Reforzar la seguridad de WordPress puede mantener tu sitio a salvo de ataques maliciosos. Una parte importante de este proceso consiste en utilizar un escáner de vulnerabilidades para detectar problemas de seguridad. Esta herramienta revisa tu sitio en busca de puntos débiles que podrían dejarlo expuesto a ataques, como plugins obsoletos o políticas de contraseñas poco seguras.
Aunque existen muchos escáneres de vulnerabilidades para WordPress, en esta guía presentamos algunos de los mejores. Con esta información, estarás mejor preparado para reforzar la seguridad de tu sitio de WordPress.
Factores que debes tener en cuenta al elegir un escáner de vulnerabilidades para WordPress
Elegir un escáner de vulnerabilidades depende de sopesar varios factores. Estas son las funciones más importantes que necesitarás al analizar problemas de seguridad de un sitio web:
1. Cobertura del análisis
Los escáneres de vulnerabilidades buscan código malicioso, malware conocido, virus, enlaces sospechosos, redirecciones sospechosas, errores del sitio web, software obsoleto y el estado de inclusión en listas de bloqueo. En resumen, buscan cualquier punto débil que permita a los hackers realizar acciones como inyección de SQL, RCE, XSS, o CSRF.
Los escáneres de vulnerabilidades remotos analizan tu sitio desde una perspectiva externa. Tienen un acceso limitado y, por tanto, no pueden ver todos los posibles puntos débiles. Tampoco pueden analizar tu base de datos, ajustes, cuentas de usuario, temas ni plugins.
Los plugins de análisis de vulnerabilidades, por otro lado, conocen mucho mejor todas las herramientas que tienes instaladas y el funcionamiento interno de tus ajustes y de tu base de usuarios. Pueden examinarlo todo con mucha más profundidad para realizar un análisis de riesgos más completo.
Por tanto, normalmente un plugin es la mejor opción, aunque una herramienta de análisis remoto sigue siendo útil en algunas situaciones, especialmente si tu sitio no funciona y no puedes acceder a él para analizarlo con un plugin.
Para que quede claro, los escáneres no protegerán tu sitio frente a las vulnerabilidades. Solo identifican puntos débiles, amenazas y determinadas condiciones existentes.
2. La base de datos de vulnerabilidades
Los escáneres solo pueden detectar vulnerabilidades descubiertas. Por eso, las organizaciones que realizan análisis de vulnerabilidades deben mantener una base de datos para hacer un seguimiento de las vulnerabilidades y valorar su gravedad. Cuando se realiza un análisis de seguridad de WordPress, se compara el sitio con esta base de datos.
Busca un escáner de seguridad de WordPress con una base de datos sólida y actualizada. Muchos escáneres gratuitos utilizan bases de datos con hasta seis meses de antigüedad, mientras que sus versiones premium están actualizadas. Aparecen nuevas vulnerabilidades constantemente, especialmente en un periodo de seis meses. Por eso, algunos escáneres gratuitos pueden dar una falsa sensación de seguridad.
3. Velocidad y precisión de la detección
Un escáner de vulnerabilidades debe funcionar rápidamente y ofrecer resultados precisos. Un escáner que tarde demasiado en ejecutarse podría ignorarse cuando el administrador tenga otras prioridades. Un escáner rápido se adapta mejor a su flujo de trabajo.
Y, por supuesto, la precisión es muy importante. Los análisis no te servirán de nada si no detectan las amenazas críticas.
4. Facilidad de uso
La facilidad de uso es otro elemento fundamental al considerar un escáner de seguridad de WordPress. Debe ser sencillo de utilizar. Esto incluye el diseño, los botones y el texto. Las herramientas difíciles de usar suelen ignorarse. Busca una interfaz intuitiva y que utilice una terminología clara.
6. Informes y priorización de amenazas
Los resultados del análisis y los pasos siguientes también deben ser fáciles de entender. La información sin instrucciones claras sobre cómo actuar no resulta muy útil.
La mayoría de los escáneres de seguridad de WordPress envían los resultados de sus análisis al administrador del sitio por correo electrónico o mediante el panel de administración. Las amenazas deben priorizarse según un nivel de amenaza claramente definido. El informe también debe incluir pasos de seguimiento claros para resolver todas las amenazas por orden de prioridad.
7. Reputación y atención al cliente
La reputación y la atención al cliente son factores que siempre hay que considerar con cualquier plugin o servicio, pero son aún más importantes para la seguridad de WordPress. Utiliza un escáner con buenas reseñas y reconocido por su eficacia para encontrar malware.
Con suerte, no necesitarás atención al cliente. Pero, si la necesitas, debe ser fácil de encontrar y responder rápidamente. La competencia también importa. Busca escáneres cuyo equipo de soporte conozca WordPress a fondo y pueda ofrecer soluciones con rapidez.
8 escáneres de vulnerabilidades para WordPress
Ahora que sabes qué buscar, hemos recopilado una lista de plugins y servicios que pueden ofrecer esas funciones. Algunos son plugins, otros son herramientas externas y algunos combinan ambas opciones. Cada herramienta tiene sus propias ventajas. ¡Vamos a verlas!
1. Jetpack Scan
Jetpack Scan es una función de seguridad de Automattic que realiza análisis diarios automatizados de tu sitio web para detectar posibles amenazas de seguridad, como malware o cambios de código no autorizados. Recibirás una alerta si detecta alguna. Para muchos problemas, también se te ofrecerán soluciones rápidas para resolverlos. Todos los resultados se almacenan en un archivo histórico, lo que te permite revisar amenazas anteriores y abordar más adelante cualquier problema que siga sin resolverse.
Puede analizar el sitio con o sin credenciales del servidor. Sin embargo, los análisis con credenciales del servidor son más rápidos y exhaustivos, y ofrecen una mayor probabilidad de detectar amenazas ocultas. Por suerte, añadir credenciales del servidor es sencillo y Jetpack ofrece un tutorial para guiarte durante el proceso.
Funciones principales de Jetpack Scan:
- Análisis diarios automáticos
- Análisis manuales
- Posibilidad de solucionar la mayoría de las amenazas con un solo clic
Ventajas de Jetpack Scan:
- Los análisis se realizan a diario, manualmente o en tiempo real con el plan premium de Jetpack Security.
- Analiza los plugins, temas y archivos subidos.
- Puede analizar sin las credenciales del servidor.
- Muestra un resumen rápido del estado actual del sitio.
- Ofrece soluciones con un solo clic para muchos problemas.
- Mantiene un registro de las amenazas anteriores del sitio con el estado ignorado o corregido.
- Proporciona notificaciones rápidas sobre cualquier amenaza nueva.
Desventajas de Jetpack Scan:
- No está pensado para limpiar sitios que ya hayan sido hackeados o infectados con malware.
- Las soluciones con un solo clic requieren credenciales del servidor y no están disponibles para todos los problemas.
- No analiza la base de datos del sitio web.
- No incluye compatibilidad con sitios múltiples.
Precios:
- El análisis está disponible como función premium independiente del plugin Jetpack por 4,95 $ al mes (facturado anualmente) durante el primer año.
- También puedes acceder a la función Jetpack Scan como parte del Paquete de seguridad, que incluye VaultPress Backup, Scan y Akismet por 9,95 $ al mes durante el primer año. También está disponible en el Paquete completo, que incluye toda la Suite Jetpack por 24,95 $ al mes durante el primer año. Ambos planes se facturan anualmente.
- Si no necesitas ninguna de las otras funciones útiles que incluye el plugin Jetpack, puedes acceder únicamente al análisis de vulnerabilidades y malware mediante el plugin Jetpack Protect.
2. Wordfence Security
Wordfence Security es un escáner de malware que comprueba los archivos del núcleo de WordPress, los temas y los plugins en busca de malware, redirecciones maliciosas, inyecciones de código, puertas traseras, URL incorrectas y spam de SEO. Es un paquete de seguridad completo que incluye un firewall y seguridad de inicio de sesión para ayudar a evitar ataques exitosos.
La mayoría de las herramientas de seguridad solo están disponibles en las versiones premium. Las funciones del escáner requieren una versión premium para realizar análisis actualizados. La versión gratuita analiza el sitio cada tres días y la base de datos de vulnerabilidades lleva 30 días desactualizada.
Funciones principales de Wordfence:
- Escáner de malware, firewall, seguridad de inicio de sesión y vistas del tráfico en tiempo real en el paquete premium
- Alertas de vulnerabilidades
- Actualizaciones de firmas de malware en tiempo real mediante Threat Defense Feed (solo en las versiones premium)
- Posibilidad de reemplazar archivos modificados y eliminar archivos añadidos para retirar el código modificado por hackers
Ventajas de Wordfence:
- Comprueba problemas de seguridad conocidos, incluidas las puertas traseras.
- Incluye otras herramientas de seguridad en el paquete premium.
- Sobrescribe los archivos modificados con la versión original.
- Te avisa cuando un plugin o tema ha quedado abandonado.
- Analiza continuamente el malware y las URL de phishing.
Desventajas de Wordfence:
- Las actualizaciones de malware se retrasan 30 días en la versión gratuita.
- La versión gratuita solo analiza el sitio cada tres días.
Precios:
Wordfence está disponible de forma gratuita o en varios paquetes premium que incluyen distintas opciones de seguridad.
Todas las funciones de análisis avanzadas están disponibles en la versión Premium, que cuesta 149 $ al año e incluye firmas en tiempo real y análisis ilimitados.
3. Sucuri SiteCheck
Sucuri SiteCheck es un escáner remoto de sitios web que busca malware conocido, código malicioso, virus, errores internos del servidor, software obsoleto y el estado de inclusión en listas de bloqueo. Proporciona una lista de las comprobaciones con una puntuación del nivel de riesgo para cada una. También muestra comprobaciones del dominio para que sepas a qué servicio de dominio dirigirte si tu sitio aparece en una lista de bloqueo.
Al ser remoto, puedes analizar cualquier sitio web para comprobar si es seguro. Es una forma sencilla de identificar problemas de seguridad y configuración.
Funciones principales de Sucuri SiteCheck:
- Un escáner remoto que comprueba cualquier sitio web
- Posibilidad de buscar malware conocido y código malicioso
- Comprobaciones del estado de las listas de bloqueo
- Una puntuación general del nivel de amenaza
- Una lista de mejoras para reforzar la seguridad
Ventajas de Sucuri SiteCheck:
- Comprueba los archivos, plugins y extensiones de WordPress.
- Puede analizar cualquier sitio web.
- Puede identificar qué servicio ha incluido un sitio web en una lista de bloqueo.
- Sugiere formas de reforzar la seguridad de tu sitio web.
Desventajas de Sucuri SiteCheck:
- No analiza el servidor.
- No puede solucionar problemas de seguridad.
- El análisis completo y la eliminación de malware solo están incluidos en la versión premium.
Precios:
Sucuri SiteCheck se puede usar gratis para realizar análisis ilimitados. Sin embargo, para análisis más exhaustivos y la eliminación de malware, necesitarás servicios premium, que empiezan en 229 $ al año.
4. MalCare WordPress Security Plugin
MalCare es un plugin de seguridad completo con varias funciones de análisis, según la versión que uses. Puedes elegir entre una versión gratuita y una premium. También cuenta con un escáner basado en la nube, por lo que tu sitio no experimenta una disminución del rendimiento al utilizarlo.
Con la versión premium, tienes acceso a una herramienta de limpieza de malware con un clic. Puedes consultar los detalles de los archivos comprometidos y limpiarlos en un minuto o menos.
Funciones principales de MalCare:
- Análisis exhaustivo basado en la nube sin impacto en el rendimiento
- Eliminación automática de malware con un clic
- Un módulo de gestión de sitios web
- Notificaciones de interrupciones del servicio
- Una comprobación del rendimiento
- Alertas de riesgos de seguridad
Ventajas de MalCare:
- Está basado en la nube, por lo que no afecta al rendimiento de tu sitio web.
- Admite análisis exhaustivos de tus archivos y base de datos.
- Las versiones premium incluyen la eliminación de malware con un clic.
- Admite informes de análisis con marca blanca.
Desventajas de MalCare:
- La frecuencia de los análisis está limitada según el plan que elijas.
- Las versiones premium requieren que pagues por otras funciones de seguridad para obtener las mejores herramientas de análisis.
- La eliminación de malware solo está disponible en la versión premium.
Precios:
Hay una versión gratuita de MalCare disponible, pero la mayoría de las funciones están disponibles en el nivel premium. Cada plan premium te permite analizar el sitio con más frecuencia que el plan anterior, pero todos incluyen herramientas de eliminación de malware.
El precio de la versión premium empieza en 149 $ al año.
5. Anti-Malware Security and Brute-Force Firewall
El plugin Anti-Malware Security and Brute-Force Firewall proporciona un escáner y un firewall para proteger tu sitio web de WordPress. Analiza los archivos del núcleo de WordPress, los temas y los plugins. Se necesita una cuenta gratuita para realizar análisis completos. En la versión premium, las nuevas definiciones se descargan automáticamente cada vez que ejecutas un análisis.
Funciones principales de Anti-Malware Security and Brute-Force Firewall:
- Nuevas actualizaciones cada vez que realiza un análisis
- Análisis y eliminación de amenazas de seguridad conocidas, scripts de puertas traseras e inyecciones en bases de datos
- Un firewall que bloquea las amenazas
- Posibilidad de actualizar las versiones vulnerables de los scripts de TimThumb
Ventajas de Anti-Malware Security and Brute-Force Firewall:
- La versión premium actualiza automáticamente las definiciones de las vulnerabilidades que analiza.
- Comprueba si existen amenazas de seguridad, puertas traseras e inyecciones en bases de datos.
- El firewall bloquea las vulnerabilidades conocidas.
Desventajas de Anti-Malware Security and Brute-Force Firewall:
- Las actualizaciones más recientes solo están disponibles en la versión premium.
- Solo la versión premium comprueba los archivos del núcleo de WordPress.
- La eliminación automática también está restringida a la versión premium.
- Es necesario registrarse para usar incluso la versión gratuita.
Precios:
- Puedes elegir entre las versiones gratuita y premium. La versión gratuita no descarga las definiciones más recientes ni comprueba los archivos del núcleo de WordPress.
- La versión premium requiere registrarse y hacer una donación de 29 $. Solo es necesario hacer una donación para usarla en varios sitios web con la misma dirección de correo electrónico.
6. Defender Security
Defender Security es un paquete de seguridad completo con un potente escáner de malware, un firewall y seguridad de inicio de sesión. Analiza los archivos de WordPress y los compara con los archivos originales del repositorio de WordPress. Después te avisa de las diferencias para que puedas restaurar el original con el mínimo esfuerzo.
La versión gratuita permite realizar análisis manuales, mientras que la versión Pro incluye análisis automáticos y programados. Si solo necesitas las funciones de análisis, este plugin puede resultar excesivo.
Funciones principales de Defender Security:
- Un firewall incluido
- Análisis que incluyen la identificación de código sospechoso y malware
- Análisis automáticos y programados (Pro)
- Análisis del núcleo, los temas y los plugins de WordPress
Ventajas de Defender Security:
- Compara tus archivos de WordPress con los archivos originales del repositorio.
- Este plugin informa de los cambios respecto a la copia original.
- Incluye la restauración con un solo clic.
- También permite realizar análisis ilimitados de archivos.
Desventajas de Defender Security:
- La mayoría de las funciones de análisis solo están disponibles en la versión premium.
- Si solo necesitas realizar análisis, ofrece más funciones de las que necesitas.
Precios:
La versión gratuita incluye funciones de análisis limitadas y solo permite realizar análisis manuales. La versión Pro está disponible en tres planes, de 15 a 50 $ al mes. Todos los planes incluyen funciones de análisis, con distintos niveles según el número de sitios que quieras analizar.
7. Security & Malware Scan by CleanTalk
Security & Malware Scan by CleanTalk es un plugin gratuito que funciona con el servicio de seguridad en la nube premium de CleanTalk. Ofrece varias funciones de seguridad, como análisis de malware, un firewall, autenticación de dos factores y protección de inicio de sesión.
El servicio de análisis almacena los resultados en la nube para que puedas consultarlos y tomar las medidas adecuadas. Si no estás seguro de si un archivo contiene malware, ponte en contacto con CleanTalk y lo comprobarán por ti. Su sistema de comentarios te permite enviar archivos sospechosos desde el panel de administración de WordPress a su nube para analizarlos.
Funciones principales de Security & Malware Scan:
- Un análisis antivirus heurístico que encuentra malware y virus mediante construcciones incorrectas de PHP
- Una lista de archivos sospechosos
- La posibilidad de aplicar acciones en lote a los resultados de los análisis
- La posibilidad de enviar archivos sospechosos desde el panel de administración de WordPress a la nube de CleanTalk
- Estadísticas de seguridad detalladas de todos los servicios
- Registros de seguridad almacenados en la nube durante 45 días
Ventajas de Security & Malware Scan:
- El plugin permite realizar análisis diarios de malware.
- Incluye funciones antivirus.
- El análisis manual no requiere una suscripción.
- Analiza todos los archivos en busca de indicios de hackeo y código malicioso.
- Envía los resultados a un panel que puedes consultar.
- El plugin elimina el código infectado.
Desventajas de Security & Malware Scan:
- Requiere un servicio en la nube para comprobar y limpiar determinados archivos.
- El análisis de enlaces salientes requiere un plan premium.
Precios:
La versión gratuita incluye análisis manuales, acciones en lote y registros. Para realizar análisis automáticos y de enlaces salientes, necesitarás un plan premium. Los precios empiezan en 9 $ al año para análisis y seguridad.
8. Patchstack
Patchstack es único entre los escáneres de malware. Es un plugin de seguridad que no realiza comprobaciones externas en tu sitio web. En su lugar, compara el núcleo, los plugins y los temas de WordPress con su base de datos de vulnerabilidades para determinar si existe alguna vulnerabilidad conocida. Esto no utiliza los recursos de tu servidor, por lo que el rendimiento de tu sitio no se ve afectado.
Envía una notificación por correo electrónico o Slack si alguno de tus plugins o temas instalados presenta vulnerabilidades conocidas. El panel de seguridad te permite proteger hasta diez sitios web gratis.
Funciones principales de Patchstack:
- Una comparación de archivos
- Alertas por correo electrónico
- Notificaciones de Slack (Premium)
- Una visión general de la seguridad, que se conserva durante diez semanas en la aplicación de Patchstack
Ventajas de Patchstack:
- Patchstack mantiene una base de datos actualizada de archivos, plugins y temas con vulnerabilidades conocidas.
- El plugin muestra si hay una solución disponible.
- Ordena las vulnerabilidades según la fecha de publicación y la prioridad.
- El plugin aplica parches automáticos a los archivos con vulnerabilidades conocidas.
- Funciona con instalaciones multisitio.
Desventajas de Patchstack:
- Instalar este plugin es un proceso largo.
- La versión premium es necesaria para identificar vulnerabilidades de los plugins y aplicar parches automáticos.
Precios:
La versión gratuita ofrece toda la detección que necesitas para tus archivos, pero para aplicar parches automáticamente necesitarás la versión premium. La versión premium cuesta 99 $ al mes.
Comparativa de plugins de análisis de vulnerabilidades en WordPress
| Análisis automáticos | Base de datos extensa | Actualizaciones periódicas | Interfaz fácil de usar | Informes claros con información útil para tomar medidas | Asistencia | Precio | |
| Jetpack Scan | Sí | Sí | Sí | Sí | Sí | Prioridad | 59,40 $/año |
| Wordfence | Cada 3 días (gratuito) o a diario (premium) | Solo premium | Solo premium | No | Sí | Voluntaria (gratuita) o 24/7/365 (premium) | 149 $/año |
| Sucuri SiteCheck | No | Sí | Sí | Sí | Sí | Base de conocimientos (gratuita), premium 24/7 | Gratis, 229-999 $/año |
| MalCare | No | Sí | Sí | Sí | Solo premium | Foro de WordPress (gratuito), respuesta premium en 6-24 horas | Gratis, 149-499 $/año |
| Anti-Malware Security and Brute-Force Firewall | No | Sí | Solo premium | Sí | Sí | Foro en WordPress y sitio del editor | Gratis, 29 $ por pago único |
| Defender Security | Solo premium | Sí | Solo premium | Sí | Sí | Solo premium, 24/7 | Gratis, 180-600 $/año |
| Análisis de seguridad y malware | Sí | Sí | Sí | Sí | Sí | Foro de WordPress (gratuito), premium, 24/7 | Gratis, 9 $/año, 119 $ por la limpieza |
| Patchstack | No | Sí | Sí | No | Sí | Chat durante el horario laboral | Gratis, 1188 $/año |
¿Qué características debe tener un buen escáner de vulnerabilidades de WordPress?
Un escáner de vulnerabilidades de WordPress de calidad reúne varias características distintivas. Así que, si estás buscando el mejor, conviene que tengas en cuenta los siguientes atributos:
1. Análisis rápido y eficaz
Es importante encontrar el malware y el código malicioso lo antes posible. Esto significa analizar con mayor rapidez y frecuencia. Evita los productos que solo analizan una o dos veces por semana.
Un escáner de seguridad lento de WordPress podría tardar demasiado en informar sobre datos importantes de tus archivos. Como consecuencia, un problema que podrías haber resuelto rápidamente puede pasar desapercibido durante días mientras infecta a miles de visitantes.
2. Una base de datos de amenazas completa y actualizaciones periódicas
Un buen escáner de vulnerabilidades de WordPress mantiene una base de datos completa que incluye los archivos del núcleo de WordPress, los temas y los plugins con vulnerabilidades conocidas. Esto garantiza que las vulnerabilidades no pasen desapercibidas ni infecten a los usuarios.
3. Interfaz fácil de usar
Los escáneres de seguridad de WordPress deben ser intuitivos. Sus funciones deben ser fáciles de reconocer y entender. Los botones deben estar claramente etiquetados. Es mejor evitar las herramientas que requieren una formación exhaustiva.
4. Informes claros con recomendaciones prácticas
Los problemas de seguridad deben ser fáciles de entender y sus soluciones, igual de fáciles de aplicar. Necesitas una herramienta con informes claros que muestren las amenazas y su nivel de gravedad para que sepas cuáles priorizar.
Las recomendaciones también deben ser prácticas, para que sepas qué hacer para resolver los problemas. No sirve de mucho saber que un plugin tiene un problema de seguridad si no sabes cómo solucionarlo.
5. Comunidad y asistencia activas
La herramienta que elijas debe ofrecer asistencia activa. La asistencia ayuda a resolver cualquier problema con el escáner, así que busca un equipo de asistencia competente que responda rápidamente.
Una comunidad activa también puede ayudarte a empezar o a solucionar problemas. Es probable que alguien ya haya resuelto cualquier situación que encuentres, por lo que un foro activo o una base de conocimientos te permite aprender de los demás.
Preguntas frecuentes
¿Buscas más información sobre los escáneres de vulnerabilidades para reforzar la seguridad de tu sitio de WordPress? A continuación encontrarás respuestas a las preguntas más frecuentes.
¿Qué es un escáner de vulnerabilidades de WordPress?
Un escáner de vulnerabilidades de WordPress es una herramienta que analiza tu sitio web en busca de problemas de seguridad conocidos, incluidos el malware, el código malicioso y los plugins y temas obsoletos que podrían dejar tu sitio expuesto a ataques.
¿Qué ventajas tiene utilizar un escáner de vulnerabilidades en WordPress?
Un escáner de vulnerabilidades ayuda a mantener tu sitio web seguro para ti y tus usuarios. Identifica las amenazas y te avisa de ellas.
¿Cómo se mantienen actualizados los escáneres de vulnerabilidades frente a las amenazas más recientes?
Los escáneres de vulnerabilidades reciben y verifican continuamente información de la comunidad, analizan la web en busca de amenazas de seguridad y ofrecen programas de recompensas para identificar problemas. Las amenazas se documentan, clasifican y almacenan en una base de datos.
¿Qué tipo de asistencia puedo esperar de un plugin de escáner de vulnerabilidades?
Un plugin de análisis de vulnerabilidades analiza tu sitio web e informa de los resultados por correo electrónico y en tu panel de administración de WordPress. La mayoría no incluye herramientas para reparar la vulnerabilidad. Sin embargo, Jetpack Scan permite solucionar con un clic muchos de los problemas que detecta.
¿Es fácil configurar y utilizar un escáner de vulnerabilidades en WordPress?
La dificultad de configurar y utilizar un escáner de vulnerabilidades varía. Algunos son fáciles de usar, mientras que otros son complicados. La mayoría de los que son fáciles de usar no ofrecen muchas funciones. En nuestra opinión, Jetpack Scan se configura fácilmente con solo unos clics y es intuitivo de usar. Está disponible como plugin independiente conocido como Jetpack Protect o como parte del paquete Jetpack Security.
Jetpack 