Cómo proteger tu WordPress de ataques de fuerza bruta (Guía 2026)

Los ataques de fuerza bruta son uno de los métodos más comunes que usan los atacantes para intentar ingresar a un sitio WordPress. Consisten en probar miles de combinaciones de usuario y contraseña hasta encontrar una que funcione.

La buena noticia es que podés proteger tu sitio fácilmente aplicando buenas prácticas y usando herramientas de seguridad confiables.

En esta guía te explico cómo funcionan estos ataques, por qué son peligrosos y cómo proteger tu WordPress paso a paso.

🔐 ¿Qué es un ataque de fuerza bruta?

Un ataque de fuerza bruta ocurre cuando un bot intenta acceder al panel de WordPress (/wp-admin) probando miles de contraseñas por minuto.

Los atacantes suelen usar:

• Listas de contraseñas filtradas

• Bots distribuidos (botnets)

• Usuarios comunes como “admin”, “root”, “test”

• IPs rotativas para evitar bloqueos

Si tu sitio no está protegido, un ataque así puede comprometer:

• Tu panel de administración

• Tu base de datos

• Tu contenido

• La reputación de tu dominio

• La seguridad de tus clientes

⚠️ Señales de que tu WordPress está siendo atacado

• Intentos de login repetidos

• Caídas del sitio sin explicación

• Consumo excesivo de CPU

• Notificaciones de acceso fallido

• IPs desconocidas intentando ingresar

Si tu hosting te muestra picos de recursos, es muy probable que estés bajo un ataque de fuerza bruta.

🛡️ Cómo proteger tu WordPress de ataques de fuerza bruta

🟦 1. Cambiá la URL de acceso al panel

La URL por defecto /wp-admin es conocida por todos.
Cambiarla reduce el 90% de los intentos automáticos.

Plugins recomendados:

• WPS Hide Login

• iThemes Security

• All In One WP Security

🟩 2. Activá la autenticación en dos pasos (2FA)

Incluso si alguien obtiene tu contraseña, no podrá ingresar sin el segundo factor.

Plugins recomendados:

• Wordfence

• Google Authenticator

• WP 2FA

🟧 3. Limitá los intentos de login

Bloqueá automáticamente a los bots que prueban contraseñas repetidas.

Plugins recomendados:

• Limit Login Attempts Reloaded

• Wordfence

• All In One WP Security

Configuración sugerida:

• 3 intentos fallidos

• Bloqueo por 30 minutos

• Aumento progresivo del bloqueo

🟥 4. Usá contraseñas seguras y únicas

Evitar:

• “admin123”

• “123456”

• “empresa2024”

Recomendado:

• 12+ caracteres

• Mayúsculas, minúsculas, números y símbolos

• Contraseña única para WordPress

🟪 5. Activá un firewall de aplicaciones (WAF)

Un WAF bloquea bots, ataques automatizados y tráfico malicioso antes de que llegue a tu sitio.

Opciones recomendadas:

• Cloudflare WAF

• Wordfence Premium

• Sucuri Firewall

🟫 6. Mantené WordPress, plugins y temas actualizados

El 60% de los sitios hackeados tenían software desactualizado.

Actualizá:

• WordPress

• Plugins

• Temas

• PHP

🟨 7. Usá un hosting seguro

Un hosting optimizado para WordPress con firewall, protección anti‑bots y monitoreo reduce enormemente los riesgos.

Fullwidth ofrece:

• Firewall LiteSpeed

• Protección contra fuerza bruta

• Monitoreo 24/7

• Bloqueo automático de IPs maliciosas

🟦 8. Bloqueá países o IPs sospechosas

Si tu negocio opera solo en Argentina, podés bloquear tráfico de regiones donde se originan la mayoría de los ataques.

Cloudflare permite:

• Bloqueo por país

• Desafíos por captcha

• Reglas personalizadas

🟩 9. Deshabilitá el usuario “admin”

Es el primero que prueban los atacantes.

Creá un usuario nuevo con rol administrador y eliminá el “admin”.

🟧 10. Activá notificaciones de seguridad

Recibí alertas cuando:

• Alguien intenta ingresar

• Se detecta malware

• Hay cambios sospechosos en archivos

Plugins recomendados:

• Wordfence

• iThemes Security

🎯 Conclusión

Los ataques de fuerza bruta son inevitables, pero tu sitio no tiene por qué ser vulnerable.
Con buenas prácticas, plugins adecuados y un hosting seguro, podés proteger tu WordPress y mantener tu negocio online sin riesgos.

En Fullwidth ofrecemos hosting optimizado, firewall avanzado y soporte real para que tu sitio esté siempre protegido.