La mayoría de los hackeos que llegan a nuestras manos no pasan un martes cualquiera de febrero. Pasan justo cuando la tienda más está vendiendo: rebajas, día sin IVA, aniversario de marca, temporada decembrina. No es coincidencia. Más tráfico significa más superficie de ataque, y un solo día de tienda caída en tu mejor semana de ventas cuesta muchísimo más que revisarla con anticipación. Este checklist es exactamente lo que revisamos antes de que una tienda entre a su temporada de mayor movimiento, y puedes hacerlo tú mismo en una tarde.
📌 Resumen rápido
Antes de cualquier temporada de alto tráfico, revisa: actualizaciones pendientes, usuarios administradores, backups probados (no solo programados), autenticación en dos pasos, firewall activo, certificado SSL vigente, el checkout completo de principio a fin, límites de intentos de login, y ten un plan de contingencia con contacto de emergencia listo. Ninguno de estos puntos toma más de 20 minutos individualmente, pero juntos son la diferencia entre una temporada de ventas normal y una tienda caída en tu peor momento.
En esta guía
¿Por qué revisar seguridad antes de temporada alta y no después?
Más visitantes significa más tráfico legítimo, pero también más bots automatizados probando vulnerabilidades conocidas contra tu sitio, porque esos bots escanean constantemente sin distinguir si es un día normal o tu mejor semana del año. Si tu tienda tiene una puerta abierta, es indiferente para el atacante en qué fecha la encuentre. La diferencia la pones tú: encontrarla antes con calma, o que te encuentre a ti en medio de tu pico de ventas, cuando cada hora de tienda caída cuesta en ingresos perdidos y no solo en tiempo técnico.
La otra razón es más simple: en temporada alta no tienes margen para improvisar. Un backup que nunca probaste restaurar, una contraseña compartida que nadie recuerda cambiar, un plugin desactualizado que «total, ya lleva meses así y no ha pasado nada», todo eso se vuelve un problema mucho más caro cuando tu tienda está recibiendo el triple de pedidos de lo normal.
El checklist de 10 puntos
1. Actualiza WordPress, WooCommerce, tema y plugins
El punto más simple y el más ignorado. Entra a Escritorio → Actualizaciones y revisa que no haya nada pendiente. Antes de actualizar en producción, hazlo primero en un entorno de pruebas o al menos en un horario de bajo tráfico, porque una actualización mal compatible puede romper algo más de lo que arregla si la haces sin cuidado.
2. Elimina plugins y temas que no uses
Un plugin desactivado sigue siendo código instalado en tu servidor y sigue siendo una puerta potencial si tiene una vulnerabilidad conocida, aunque no lo estés usando activamente. Ve a Plugins → Instalados y desinstala (no solo desactives) todo lo que no tenga una función clara en tu tienda hoy.
3. Revisa tus usuarios administradores
Ve a Usuarios y confirma que cada cuenta con rol de Administrador es alguien que reconoces y que sigue necesitando ese nivel de acceso. Si un antiguo colaborador o desarrollador externo ya no trabaja contigo, elimina o degrada su acceso ahora, no cuando surja un problema.
4. Activa autenticación en dos pasos (2FA)
Si todavía no lo tienes, un plugin como WP 2FA lo activa en minutos. Esto por sí solo bloquea la mayoría de los intentos de acceso por fuerza bruta, incluso si alguien llegara a adivinar o filtrar tu contraseña.
5. Prueba tus backups, no solo confirmes que existen
Este es el punto que más gente se salta y el que más lamenta después. Un backup programado que nunca has restaurado es una suposición, no una garantía. Descarga tu backup más reciente y, en un entorno de pruebas o staging, restáuralo para confirmar que funciona completo, no solo que el archivo se generó.
6. Verifica que tengas un firewall de aplicación web (WAF) activo
Wordfence si prefieres una solución dentro de WordPress, Cloudflare (su plan gratuito ya ayuda bastante) si prefieres filtrar el tráfico antes de que llegue al servidor, o Sucuri si buscas monitoreo y firewall combinados. Si ya tienes uno instalado, confirma que las reglas estén actualizadas y no en modo de solo alerta sin bloqueo activo.
7. Confirma que tu certificado SSL esté vigente y bien configurado
Un certificado SSL vencido en medio de tu temporada de más ventas asusta a los clientes con la advertencia de «sitio no seguro» justo cuando están por pagar. La mayoría de hostings lo renuevan automáticamente, pero vale la pena confirmarlo manualmente entrando a tu tienda con el candado del navegador y revisando la fecha de vencimiento.
8. Prueba el checkout completo de principio a fin
No solo que cargue. Haz una compra de prueba real con un producto de bajo valor, revisa que el formulario de pago se vea como debería, que no haya campos ni scripts extraños, y que el correo de confirmación llegue correctamente. Esto también es tu oportunidad de detectar visualmente algo fuera de lugar antes de que un cliente real lo note primero.
9. Limita los intentos de inicio de sesión fallidos
Sin este límite, un atacante puede intentar miles de combinaciones de contraseña sin restricción. La mayoría de plugins de seguridad (Wordfence incluido) traen esta opción, solo hay que activarla y confirmar que el número de intentos permitidos sea razonablemente bajo.
10. Ten un plan de contingencia y un contacto de emergencia listo
Si algo falla en medio de tu temporada más importante, no es el momento de empezar a buscar quién te puede ayudar. Ten claro de antemano: quién tiene acceso a tu hosting, dónde está tu backup más reciente, y a quién vas a llamar si necesitas una recuperación rápida.
Revisar esto en un día tranquilo toma una tarde. Descubrirlo sin revisar, en medio de tu mejor semana de ventas, puede tomarte la semana completa.
Tabla de prioridad y tiempo estimado
| Punto | Prioridad | Tiempo estimado |
|---|---|---|
| 1. Actualizaciones pendientes | Alta | 15-30 min |
| 2. Plugins/temas sin usar | Media | 10 min |
| 3. Usuarios administradores | Alta | 10 min |
| 4. Autenticación en dos pasos | Alta | 15 min |
| 5. Prueba de restauración de backup | Alta | 30-60 min |
| 6. Firewall (WAF) activo | Media | 20 min |
| 7. Certificado SSL vigente | Media | 5 min |
| 8. Prueba de checkout completa | Alta | 15 min |
| 9. Límite de intentos de login | Media | 5 min |
| 10. Plan de contingencia definido | Media | 15 min |
Preguntas frecuentes
¿Con qué frecuencia debería hacer esta revisión?
Idealmente antes de cualquier evento que dispare tu tráfico (rebajas, campañas grandes, temporada decembrina) y como mínimo cada tres meses aunque no tengas un evento específico a la vista.
¿Este checklist reemplaza tener un plugin de seguridad?
No, lo complementa. Un plugin de seguridad detecta ciertas amenazas automáticamente, pero varios puntos de este checklist (probar tu backup, revisar usuarios administradores, probar el checkout de verdad) requieren revisión humana porque ningún plugin lo hace por ti.
¿Qué hago si en la revisión encuentro algo sospechoso?
Detente ahí y no sigas navegando en producción hasta confirmar qué es. Si tienes duda de si es una vulnerabilidad activa o solo un archivo raro sin explicación clara, vale más una revisión profesional rápida que arriesgarte a activar temporada alta con una puerta abierta sin saberlo.
¿Puedo delegar este checklist a alguien de mi equipo sin experiencia técnica?
Los puntos 2, 3, 7, 9 y 10 son perfectamente delegables con instrucciones claras. Los puntos 1, 5, 6 y 8 conviene que los haga alguien con algo de familiaridad técnica, porque un error en la ejecución (como una actualización mal probada) puede causar más problemas que el que estás previniendo.
¿Prefieres que lo revisemos nosotros antes de tu próxima temporada alta?
Con Rescate WooCommerce puedes elegir una revisión puntual o dejarlo en piloto automático con monitoreo mensual, para no tener que acordarte de hacer este checklist cada vez.
Diagnóstico y Limpieza Esencial
$99.900 COP / $35 USD
Monitoreo Mensual
$149.900 COP / $49 USD al mes
Limpieza Completa y Blindaje
$399.900 COP / $129 USD
