en una tienda: protege los datos entre el cliente y tu sitio y es requisito de las pasarelas. Asegúrate de que todo cargue por HTTPS, incluido el checkout. Mira cómo se configura en SSL, backups y firewall.

7. Copias de seguridad que realmente se pueden restaurar

• Copias automáticas y frecuentes (la tienda recibe pedidos todo el día).
• Guardadas fuera del servidor de la tienda.
• Prueba restaurar una copia de vez en cuando; una copia que no se puede restaurar no es una copia.

8. Firewall y monitoreo

Un firewall de aplicación web filtra tráfico malicioso antes de que llegue a tu tienda. Un monitoreo de cambios y de disponibilidad te avisa si algo se modifica o se cae. Parte de esto lo cubre el servidor; lo explicamos en mantenimiento de servidores.

9. Pagos: no guardes datos de tarjeta

Usa una pasarela que gestione los datos de tarjeta y evita almacenarlos en tu sitio. Protege las claves de producción de la pasarela y límitalas al entorno que corresponde. Para la integración, mira pagos con Datafast, PayPhone o Kushki en WooCommerce.

10. Protege la base de datos y los archivos

• Cambia el prefijo de las tablas si instalas de cero.
• Desactiva la edición de archivos desde el panel.
• Ajusta permisos de archivos y carpetas.
• Mantén fuera del acceso público los archivos de configuración.

11. Cuida los datos personales de tus clientes

Recoge solo lo necesario, informa cómo los usas con una política de privacidad clara y limita quién puede verlos. Si exportas datos o los compartes con terceros (por ejemplo, para facturar), hazlo con proveedores confiables.

12. Ten un plan para cuando algo falle

Define de antemano:

1. Quién es responsable y a quién llamar.
2. Cómo poner la tienda en modo mantenimiento.
3. Dónde están las copias y cómo restaurar.
4. Qué cambiar de inmediato: contraseñas, claves de la pasarela, secretos del sitio.
5. A quién avisar: pasarela, hosting y, si hubo datos de clientes expuestos, a los afectados según corresponda.

Señales de que te pueden haber hackeado

• Redirecciones raras al abrir tu sitio o avisos del navegador.
• Usuarios administradores que no creaste.
• Archivos nuevos o modificados que nadie recuerda.
• Correos de spam enviados desde tu dominio.
• Pedidos o pagos extraños.
• Caída repentina de tráfico o advertencias de Google sobre tu sitio.

Si pasa, no improvises: pon la tienda en mantenimiento, restaura desde una copia limpia, cambia todas las credenciales y busca cómo entraron para cerrar esa puerta.

Seguridad y rendimiento van juntos

Una tienda actualizada, limpia de plugins innecesarios y bien servida es también una tienda más rápida. Si notas lentitud, revisa errores de checkout que cuestan ventas y VPS vs hosting compartido.

Cómo lo hacemos en Codegea

Revisamos la seguridad de tu tienda, aplicamos las medidas que faltan y, si lo prefieres, nos encargamos del mantenimiento continuo con un plan de retainer. Conoce nuestro servicio de WooCommerce o pide una revisión desde contacto.