Es habitual que, con el tiempo, una web acumule usuarios que ya no deberían tener acceso: el antiguo desarrollador que hizo el proyecto inicial, un becario que ya no trabaja en la empresa, o una cuenta de prueba creada "temporalmente" hace dos años. Cada una de esas cuentas, si tiene permisos de administrador y una contraseña débil o reutilizada, es una puerta de entrada directa para un atacante.
Por qué es más peligroso de lo que parece
Los atacantes automatizados no necesitan encontrar una vulnerabilidad sofisticada en tu código: les basta con probar combinaciones de usuario y contraseña conocidas (un proceso llamado brute force) contra tu página de acceso a WordPress. Si existe una cuenta antigua, olvidada y con una contraseña simple, es cuestión de tiempo que la encuentren.
Cómo auditar tus usuarios en 10 minutos
- Entra en Usuarios desde el escritorio de WordPress y revisa la lista completa, no solo los que reconoces a primera vista.
- Por cada usuario, pregúntate: ¿sigue trabajando con nosotros o necesita acceso hoy? Si la respuesta es no, elimínalo o cambia su rol a uno sin permisos de edición.
- De los que se quedan, comprueba que ninguno usa el nombre de usuario "admin" (el primero que prueba cualquier ataque automatizado) y que todos tienen contraseñas únicas y robustas.
- Activa la verificación en dos pasos si tu plugin de seguridad lo permite — reduce drásticamente el riesgo incluso si una contraseña se filtra en otro sitio.
- Limita los intentos de acceso fallidos (la mayoría de plugins de seguridad lo incluyen) para frenar los ataques automatizados.
Una recomendación adicional
Da a cada persona solo el rol que necesita para su trabajo. No todo el mundo necesita ser "Administrador" — un rol de "Editor" o "Autor" es suficiente para quien solo publica contenido, y reduce el daño potencial si esa cuenta se ve comprometida.
En resumen
Una auditoría de usuarios lleva diez minutos y cierra una de las puertas de entrada más habituales para un ataque. Es de las tareas de seguridad con mejor relación entre tiempo invertido y riesgo evitado.