¿Necesito un cortafuegos para WordPress o basta con un escáner de malware?

Un cortafuegos y un escáner hacen trabajos distintos, y a la mayoría de los sitios WordPress les conviene tener ambos tipos de protección. Un cortafuegos examina cada petición antes de que WordPress la procese y rechaza las que coinciden con un ataque. Un escáner examina lo que ya está en el sitio: archivos, cuentas, ajustes y versiones de plugins. Un cortafuegos no puede decirle que alguien instaló una puerta trasera el mes pasado. Un escáner no puede detener la petición que la instala.

El cortafuegos no tiene por qué ser un plugin de WordPress. En muchos sitios pequeños lo pone el proveedor de alojamiento o una CDN situada delante del sitio.

Qué hace un cortafuegos de aplicaciones web

Un cortafuegos de aplicaciones web (WAF) se sitúa entre el visitante y su sitio. En cada petición compara la dirección, los parámetros, los campos de formulario y las cabeceras con un conjunto de reglas, y después bloquea la petición, la frena o la deja pasar. Las reglas típicas detectan intentos de inyección SQL y de cross-site scripting, peticiones a archivos de plugins con fallos conocidos, avalanchas de intentos de inicio de sesión y bots maliciosos.

Puede funcionar en tres lugares:

• En el borde, en una CDN o un proxy inverso por el que pasa todo el tráfico. Una petición bloqueada nunca llega a su servidor, así que a su servidor no le cuesta nada.
• En el servidor, como un módulo del servidor web que el proveedor ejecuta para todos los sitios que aloja.
• Dentro de WordPress, como plugin. Solo ve una petición cuando ya ha llegado a su servidor y PHP se ha puesto en marcha, y usa la CPU y la memoria de su alojamiento en cada petición. A cambio conoce WordPress: quién ha iniciado sesión y a qué plugin pertenece una URL.

Lo que un cortafuegos no puede hacer

Un cortafuegos juzga las peticiones una a una, según reglas. Algunas brechas quedan abiertas sea cual sea el conjunto de reglas:

• Un inicio de sesión con una contraseña robada pero válida parece el propietario entrando.
• Un fallo en un plugin para el que nadie ha escrito aún una regla pasa. Las reglas siguen a las vulnerabilidades publicadas, así que siempre hay un margen.
• El código que ya está en el servidor sigue ejecutándose. Un cortafuegos instalado después de una intrusión no elimina la puerta trasera.
• Los cambios hechos desde una cuenta de administrador, incluida una secuestrada, son tráfico normal para un cortafuegos.

Por eso las actualizaciones van primero. Una regla de cortafuegos para un fallo conocido da tiempo hasta que usted actualice. No sustituye a la actualización.

Qué hace un escáner de malware

Un escáner comprueba el estado del sitio. Uno bueno para WordPress:

• compara los archivos de WordPress, de los plugins y de los temas con las copias oficiales de WordPress.org para su versión, lo que encuentra archivos modificados sin adivinar,
• busca archivos PHP en la carpeta de subidas,
• enumera las cuentas de administrador y detecta las nuevas,
• contrasta las versiones de plugins y temas con las vulnerabilidades publicadas,
• encuentra copias de seguridad y copias de la configuración que cualquiera puede descargar.

No detiene nada durante un ataque. Le dice después qué cambió y qué hacer. Cómo leer esos resultados se explica en cómo comprobar si un sitio web tiene malware.

De dónde puede venir el cortafuegos

Su proveedor de alojamiento. Muchos proveedores filtran las peticiones de todos los sitios de sus servidores. Pregúnteles por escrito: ¿hay un cortafuegos de aplicaciones web delante de mi sitio, quién actualiza sus reglas y puedo ver lo que ha bloqueado? Si la respuesta es sí, puede que no necesite otra capa.

Una CDN delante del sitio. Una CDN como Cloudflare se sitúa entre los visitantes y su servidor y puede filtrar las peticiones en el borde. El 19 de octubre de 2026, la documentación del WAF de Cloudflare (en inglés) decía que su Free Managed Ruleset está disponible en todos los planes de Cloudflare y cubre vulnerabilidades de alto impacto y ampliamente explotadas. Después de configurar una CDN, compruebe dos cosas. Su servidor no debería responder a peticiones que se saltan la CDN y van directamente a su dirección IP. Su protección del inicio de sesión debería ver la dirección del visitante, no la de la CDN.

Un plugin de cortafuegos. Es la vía cuando el proveedor no ofrece nada y una CDN no encaja. Antes de elegir uno, busque en su ficha o en su documentación:

• si se carga antes que los demás plugins, para que vea la petición antes que el código vulnerable,
• con qué frecuencia se actualizan sus reglas y si los usuarios gratuitos reciben las reglas nuevas al mismo tiempo que los de pago,
• un modo de aprendizaje o de solo registro, para ver qué bloquearía antes de que empiece a bloquear,
• su efecto en el servidor. Mida el tiempo de carga antes y un día después.

Mantenga un solo cortafuegos por capa. Dos plugins de cortafuegos en un mismo sitio hacen dos veces el mismo trabajo y, cuando se rechaza a un cliente, cuesta saber cuál fue.

Cuál necesita usted

• ¿Su proveedor ya filtra las peticiones? Entonces un escáner y unos buenos hábitos cubren el resto.
• ¿Tiene una tienda, un área de socios o formularios que usa mucha gente? Ahí tiene sentido un cortafuegos en el borde, porque hay más que atacar y más que perder.
• ¿Actualiza los plugins a los pocos días de cada versión? Entonces un cortafuegos atrapa sobre todo ruido. Si las actualizaciones esperan semanas, cubre justo ese hueco.
• ¿Se enteraría si esta noche cambiara un archivo del servidor? Si no, necesita un escáner tenga lo que tenga.

Ninguno de los dos sustituye a una copia de seguridad guardada fuera del servidor. Tras una intrusión, lo que recupera el sitio es una copia limpia.

A qué prestar atención

• Bloqueos falsos. Un cortafuegos que rechaza las notificaciones de su pasarela de pago o los mensajes del formulario de contacto le cuesta pedidos, y usted no ve ningún error. Lea su registro durante las primeras semanas.
• El cortafuegos como excusa para aplazar actualizaciones. La regla puede llegar más tarde que el ataque.
• La «limpieza» prometida como parte de un plan. Eliminar malware es trabajo sobre archivos, hecho por alguien que los lee. Pregunte quién lo hace y cómo averigua por dónde entró el atacante. Si no, la misma vía de entrada sigue abierta.

Dónde encaja Ensomedia Security

Ensomedia Security es sobre todo un escáner con protección del inicio de sesión e interruptores de refuerzo. Desde la versión 1.1.26 tiene además un Cortafuegos de solicitudes, desactivado hasta que usted lo active. Son reglas locales en su servidor, no un WAF en la nube, y no limpia un sitio hackeado.

Así queda frente a la lista anterior:

• Se carga pronto. Un archivo must-use revisa cada petición antes de que se carguen los plugins normales. En los alojamientos que ejecutan PHP con CGI o FastCGI, el ajuste Cargar antes de WordPress lo arranca antes de WordPress mediante el archivo .user.ini.
• Las reglas llegan con las actualizaciones del plugin y son las mismas para todos los sitios, porque el plugin no tiene versión de pago. Cubren las inyecciones habituales y la subida de archivos ejecutables, los bloqueos por IP, rango y país, los límites de peticiones y de errores 404, y excepciones acotadas. Detrás de Cloudflare, el bloqueo por país funciona con los rangos de direcciones de Cloudflare que el plugin incluye desde la versión 1.1.28. El tráfico normal (el pago en WooCommerce, el editor de bloques, la API REST, los comentarios, los formularios de contacto y el inicio de sesión) está cubierto por pruebas y pasa con todas las reglas activadas.
• Tiene el modo Solo registrar. Empiece con él, lea el historial del cortafuegos durante una o dos semanas y después pase a Bloquear.
• Funciona en su servidor, así que una petición bloqueada ya ha llegado a su alojamiento y ha arrancado PHP. No quita carga al servidor como un filtro en el borde de la red. No envía datos de las peticiones a ninguna parte, y su historial se queda en su sitio un máximo de 30 días.

Un cortafuegos de su proveedor o de una CDN y este trabajan en capas distintas, así que pueden funcionar juntos. No lo use junto a otro plugin de cortafuegos. Si alguna vez le bloquea a usted, las preguntas frecuentes del plugin explican cómo desactivarlo sin entrar en el escritorio.

Lo que hace además:

• Primero comprueba las sumas de comprobación oficiales. El núcleo de WordPress, los plugins del directorio y los temas del directorio se comparan con los archivos que WordPress.org publicó para su versión.
• Nunca reescribe el sitio por su cuenta. Los archivos, los usuarios y los ajustes solo cambian cuando usted pulsa un botón o activa un interruptor. Un archivo con un hallazgo de gravedad media o superior puede ir a cuarentena con un botón, y Restaurar lo devuelve a su sitio. Desde la versión 1.1.21, un botón sustituye un archivo modificado del núcleo, de un plugin o de un tema por su original de WordPress.org y guarda el archivo modificado en cuarentena, de modo que restaurarlo deshace la reparación. Desde la versión 1.1.25 también quita el código inyectado en un tema, un plugin propio, la carpeta de subidas, las entradas o las opciones: muestra el cambio exacto, hace una copia de seguridad y solo lo aplica cuando usted lo aprueba, y cada limpieza se puede deshacer. Cualquier otra limpieza que explique corresponde a usted, a su desarrollador o a su proveedor.
• Limita los inicios de sesión fallidos por dirección y por nombre de usuario. Solo cuenta la dirección propia de la conexión, nunca una cabecera que una petición pueda falsificar. Detrás de una CDN o de un proxy, usted indica sus direcciones como proxy de confianza y elige la cabecera que lleva la dirección del visitante.
• Desde la versión 1.1.27 tiene comprobaciones de inicio de sesión opcionales: entrar con una llave de acceso sin contraseña, una comprobación de bots al iniciar sesión, al registrarse y al restablecer la contraseña, el rechazo de contraseñas que aparecen en filtraciones de datos, una dirección de acceso oculta y trampas de spam para comentarios, registros y formularios de contacto. Todas están desactivadas hasta que usted las active.
• Tiene interruptores de refuerzo, todos desactivados hasta que usted los active: el editor de archivos, XML-RPC, un bloqueo de PHP en las subidas y las cabeceras de seguridad. Una cabecera que ya envía su servidor, su CDN u otro plugin se deja como está.
• Tiene parches virtuales, que son limitados a propósito. Con la fuente de amenazas en tiempo real activada, un pequeño archivo must-use puede detener una petición que explota una vulnerabilidad conocida de un plugin que usted tiene instalado, mientras su versión instalada esté afectada. Los parches bloquean si usted acepta la oferta de activar la protección después de activar el plugin. Si no, solo registran las peticiones que coinciden. No inspecciona todo el tráfico como hace un cortafuegos.

Las comprobaciones, el análisis diario programado y las alertas por correo son gratuitos, sin cuenta y sin límites. El cortafuegos, las comprobaciones de inicio de sesión, la fuente de amenazas en tiempo real, la consulta de vulnerabilidades y la segunda opinión de la IA permanecen desactivados hasta que usted los active. Encontrará el plugin en el directorio de WordPress.org como Ensomedia Security, y la página del plugin indica qué envía cada servicio opcional. Una comparación punto por punto con Wordfence, con lo que tiene y lo que le falta a cada plugin, está en la página de comparación (en inglés).

Revise su sitio desde fuera. Introduzca su dirección en shieldwave.io. Tarda unos 90 segundos y no necesita contraseña ni plugin.