Miles de ataques automatizados se producen cada minuto buscando vulnerabilidades conocidas, plugins desactualizados, temas pirateados o simples errores de configuración que pueden abrir la puerta a consecuencias desastrosas: inyección de malware, spam SEO, robo de datos, redirecciones maliciosas, bloqueo completo del sitio o incluso uso de tu servidor como bot en ataques DDoS.

En este artículo repasaremos los siguientes errores de seguridad en WordPress:

1. 1. Contraseñas débiles y ausencia de una política de contraseñas segura
2. 2. Plugins y temas desactualizados
3. 3. Usuario admin por defecto
4. 4. Uso de plugins y temas de dudosa procedencia (nulled)
5. 5. Permisos de archivos y carpetas incorrectos
6. 6. No proteger el archivo wp-config.php
7. 7. No usar HTTPS o configurarlo mal
8. 8. No limitar intentos de acceso (login)
9. 9. Exposición de rutas o archivos sensibles
10. 10. No hacer copias de seguridad periódicas
11. 11. Mala gestión de roles y permisos de usuario
12. 12. Dejar el editor de archivos del panel activo
13. 13. No bloquear ni limitar el acceso a xmlrpc.php
14. 14. wp-cron mal configurado o expuesto
15. 15. Dejar contenido por defecto o plugins/temas sin usar

1. Contraseñas débiles y ausencia de una política de contraseñas segura

Uno de los errores más frecuentes (y más fáciles de solucionar) en WordPress —y en cualquier sistema— es permitir contraseñas débiles o reutilizadas, sin una política clara que las imponga y mantenga en el tiempo.

Esto sigue siendo una de las causas más habituales de accesos no autorizados: basta una sola credencial filtrada o fácil de adivinar para perder el control de toda la instalación.

Lo que se suele hacer

1. Usar contraseñas como admin, 123456, admin123, qwerty o variantes.
2. Reutilizar la misma contraseña en WordPress, correo, hosting, panel del proveedor y base de datos.
3. No cambiar contraseñas tras cambios de rol o rotación del equipo (por ejemplo, un freelance que ya no trabaja en la web).
4. Compartir contraseñas por correo o WhatsApp y no regenerarlas después.
5. Mantener usuarios con permisos elevados (administrador/editor) que llevan meses o años sin iniciar sesión.
6. Permitir contraseñas débiles porque «WordPress deja» (o porque un usuario confirma manualmente que quiere usarla).
7. No exigir renovación periódica, complejidad mínima o 2FA para cuentas críticas.

Por qué es un problema crítico

Los ataques de fuerza bruta y diccionario se basan en probar combinaciones comunes de usuarios y contraseñas. Herramientas como WPScan, Hydra o suites de pentesting permiten automatizar estos ataques a gran escala, probando cientos de combinaciones por segundo contra miles de sitios.

Además, hoy el riesgo ya no es solo «adivinar» la contraseña: es reutilizar credenciales filtradas. Si alguien usa la misma contraseña en varios servicios y uno se filtra, los atacantes prueban esas combinaciones en WordPress (credential stuffing).

El resultado es simple:

• Si no hay política de contraseñas, tarde o temprano aparece una contraseña débil.
• Si no hay controles (bloqueo, 2FA, rotación), esa contraseña termina siendo un punto de entrada.

Solución paso a paso

1. Exigir contraseñas fuertes (y definir una política)

Como base mínima recomendable:

• Longitud 12 caracteres como mínimo (mejor 16+).
• Mezcla de letras, números y símbolos.
• Prohibir contraseñas comunes y patrones previsibles.
• Para roles críticos: obligatorio 2FA.

Con plugin (lo más práctico):

• Password Policy Manager
• Solid Security (opciones de política de contraseñas)

Con código personalizado (si quieres control fino):

<?php
/**
 * Fuerza una longitud mínima de contraseña en perfil, registro y reset.
 * Ajusta la política según tu proyecto.
 */
add_action( 'user_profile_update_errors', 'wpcom_validar_contrasena', 10, 3 );
add_filter( 'registration_errors', 'wpcom_validar_contrasena', 10, 3 );
add_action( 'validate_password_reset', 'wpcom_validar_contrasena_reset', 10, 2 );
function wpcom_validar_contrasena( $errors, $update = null, $user = null ) {
	if ( ! empty( $_POST['pass1'] ) && strlen( (string) $_POST['pass1'] ) < 12 ) {
		$errors->add(
			'password_too_short',
			__( 'La contraseña debe tener al menos 12 caracteres.', 'textdomain' )
		);
	}
	return $errors;
}
function wpcom_validar_contrasena_reset( $errors, $user_data ) {
	return wpcom_validar_contrasena( $errors, null, $user_data );
}

Consejo: si vas a usar código, conviértelo en MU-plugin y acompáñalo de una política documentada para el equipo.

2. Cambiar credenciales débiles o comprometidas (especialmente administradores)

Audita administradores:

wp user list --role=administrator

Actualiza contraseñas (ejemplo):

wp user update 1 --user_pass='CONTRASENA_FUERTE_AQUI'

Si quieres forzar que el usuario cambie la contraseña en su próximo acceso, usa un plugin de expiración:

• Password Policy Manager (opción Auto Password Expiry)

3. Activar autenticación en dos factores (2FA)

El 2FA evita que alguien entre aunque tenga tu contraseña.

Plugins recomendados:

• WP 2FA
• Wordfence Login Security

Apps compatibles:

• Authy
• Google Authenticator

Recomendación práctica: 2FA obligatorio para administradores y cualquier rol con acceso a plugins críticos (seguridad, backups, SEO, formularios).

4. Limitar intentos de acceso (fuerza bruta)

La política de contraseñas debe ir acompañada de un freno a intentos masivos.

• Limit Login Attempts Reloaded

Ajuste típico inicial:

• 3 intentos fallidos → bloqueo 20 minutos
• Reincidencia → bloqueo prolongado

5. Usar gestores de contraseñas (para que la política sea realista)

Si obligas a contraseñas únicas y largas, el equipo necesita una forma práctica de gestionarlas:

• Bitwarden (open source)
• 1Password
• KeePassXC (open source)
• LastPass

Esto reduce drásticamente la reutilización y el «apunto la contraseña en un sitio inseguro».

6. Auditar usuarios inactivos y accesos heredados

Revisa usuarios con permisos elevados que no deberían seguir existiendo.

wp user list --role=administrator --field=user_login

Para eliminar y reasignar contenido:

wp user delete USUARIO --reassign=ADMIN_ID

Buenas prácticas extra

• No uses «admin» como nombre de usuario.
• No reutilices contraseñas entre servicios.
• No compartas credenciales por correo o mensajería sin cifrado.
• Documenta la política (mínimos, rotación, 2FA, revocación de accesos).
• Si hay rotación de proveedores/freelance: cambio de credenciales inmediato.

Con esto no solo solucionas el problema de «contraseñas malas»: conviertes las credenciales en un control sostenible en el tiempo, incluso cuando el equipo cambia o el proyecto crece.

2. Plugins y temas desactualizados

Si hay un principio fundamental en la seguridad de cualquier sistema es este: lo que no se actualiza, se rompe. En WordPress, este principio es especialmente importante. La gran mayoría de las vulnerabilidades explotadas por atacantes no son vulnerabilidades 0-day, sino fallos conocidos para los que ya existe una actualización disponible.

Lo que se suele hacer:

1. Dejar el core de WordPress en una versión antigua por miedo a romper la web.
2. No revisar los plugins y temas instalados, incluso los inactivos.
3. Tener desactivadas las actualizaciones automáticas.
4. Usar plugins o temas que ya no tienen soporte ni actualizaciones.
5. Utilizar software nulled o descargado de fuentes no oficiales.

Por qué es un error crítico

WordPress, al ser software libre, tiene su código público. Cuando se detecta una vulnerabilidad y se publica una actualización, esa información también queda disponible para atacantes. Es cuestión de tiempo (a veces minutos) para que scripts automáticos empiecen a escanear la red buscando instalaciones que no hayan aplicado el parche.

En muchos casos, basta un plugin desactualizado para comprometer todo el sitio. Da igual que el core esté actualizado si tienes una versión vulnerable de un plugin activo.

Solución paso a paso

1. Habilitar actualizaciones automáticas seguras

WordPress ya actualiza el core menor (por ejemplo, de 6.4.1 a 6.4.2) por defecto. Pero podemos configurar que también se actualicen los plugins y temas automáticamente.

Desde el functions.php o un plugin de funcionalidades:

add_filter( 'auto_update_plugin', '__return_true' );
add_filter( 'auto_update_theme', '__return_true' );

Si usas wp-config.php, puedes forzar la actualización del core:

define( 'WP_AUTO_UPDATE_CORE', true );

Consejo: en proyectos críticos, puedes usar staging + monitorización para detectar problemas antes de que impacten en producción.

2. Revisar periódicamente componentes sin soporte

Plugins y temas que no reciben actualizaciones en más de 6-12 meses son candidatos a ser sustituidos.

Con WP-CLI:

wp plugin list --update=available
wp theme list --update=available

Revisa especialmente aquellos con:

• Menos de 3 actualizaciones al año.
• Pocos usuarios activos.
• Comentarios recientes que reportan problemas.

3. Eliminar lo que no se usa

Un plugin o tema desactivado también puede ser vulnerable. Si no lo necesitas:

wp plugin delete nombre-del-plugin
wp theme delete nombre-del-tema

Si prefieres vía panel:

• Ve a «Plugins» o «Apariencia > Temas»
• Borra directamente lo inactivo

4. Supervisar cambios con herramientas externas

Puedes recibir alertas de nuevas actualizaciones con:

• Modular DS
• WP Umbrella
• ManageWP
• MainWP (self-hosted)
• InfiniteWP

O automatizarlo vía WP-CLI:

wp plugin list --update=available --format=csv > actualizables.csv

5. Nunca instales software «nulled»

Descargar versiones «gratuitas» de plugins de pago es la mejor forma de tener malware en tu servidor.

Evita:

• Plugins de fuentes no oficiales
• Sitios que ofrecen «Premium gratis»
• Cualquier contenido que no puedas verificar

No solo es inseguro, sino ilegal. Y muchos de estos paquetes incluyen puertas traseras.

Buenas prácticas extra

• Haz backups antes de actualizar (idealmente automáticos cada noche).
• Revisa el changelog antes de aplicar versiones mayores.
• Mantén también actualizado el entorno del servidor (PHP, MySQL, extensiones).
• Usa staging si es posible, especialmente en tiendas online.

Actualizar no es opcional, es parte esencial del mantenimiento seguro de WordPress.

3. Usuario admin por defecto

Uno de los errores más antiguos pero que aún se repite es dejar el usuario «admin» activo como administrador del sitio. Este nombre de usuario es el primer objetivo en cualquier ataque de fuerza bruta, escaneo o intento de login automatizado.

Lo que se suele hacer:

1. Dejar activo el usuario admin incluso si no se usa.
2. Utilizar combinaciones predecibles como admin123, [email protected].
3. No cambiar el nombre de usuario tras una instalación rápida.
4. No revisar usuarios creados por instaladores automáticos de hosting.

Por qué es un riesgo tan grande

Porque los atacantes ya tienen la mitad del trabajo hecho. Si conocen el nombre de usuario, solo tienen que adivinar o romper la contraseña. Y como «admin» era el nombre por defecto en instalaciones antiguas de WordPress, sigue siendo uno de los más comunes en millones de sitios.

Muchas herramientas automáticas buscan activamente si existe un usuario con ese nombre:

• A través de la REST API (/wp-json/wp/v2/users/)
• Vía ?author=1 y similares (/index.php?author=1)
• Por medio de formularios de login visibles

Solución paso a paso

1. Verifica si existe el usuario admin

Con WP-CLI:

wp user get admin

Si existe y está activo como administrador, deberías reemplazarlo.

2. Crea un nuevo usuario con nombre personalizado

wp user create nombreseguro [email protected] --role=administrator

Usa nombres no triviales: editor.marcos, admin_2026, etc.

3. Transfiere el contenido del usuario admin

Desde el panel:

• Entra en «Usuarios > Todos los usuarios»
• Elimina el usuario «admin»
• Selecciona la opción de asignar contenido existente al nuevo usuario

Con WP-CLI:

wp user delete admin --reassign=nombreseguro

4. Bloquea enumeraciones de usuarios

Evita que puedan descubrir usuarios por REST API o author IDs.

Para la REST API:

add_filter( 'rest_endpoints', function( $endpoints ) {
    if ( isset( $endpoints['/wp/v2/users'] ) ) {
        unset( $endpoints['/wp/v2/users'] );
    }
    return $endpoints;
});

Para peticiones como ?author=1:

En .htaccess:

RewriteCond %{QUERY_STRING} author=([0-9]*)
RewriteRule .* - [F]

O vía Nginx:

if ($query_string ~* "author=\d") {
  return 403;
}

5. Oculta el nombre de usuario en el front-end

Por defecto, WordPress muestra el nombre de usuario en la URL de autor. Podemos cambiarlo desde el perfil del usuario:

• Editar el usuario
• Cambiar el campo Alias para mostrar un nombre distinto del login
• Seleccionar ese alias como visible

Buenas prácticas extra

• No uses nombres de usuario iguales al nombre mostrado.
• Usa alias que no revelen el login.
• Revisa instaladores automáticos: muchos siguen creando admin por defecto.
• Si usas multisite, aplica estas medidas en cada subsitio.

Eliminar el usuario «admin» es una de las acciones más sencillas y efectivas para cerrar una puerta muy habitual en ataques.

4. Uso de plugins y temas de dudosa procedencia (nulled)

Una de las amenazas más graves (y comunes) en sitios WordPress es la instalación de plugins o temas descargados de fuentes no oficiales. Especialmente peligrosos son los llamados «nulled», versiones modificadas de productos premium que circulan por webs de descargas «gratuitas».

Aunque puedan parecer una solución rápida para ahorrar costes, el riesgo que implican supera con creces cualquier ventaja aparente.

Lo que se suele hacer:

1. Descargar plugins o temas premium desde sitios de torrents, foros o «clubes» de descargas.
2. Usar herramientas pirata en sitios de clientes «porque lo pidieron».
3. No validar la fuente de descarga en proyectos heredados.
4. Desconocer los nombres reales de plugins porque vienen renombrados.
5. Instalar «plantillas completas» o «paquetes TODO en uno» sin auditar su origen.

Por qué es una amenaza crítica

El software nulled suele venir con «sorpresa»:

• Puertas traseras (backdoors)
• Scripts de spam SEO
• Inyecciones de malware encubierto
• Redirecciones ocultas
• Minado de criptomonedas
• Inclusión en botnets

Peor aún: muchas de estas amenazas permanecen latentes durante semanas para no ser detectadas de inmediato.

Una vez activo, el malware puede:

• Enviar spam desde tu servidor
• Robar datos del formulario de contacto o de pago
• Redirigir a tus usuarios a webs fraudulentas
• Bloquear el acceso al panel o eliminar backups

Y si Google detecta actividad maliciosa, marcará tu web como insegura en los resultados de búsqueda.

Ejemplos reales de malware en software nulled

• «Ultimate Addons for Elementor» nulled incluía código para crear usuarios admin ocultos.
• «Revolution Slider» pirata fue explotado para propagar el malware SoakSoak.
• Temas populares como Avada o Bridge han tenido versiones nulled con scripts para robar cookies.

Cómo detectar si tienes software potencialmente peligroso

1. Revisa los orígenes de los plugins y temas

Con WP-CLI:

wp plugin list --format=table
wp theme list --format=table

Y comprueba cada uno en:

• https://wordpress.org/plugins/
• https://wpdirectory.net/
• Web del desarrollador oficial

Si no encuentras información o el plugin tiene nombre genérico («helper-plugin»), sospecha.

2. Busca archivos sospechosos

Muchos plugins nulled incluyen archivos en:

• wp-content/uploads/
• wp-includes/js/tinymce/plugins/
• wp-content/themes/<tema>/images/ con extensiones .ico, .php, .phtml

Ejemplo de escaneo:

find . -type f -name "*.php" | xargs grep base64_decode

O busca funciones sospechosas:

grep -r --include="*.php" "eval(" .

3. Utiliza plugins de seguridad

Plugins como:

• Wordfence
• MalCare
• Solid Security

Pueden detectar archivos maliciosos o modificaciones en el core.

4. Verifica cambios en el core

Con WP-CLI:

wp core verify-checksums

Esto comprueba si los archivos de WordPress han sido modificados respecto al original.

Qué hacer si encuentras software sospechoso

1. Haz backup completo inmediato (por si tienes que restaurar).
2. Desactiva el plugin o tema desde WP-CLI:

wp plugin deactivate nombre
wp plugin delete nombre

3. Cambia todas las contraseñas de usuarios con rol elevado.
4. Revisa wp-config.php, .htaccess y tareas cron.
5. Reinstala WordPress desde cero si hay duda sobre el core.
6. Sube versiones oficiales desde fuentes fiables.

Dónde descargar con seguridad

• WordPress.org(https://wordpress.org/themes/ y https://wordpress.org/plugins/)
• Repositorios GitHub de desarrolladores
• Web oficial del proveedor (Themeforest, Codecanyon, GeneratePress, etc.)
• Clientes que tienen licencia oficial y acceso al panel

Buenas prácticas extra

• Verifica siempre la URL de descarga y su reputación.
• Guarda los archivos zip originales junto con el nombre del proveedor.
• Audita plugins y temas antes de instalar en sitios de clientes.
• Desinstala lo que no tenga garantía de actualización o soporte.

Evita a toda costa instalar software modificado de fuentes no oficiales. No solo comprometes la seguridad, sino también la reputación de tu web (y la de tu cliente).

5. Permisos de archivos y carpetas incorrectos

Una de las configuraciones más olvidadas (y peligrosas) en instalaciones de WordPress es la de los permisos de archivos y directorios. Si están mal definidos, pueden permitir que un atacante escriba, ejecute o incluso borre archivos críticos del sistema.

Por qué es un fallo grave de seguridad

Los permisos controlan quién puede leer, escribir o ejecutar un archivo o carpeta. Si un archivo con código PHP tiene permisos de escritura para «todos», cualquier plugin vulnerable podría modificarlo e inyectar código malicioso.

Por otro lado, si los permisos son demasiado restrictivos, podrían impedir que el servidor lea archivos necesarios o que WordPress funcione correctamente.

El equilibrio es clave: permisos lo bastante seguros para proteger, pero lo bastante abiertos para permitir el funcionamiento normal del sitio.

Solución paso a paso

En la estructura de permisos de Linux, los permisos se representan como:

drwxr-xr-x  (carpeta)
-rw-r--r--  (archivo)

Equivalente numérico:

• 7 = lectura + escritura + ejecución (rwx)
• 6 = lectura + escritura (rw-)
• 5 = lectura + ejecución (r-x)
• 4 = solo lectura (r–)

Permisos recomendados para WordPress

Nunca uses 777. Es una invitación directa a la explotación.

Comprobación rápida desde consola

find . -type d ! -perm 755
find . -type f ! -perm 644

O para comprobar solo el archivo wp-config.php:

stat -c "%a %n" wp-config.php

Corregir permisos de forma segura

Desde el directorio raíz de la instalación:

find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;
chmod 600 wp-config.php

Consejo: asegúrate de que el propietario del archivo es el usuario correcto (por ejemplo, www-data o www)

chown -R www-data:www-data /var/www/html

Evitar ejecución en carpetas sensibles

Especialmente en wp-content/uploads/, que no debería contener ningún archivo ejecutable PHP.

1. Denegar ejecución en .htaccess

<Directory "/ruta/a/wp-content/uploads">
    <FilesMatch ".*\.php$">
        Order Deny,Allow
        Deny from all
    </FilesMatch>
</Directory>

2. O en Nginx:

location ~* /wp-content/uploads/.*\.php$ {
    deny all;
}

3. Eliminar PHP del directorio:

find wp-content/uploads -type f -name "*.php" -delete

Automatizar la verificación

Puedes crear un script de auditoría que revise permisos y te envíe alertas:

#!/bin/bash
SITE_PATH="/var/www/html"
LOG="/var/log/permisos_wp.log"
find "$SITE_PATH" -type d ! -perm 755 >> $LOG
find "$SITE_PATH" -type f ! -perm 644 >> $LOG
stat -c "%a %n" $SITE_PATH/wp-config.php >> $LOG

Y lanzar este script desde cron semanalmente.

Buenas prácticas extra

• Asegúrate de que wp-config.php no sea escribible ni accesible desde navegador.
• Nunca uses permisos 777 en producción.
• Configura alertas si se modifican archivos sensibles.
• Haz auditorías regulares en sitios que gestionas.

La configuración de permisos es fácil de ignorar, pero puede marcar la diferencia entre un sitio seguro y uno comprometido.

6. No proteger el archivo wp-config.php

wp-config.php es el archivo más sensible de tu instalación WordPress. Contiene:

• Las credenciales de acceso a la base de datos.
• Las claves de seguridad (AUTH_KEY, SECURE_AUTH_KEY, etc.).
• Configuraciones avanzadas del entorno.

Un acceso no autorizado a este archivo equivale a entregar las llaves del sitio. Y sin embargo, muchas instalaciones dejan wp-config.php sin ninguna protección adicional.

Riesgos si no está protegido:

1. Puede ser descargado si el servidor no interpreta correctamente los archivos PHP.
2. Plugins maliciosos podrían modificarlo si tiene permisos de escritura.
3. Puede ser expuesto por errores de configuración del servidor (listas de directorios, rutas mal resueltas).

Solución paso a paso

1. Comprobar que no se puede acceder desde el navegador

Prueba accediendo directamente:

https://tuweb.com/wp-config.php

Debe mostrar un error 403 o 500. Si ves el contenido o una descarga, hay un problema grave.

2. Revisar permisos del archivo

Ejecuta desde la raíz:

stat -c "%a %U:%G %n" wp-config.php

El resultado debería ser algo como:

600 www-data:www-data wp-config.php

Permisos seguros:

• Linux/Unix: 600 o 640
• Propietario: el usuario del servidor web (www-data, apache, etc.)

3. Bloquear acceso vía servidor web

Apache / LiteSpeed:

<Files wp-config.php>
    Order allow,deny
    Deny from all
</Files>

Nginx:

location = /wp-config.php {
    deny all;
    return 403;
}

Opciones avanzadas

Mover wp-config.php fuera del document_root

WordPress permite tener wp-config.php un nivel por encima de la carpeta de instalación, por ejemplo:

/home/usuario/wp-config.php
/var/www/html/index.php

WordPress lo detectará automáticamente si está justo encima.

Ventajas:

• No accesible desde la web incluso si el servidor está mal configurado.
• Más difícil de detectar por scripts automatizados.

Separar datos sensibles en un archivo extra

Puedes crear secrets.php con las claves y credenciales, y cargarlo desde wp-config.php:

require_once __DIR__ . '/../secrets.php';

Y luego aplicar protecciones más estrictas a ese archivo.

Auditar cambios en wp-config.php

Cualquier modificación en este archivo debería activar una alerta. Puedes usar:

• inotifywait para sistemas Linux.
• Plugins como Wordfence o WP Activity Log

Ejemplo con inotifywait:

inotifywait -m -e modify wp-config.php

O monitorizar cambios con cron + sha256sum:

sha256sum wp-config.php > hash.txt
# luego comparar periódicamente
sha256sum -c hash.txt

Buenas prácticas extra

• Usa permisos 600/640 y propiedad correcta.
• Bloquea vía servidor.
• Evita que plugins escriban en wp-config.php.
• Monitoriza cambios y guarda copias de seguridad del archivo.

wp-config.php es el corazón de tu WordPress. Cuidarlo es cuidar WordPress.

7. No usar HTTPS o configurarlo mal

Usar HTTPS no es opcional: es un requisito de seguridad y confianza. Sin HTTPS, toda la comunicación entre el navegador del usuario y el servidor puede ser interceptada, modificada o espiada.

Y lo que es peor: los navegadores modernos muestran advertencias visibles en sitios sin HTTPS, lo que impacta negativamente en la percepción de seguridad por parte de tus usuarios.

Errores típicos:

1. No tener certificado SSL instalado.
2. Tenerlo instalado, pero no forzar su uso (la web carga tanto en HTTP como en HTTPS).
3. Enlaces internos que siguen usando http:// en vez de https://.
4. Mezcla de contenido: CSS, JS o imágenes que se cargan por HTTP en una página HTTPS.
5. Redirecciones mal configuradas que crean bucles o errores 301/307 incorrectos.

Riesgos de no usar HTTPS:

• Las credenciales de acceso pueden ser robadas en conexiones abiertas (cafeterías, Wi-Fi público).
• Los formularios (contacto, login, compra) pueden ser manipulados.
• Motores de búsqueda como Google penalizan sitios sin HTTPS.
• Navegadores como Chrome muestran advertencias claras de «sitio no seguro».

Solución paso a paso

1. Instalar un certificado SSL

La opción más popular y gratuita:

• Let’s Encrypt

Puedes instalarlo:

• Vía panel de hosting (casi todos los proveedores lo integran)
• Con Certbot en servidores VPS/dedicados:

sudo apt install certbot
sudo certbot --nginx   # o --apache

2. Forzar HTTPS en todo el sitio

Desde WordPress

En wp-config.php:

define( 'FORCE_SSL_ADMIN', true );

Desde el servidor

Apache / .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Nginx:

server {
  listen 80;
  server_name tuweb.com www.tuweb.com;
  return 301 https://$server_name$request_uri;
}

3. Actualizar enlaces internos

Usa el plugin Better Search Replace para reemplazar todas las referencias http:// por https://:

• Buscar: http://tudominio.com
• Reemplazar por: https://tudominio.com

Haz siempre una copia de seguridad antes.

4. Solucionar contenido mixto

Usa plugins como:

• Really Simple SSL

O detecta los errores desde:

• Chrome DevTools > pestaña «Console»
• https://www.whynopadlock.com/

5. Activar HSTS (HTTP Strict Transport Security)

Indica a los navegadores que solo deben acceder por HTTPS:

Apache:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Nginx:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

El valor preload permite enviar tu dominio a la lista de sitios HTTPS obligatorios en los navegadores.

6. Verifica todo correctamente

Revisa con:

• https://www.ssllabs.com/ssltest/
• https://securityheaders.com/
• DevTools > Network > columna «Protocol» (debe ser h2 o h3, no http/1.1)

Buenas prácticas extra

• Usa redirecciones 301 (no temporales) al pasar de HTTP a HTTPS.
• Asegúrate de que no haya contenido mixto en headers o scripts de terceros.
• No uses plugins que fuerzan HTTPS por JavaScript: hazlo a nivel de servidor.
• Renovación automática del certificado con cron o panel.

Pasar a HTTPS es obligatorio en 2026. Hacerlo bien es lo que marca la diferencia entre una implementación profesional y una chapuza.

8. No limitar intentos de acceso (login)

Uno de los vectores de ataque más frecuentes en WordPress son los intentos de acceso no autorizados por fuerza bruta. Si tu sitio permite intentos ilimitados de login, estás exponiendo tu panel de administración a bots que prueban combinaciones de usuario y contraseña sin parar.

Aunque uses una buena contraseña, permitir cientos de intentos por minuto no tiene sentido y genera carga innecesaria en el servidor.

Por qué es un riesgo real:

• Miles de IPs buscan WordPress accesibles para probar credenciales comunes.
• Si no hay limitación, pueden probar millones de combinaciones.
• Aumenta el consumo de recursos y puede saturar el servidor.
• Si una contraseña está comprometida, entrarán sin obstáculos.

Errores habituales:

1. No usar ningún sistema de limitación de intentos.
2. Confiar solo en la complejidad de la contraseña.
3. Permitir el acceso al panel /wp-login.php a todo el mundo 24/7.
4. No usar ninguna capa de protección adicional como 2FA o WAF.

Solución paso a paso

1. Instalar un plugin para limitar intentos

Algunas opciones sencillas y eficaces:

• Limit Login Attempts Reloaded
• Login LockDown
• Solid Security
• Wordfence

Estos plugins permiten:

• Definir número máximo de intentos
• Bloquear IPs temporal o permanentemente
• Mostrar mensajes de advertencia
• Recibir notificaciones de actividad sospechosa

2. Configurar el plugin correctamente

Ejemplo con Limit Login Attempts Reloaded:

• Intentos permitidos: 3
• Tiempo de bloqueo: 20 minutos
• Bloqueo prolongado tras varios fallos: sí
• Guardar registro de IPs bloqueadas: sí

3. Proteger /wp-login.php con reglas del servidor

Apache (.htaccess):

<Files wp-login.php>
    Order Deny,Allow
    Deny from all
    Allow from xx.xx.xx.xx
</Files>

Nginx:

location = /wp-login.php {
    allow xx.xx.xx.xx;
    deny all;
}

O limitar por User-Agent o rate limit:

limit_req zone=login burst=1 nodelay;

4. Activar 2FA (autenticación en dos pasos)

Incluso si logran la contraseña, no podrán acceder sin el segundo factor:

• WP 2FA
• Wordfence Login Security

Compatible con apps como Authy o Google Authenticator.

5. Utilizar un Firewall de Aplicaciones Web (WAF)

Servicios como:

• Cloudflare (modo «I’m under attack»)
• Sucuri Firewall
• WAFs integrados en plugins como Wordfence o Solid Security

Permiten bloquear de forma más inteligente los ataques automatizados.

Monitorizar intentos

Puedes revisar los intentos fallidos:

• En el panel del plugin
• Desde los logs del servidor (access.log, error.log)
• Con WP-CLI:

wp user list --fields=login,login_attempts

Buenas prácticas extra

• No uses «admin» como usuario de login.
• Cambia la URL de acceso con plugins como WPS Hide Login.
• Restringe accesos al login a rangos de IP conocidos (si gestionas pocos usuarios).
• Implementa captcha en el formulario de login y registro.
• Borra usuarios inactivos o sin uso.

Limitar intentos de login es una barrera de entrada esencial.

9. Exposición de rutas o archivos sensibles

Muchos ataques comienzan simplemente porque el atacante puede ver más de lo que debería. WordPress, por defecto, no protege ciertos directorios ni oculta la estructura del sitio, lo que puede exponer información valiosa sobre plugins, temas, rutas internas o archivos de configuración.

Por qué es peligroso

• Permite a un atacante saber qué plugins y versiones usas.
• Expone archivos como readme.txt, .git, composer.json, .env, etc.
• Facilita ataques dirigidos a versiones vulnerables.
• Puede revelar configuraciones internas del servidor.

Ejemplos típicos de exposición

• Acceso a https://tuweb.com/wp-content/plugins/
• Ver el contenido de https://tuweb.com/wp-content/debug.log
• Acceso público a .git/, .env, .bak, .zip, .sql

Comprobación rápida

1. Directorios listables

Intenta acceder a:

https://tuweb.com/wp-content/plugins/
https://tuweb.com/wp-content/uploads/

Si ves un índice de archivos, hay un problema. Debe devolver un error o una página en blanco.

2. Archivos accesibles

Prueba URLs como:

• https://tuweb.com/.git/config
• https://tuweb.com/debug.log
• https://tuweb.com/backup.zip
• https://tuweb.com/wp-config.php.bak

Si cualquiera devuelve contenido, necesitas intervenir.

Cómo proteger estas rutas

1. Desactivar listado de directorios

Apache (.htaccess):

Options -Indexes

Nginx:

autoindex off;

2. Bloquear acceso a archivos sensibles

Apache:

<FilesMatch "(\.git|\.env|\.htaccess|wp-config\.php|readme\.html|readme\.txt|license\.txt|.*\.log|.*\.bak|.*\.sql|.*\.zip)">
    Require all denied
</FilesMatch>

Nginx:

location ~* \.(git|env|htaccess|log|bak|sql|zip|txt)$ {
    deny all;
}

3. Eliminar archivos innecesarios

Desde la raíz del sitio:

rm -f readme.html license.txt wp-config-sample.php
find . -type f \( -name "*.bak" -o -name "*.sql" -o -name "*.zip" \) -delete

4. Mover archivos de configuración fuera del document_root

Coloca .env, config.php y similares un nivel arriba para evitar accesos accidentales.

5. Bloquear escaneos con WAF

Plugins como Wordfence pueden bloquear escaneos masivos o peticiones a rutas sospechosas:

• /xmlrpc.php
• /wp-json/wp/v2/users
• /?author=1

Y también servicios como Cloudflare pueden ayudarte a bloquear IPs que abusan de este tipo de accesos.

Bonus: cabeceras HTTP para ocultar versión

En functions.php:

remove_action( 'wp_head', 'wp_generator' );

Desde servidor:

Header unset X-Powered-By
Header always unset X-Pingback

Buenas prácticas extra

• Escanea periódicamente con herramientas como WPScan, Nikto o Nessus.
• Configura alertas de acceso a rutas sensibles.
• Revisa los backups y logs públicos accidentalmente subidos.
• Minimiza el uso de plugins innecesarios que añaden rutas visibles.

No es solo cuánto blindas tu web, sino cuánto permites que se vea desde fuera.

10. No hacer copias de seguridad periódicas

La seguridad no es solo prevenir ataques: también es poder recuperarse rápidamente si algo falla. Y para eso, las copias de seguridad son fundamentales. Aún así, muchísimos sitios WordPress no tienen un sistema de backups fiable, automatizado y probado.

Un error de configuración, un plugin defectuoso, un ataque o incluso un descuido humano pueden dejar una web inservible en segundos. Si no tienes una copia reciente, lo pierdes todo.

Por qué es un fallo crítico

• Muchos ataques (malware, ransomware) requieren restaurar versiones anteriores.
• Los errores humanos existen: se pueden borrar entradas, categorías o archivos por accidente.
• Los plugins o temas pueden generar conflictos o dejar la web en blanco.
• Las actualizaciones fallidas pueden romper funcionalidades clave.

Errores habituales

1. No tener ningún sistema de backup activo.
2. Tenerlo solo en local (en el mismo servidor que la web).
3. Realizar backups completos pero sin automatizar.
4. No realizar restauraciones de prueba.
5. No incluir base de datos y archivos completos.
6. Guardar las copias en el mismo sitio vulnerable al ataque.

Solución paso a paso

1. Elegir el tipo de backup adecuado

• Completo: base de datos + archivos. Ideal para backups regulares.
• Parcial: útil para restauraciones rápidas (solo plugins, solo uploads).
• Incremental: solo guarda cambios desde la última copia. Más eficiente.

2. Automatizar las copias

Plugins recomendados:

• UpdraftPlus
• BackWPup
• Jetpack VaultPress Backup
• WPvivid

Todos permiten programar backups automáticos diarios, semanales o por hora.

3. Usar almacenamiento remoto

Nunca guardes los backups solo en el mismo servidor. Usa:

• Google Drive
• Dropbox
• Amazon S3
• pCloud
• Servidores FTP/SFTP externos

4. Hacer pruebas de restauración

No esperes a tener una crisis para descubrir que la copia no funciona.

• Prueba al menos una vez al mes restaurar en entorno de staging o local.
• Verifica que la base de datos, usuarios y contenido estén completos.

5. Copias de seguridad desde el servidor (método manual / avanzado)

Ejemplo con WP-CLI + tar:

wp db export ~/backups/backup-$(date +%F).sql
tar -czf ~/backups/wp-content-$(date +%F).tar.gz wp-content/

Enviar a almacenamiento remoto:

rclone copy ~/backups remote:pcloud/miweb/backups/

Borrar backups antiguos (más de 7 días):

find ~/backups -type f -mtime +7 -delete

6. Considerar backups de servidor completo (nivel hosting)

• Algunos proveedores hacen backups diarios automáticos (en el caso de WordPress.com se hacen en tiempo real).
• Ideal si puedes acceder fácilmente al panel y restaurar archivos sueltos o la base de datos.

Buenas prácticas extra

• Programa backups completos diarios y diferenciales cada pocas horas (si tienes tienda o LMS).
• Protege tus copias: no dejes archivos .sql o .zip accesibles desde el navegador.
• Documenta el proceso de restauración y compártelo con tu equipo o cliente.
• Usa nombres con fecha/hora para identificar las copias.
• Verifica que los backups se estén generando (no basta con «suponer que están»).

Un backup no probado es como no tener ninguno.

11. Mala gestión de roles y permisos de usuario

WordPress cuenta con un sistema de roles y capacidades que permite asignar a cada usuario solo los permisos necesarios para su trabajo. Sin embargo, en muchas instalaciones se otorgan privilegios excesivos (como administradores para tareas menores), lo que abre puertas innecesarias a posibles fallos de seguridad.

Por qué esto es un problema

• Un colaborador con permisos de administrador puede instalar plugins maliciosos sin saberlo.
• Si una cuenta con privilegios altos es comprometida, el atacante obtiene control total.
• Los roles por defecto no se ajustan siempre a las necesidades reales del proyecto.
• Algunas funciones sensibles no están restringidas adecuadamente (acceso a SEO, backups, etc.).

Errores comunes

1. Asignar a todos los editores o colaboradores el rol de administrador.
2. No revisar ni revocar usuarios antiguos o que ya no colaboran.
3. Instalar plugins sin controlar qué permisos añade.
4. No usar roles personalizados cuando el proyecto lo requiere.
5. Permitir registros abiertos sin validación ni restricción de rol.

Sistema de roles de WordPress

Por defecto, WordPress define:

• Suscriptor: solo gestiona su perfil.
• Colaborador: puede escribir pero no publicar entradas.
• Autor: puede escribir y publicar sus propias entradas.
• Editor: puede gestionar contenido de otros.
• Administrador: control total del sitio.

Para tiendas WooCommerce se añaden:

• Customer
• Shop Manager

Recomendaciones

1. Revisa periódicamente los usuarios activos

Ve a:

Usuarios > Todos los usuarios

• ¿Hay usuarios inactivos? Elimínalos o desactívalos.
• ¿Hay roles mal asignados? Corrígelos.

2. Usa un plugin para gestionar roles personalizados

Plugins recomendados:

• Members
• User Role Editor
• WPFront User Role Editor

Permiten:

• Crear roles nuevos (ej: «Redactor SEO», «Soporte Técnico»)
• Ajustar capacidades de cada rol
• Restringir accesos por plugin o menú

3. Bloquea acceso innecesario a funciones críticas

Algunos plugins exponen configuraciones sensibles a todos los administradores. Usa:

• Adminimize para ocultar opciones
• Advanced Access Manager

4. Desactiva el registro abierto si no es necesario

Ve a:

Ajustes > Generales > Miembros

Y desmarca «Cualquiera puede registrarse» salvo que tengas una razón clara.

5. Audita cambios de permisos o inicios de sesión

Plugins:

• WP Activity Log
• Simple History

O desde WP-CLI:

wp user list --role=administrator

Buenas prácticas extra

• Evita el uso compartido de cuentas.
• Usa 2FA en cuentas con acceso al admin.
• Nombra los roles de forma descriptiva si creas personalizados.
• Documenta quién tiene acceso a qué.

Con una gestión adecuada de permisos, puedes minimizar riesgos sin frenar el trabajo en equipo.

12. Dejar el editor de archivos del panel activo

WordPress incluye por defecto un editor de archivos en el panel de administración que permite modificar directamente los archivos de plugins y temas desde el navegador. Aunque pueda parecer útil para ajustes rápidos, representa un riesgo de seguridad importante.

Por qué es peligroso

• Si un atacante compromete una cuenta con acceso al admin, podrá inyectar código malicioso directamente.
• Cualquier error de sintaxis al editar archivos puede dejar la web totalmente inoperativa.
• No hay control de versiones ni entorno seguro para probar cambios.
• Los cambios se aplican en caliente sin validación ni backup previo.

Errores comunes

1. Dejar activo el editor aunque no se use.
2. Usarlo para hacer ajustes directamente en producción.
3. No tener control de qué usuarios acceden a esa funcionalidad.
4. No hacer backups antes de modificar archivos.

Solución paso a paso

1. Desactivar el editor desde wp-config.php

La forma correcta de bloquear el editor:

define( 'DISALLOW_FILE_EDIT', true );

Esto oculta el menú de edición de temas y plugins dentro del panel de WordPress.

2. Opcional: bloquear también la instalación de plugins/temas desde el panel

define( 'DISALLOW_FILE_MODS', true );

Esta opción solo debes usar si no quieres que se puedan instalar ni actualizar plugins desde el panel. Ideal para entornos gestionados.

3. Usar otros métodos para editar archivos

• FTP/SFTP con FileZilla o Cyberduck
• Acceso directo por terminal (SSH)
• Editor código local + sistema de versiones (Git)
• WP-CLI para actualizaciones o cambios controlados

4. Auditar si el editor ha sido usado

Busca rastros en:

• Los logs del servidor (access.log)
• Plugins como WP Activity Log o Simple History
• Archivos modificados recientemente (wp-content/themes/tu-tema/) con ls -lt

Buenas prácticas extra

• Elimina el editor aunque seas el único administrador.
• Usa entornos de staging para probar cambios.
• Documenta cualquier cambio en el código para futuras revisiones.
• Controla el acceso por roles, no des permisos de más.

Eliminar el editor es una de las primeras acciones que deberías realizar al poner en marcha una instalación segura de WordPress.

13. No bloquear ni limitar el acceso a xmlrpc.php

El archivo xmlrpc.php fue creado para permitir que aplicaciones externas interactúen con WordPress: apps móviles, servicios de publicación remota, pingbacks, trackbacks, etc. Sin embargo, hoy en día es una de las puertas de entrada más atacadas, y en la mayoría de webs modernas ya no es necesario.

Por qué es un problema

• Se usa para ataques de fuerza bruta distribuidos.
• Puede saturar el servidor mediante múltiples llamadas remotas.
• Permite el método system.multicall, que lanza cientos de peticiones en una sola llamada.
• Suele estar activo aunque no se utilice.

¿Necesitas xmlrpc.php?

Solo si:

• Usas la app oficial de WordPress para móviles.
• Tienes un servicio externo (IFTTT, Zapier, etc.) que lo necesita expresamente.
• Aún dependes de sistemas antiguos de pingbacks.

Si no lo usas (como ocurre en la mayoría de los sitios actuales), lo mejor es bloquearlo o limitarlo severamente.

Comprobación rápida

Accede a:

https://tusitio.com/xmlrpc.php

Si ves el mensaje:

XML-RPC server accepts POST requests only.

…significa que está activo y responde.

Opciones para bloquearlo

1. Desde .htaccess (Apache)

<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

2. Desde Nginx

location = /xmlrpc.php {
    deny all;
    access_log off;
    log_not_found off;
}

3. Con plugins

• Disable XML-RPC
• Disable XML-RPC Pingback
• Wordfence o iThemes permiten controlarlo en ajustes avanzados

4. Solo permitir desde IPs concretas

Si realmente lo necesitas, pero solo desde una app concreta:

<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
    Allow from xx.xx.xx.xx
</Files>

Bonus: bloquear ataques al método system.multicall

Con el plugin Wordfence puedes bloquear este método específico sin bloquear completamente xmlrpc.php.

También puedes usar un WAF (Cloudflare, Sucuri) para detectar patrones de ataque a xmlrpc.php y bloquearlos automáticamente.

Buenas prácticas extra

• Si usas REST API y Gutenberg, no necesitas xmlrpc.php.
• Monitoriza accesos sospechosos desde access.log:

grep "xmlrpc.php" /var/log/apache2/access.log

• Automatiza el bloqueo de IPs que lo abusen con fail2ban o mod_security.

Cerrar esta puerta reduce en gran medida el ruido de ataques automatizados sobre tu web.

14. wp-cron mal configurado o expuesto

wp-cron.php es el sistema de tareas programadas de WordPress. Ejecuta eventos como publicaciones programadas, envíos de correos o limpiezas automáticas. Sin embargo, su funcionamiento por defecto puede afectar tanto al rendimiento como a la seguridad del sitio si no se gestiona correctamente.

Cómo funciona por defecto

Cada vez que alguien visita tu sitio, WordPress verifica si hay tareas pendientes en wp-cron.php. Si las hay, las ejecuta en ese momento. Esto tiene problemas evidentes:

• En sitios con poco tráfico, las tareas se acumulan y no se ejecutan.
• En sitios con mucho tráfico, puede generar llamadas concurrentes a wp-cron.php, saturando CPU y base de datos.
• Es vulnerable a ataques de bots que fuerzan la carga repetitiva de wp-cron.php.

Errores comunes

1. Dejar wp-cron.php activo por defecto en sitios de alto tráfico.
2. No ejecutar cronjobs reales en servidores con acceso a terminal.
3. Permitir el acceso libre a wp-cron.php desde cualquier IP.
4. No limitar la frecuencia de ejecución.

Solución paso a paso

Revisa el tráfico a wp-cron.php desde tus logs:

grep "wp-cron.php" /var/log/apache2/access.log

Si hay muchas peticiones repetidas, necesitas optimizarlo.

1. Desactivar el cron por defecto de WordPress

En wp-config.php añade:

define( 'DISABLE_WP_CRON', true );

Esto evita que se ejecute en cada carga de página.

2. Crear un cronjob real en el sistema operativo

Linux (crontab -e):

*/5 * * * * curl -s https://tusitio.com/wp-cron.php?doing_wp_cron > /dev/null 2>&1

Ejecuta tareas cada 5 minutos desde el servidor, de forma controlada.

3. Proteger el acceso a wp-cron.php

Apache (.htaccess):

<Files wp-cron.php>
    Order Deny,Allow
    Deny from all
    Allow from xx.xx.xx.xx
</Files>

Nginx:

location = /wp-cron.php {
    allow xx.xx.xx.xx;
    deny all;
}

Reemplaza xx.xx.xx.xx con la IP de tu servidor si usas cron externo.

4. Alternativa con WP-CLI

Puedes ejecutar las tareas manualmente:

wp cron event run --due-now

Ideal para sitios de staging o mantenimiento programado.

Plugins útiles

• WP Crontrol: inspecciona y edita tareas cron.
• Advanced Cron Manager: interfaz avanzada para controlar eventos y hooks.

Buenas prácticas extra

• Nunca dejes wp-cron.php activo en sitios con tráfico alto o WooCommerce.
• Revisa tareas cron huérfanas o fallidas.
• Audita plugins que crean tareas cron excesivas.
• Protege el endpoint con Cloudflare o firewall si no puedes restringir por IP.
• Documenta las tareas críticas que dependen del cron (envíos de pedidos, suscripciones, etc.).

Un wp-cron.php mal gestionado no solo puede ralentizar tu web, sino abrir puertas a ataques automatizados.

15. Dejar contenido por defecto o plugins/temas sin usar

Una instalación fresca de WordPress viene con contenido y elementos de ejemplo: entradas como «Hello World», la página «Sample Page», el plugin Hello Dolly y varios temas por defecto. Muchos usuarios olvidan eliminarlos, y a lo largo del tiempo, se acumulan también plugins o temas no utilizados.

Esto parece inofensivo, pero representa varios problemas de seguridad y rendimiento.

Por qué es un riesgo

• El contenido por defecto revela que el sitio no ha sido configurado adecuadamente.
• Temas o plugins sin uso siguen teniendo código ejecutable o accesible.
• Plugins o temas desactivados pero vulnerables pueden ser explotados si no están actualizados.
• Se desperdician recursos en el escaneo y mantenimiento de software que no se necesita.

Errores frecuentes

1. Dejar la entrada «Hello World» y páginas de ejemplo publicadas.
2. No borrar temas antiguos al cambiar de plantilla.
3. Tener varios plugins desactivados que no se van a volver a usar.
4. Instalar y probar plugins/temas desde el admin y dejarlos sin limpiar.
5. Mantener themes desactualizados por si acaso.

Cómo revisarlo y solucionarlo

1. Eliminar contenido de ejemplo

Desde el panel de WordPress:

• Ve a Entradas > Todas las entradas y borra «Hello World».
• Ve a Páginas > Todas las páginas y borra «Sample Page».
• Revisa los comentarios por defecto y bórralos también.

2. Borrar temas que no uses

En Apariencia > Temas, deja solo el tema activo y como mucho uno secundario actualizado para pruebas.

Para borrarlos desde WP-CLI:

wp theme delete twentyseventeen twentynineteen twentytwentyone

3. Borrar plugins inactivos

Desde el panel de plugins, filtra por «Inactivos» y elimina los que no uses.

WP-CLI:

wp plugin delete hello akismet old-plugin-name

4. Evitar instalaciones desde el admin en producción

• Usa entornos de staging para pruebas.
• Sube y activa solo los plugins definitivos.
• Documenta los cambios y razones por las que se añade un plugin o tema.

5. Revisar manualmente carpetas

En wp-content/themes/ y wp-content/plugins/ pueden quedar restos de pruebas o backups manuales:

ls -lh wp-content/themes/
ls -lh wp-content/plugins/

Elimina cualquier carpeta que no forme parte de la instalación activa o actualizada.

Buenas prácticas adicionales

• Añade a tu checklist de puesta en marcha la limpieza de contenido de ejemplo.
• Revisa cada trimestre los plugins y temas instalados y si siguen siendo necesarios.
• Automatiza alertas para detectar plugins desactivados pero sin actualizar.
• Haz un backup antes de eliminar temas o plugins por si necesitas recuperarlos.

Una instalación limpia y sin residuos es una instalación más segura, más fácil de mantener y menos vulnerable.

Conclusiones

Hemos visto ya los errores más frecuentes a nivel conceptual y técnico que afectan a WordPress: contraseñas inseguras, permisos incorrectos, malas prácticas en el uso de plugins o cron mal gestionado, entre otros muchos. Pero aún queda camino por recorrer.

En la segunda parte del artículo abordaremos temas más avanzados que, aunque menos evidentes, pueden comprometer la seguridad de tu sitio: accesos a archivos ocultos, ejecución de PHP en rutas no esperadas, exposición de la REST API, configuración insegura de cabeceras HTTP, backups mal almacenados y mucho más.

Además, cerraremos con una checklist completa y descargable para que puedas auditar tu instalación paso a paso.

Solo tienes que escribir lo que necesitas y la IA hará realidad tu visión, como por arte de magia, sin que tengas que ser un experto en programación.

En esta guía, veremos siete prompts que puedes usar para crear y personalizar una web desde cero con nuestra plataforma. 

Como ejemplo, vamos a imaginar que queremos crear un blog personal sobre libros y publicaciones. Sigue los pasos y adapta las instrucciones al sitio que tú quieras crear.

1. Crear el primer borrador del sitio

Como primer paso, usa el creador de webs con IA para crear una web completa desde cero. 

Esto funcionará como un primer borrador antes de personalizar cada sección y página según tus necesidades. 

Para crear un blog sobre libros, utilicé este prompt:

«Crea una web llamada «El rincón de libros de Rochi». Es un blog personal que incluirá contenido escrito y en vídeo sobre libros (reseñas y recomendaciones) y comentarios culturales sobre libros y la industria editorial. El estilo debe ser divertido, acogedor y moderno. Quiero tener páginas para reseñas, recomendaciones, tendencias, una página de «Acerca de» y una página de contacto».

Para obtener un resultado lo más cercano posible a tu visión, incluye instrucciones específicas y detalladas, como:

• El nombre de tu web (si tienes uno).
• El tipo de sitio que quieres crear: blog, porfolio, de negocios o algo diferente.
• Cuántas páginas quieres añadir y cómo debe llamarse cada página.
• El estilo que buscas: moderno, profesional, elegante, divertido, distinguido, minimalista, etc.
• El tipo o tipos de contenido y elementos multimedia que quieres publicar en el sitio, como entradas de blog, imágenes o vídeos, entre otras cosas.

Con el prompt anterior, el creador de webs con IA de WordPress.com creó este sitio:  

El primer borrador ya fue impresionante: algo que me habría llevado horas (si no días) crear si lo hubiera tenido que hacer todo desde cero.

2. Personalizar el diseño y la apariencia de la web

A continuación, personaliza cómo quieres que sea el aspecto de tu sitio: fuentes, colores, estructura y mucho más.

Sigue las siguientes instrucciones para ajustar la estética de tu sitio paso a paso.

Cambiar el color de tu sitio

El primer borrador del sitio es magnífico: el contraste entre el amarillo y el morado destaca mucho y le da una energía divertida y emocionante (como especifiqué en mi prompt). 

Pero me gustaría que la paleta de colores fuera algo más tenue. Esto es lo que pedí para conseguirlo:

«Enséñame paletas de colores para mi sitio que sean un poco más tenues y tranquilas sin sacrificar la energía divertida y emocionante que tiene ahora».

El creador de webs con IA me ofreció nueve opciones de paletas de colores entre las que elegir.

Cada uno de los colores se complementaba bien entre sí y coincidía con los requisitos de las instrucciones que le di.

Al final, elegí la paleta verde.

Cambiar las fuentes de tu sitio

Después quise ver si una fuente diferente quedaba mejor en el sitio. Utilicé este prompt para pedirle a la IA que me diera opciones:

«Enséñame nuevas fuentes para mi sitio que complementen el resto del diseño. Deben ser un poco literarias (tipo máquina de escribir), pero fáciles de leer y accesibles».

El creador de webs me dio ocho opciones de parejas de fuentes (una fuente para el encabezado y otra para el cuerpo del texto) que combinan como anillo al dedo. Elegí la que más me gustó.

Cambiar el diseño de tu sitio

También quería ver si había una mejor manera de organizar los elementos de la página de inicio del sitio. Le pedí a la IA que me mostrara varias opciones de diseño usando instrucciones simples:

«Enséñame diferentes diseños para esta página».

Al final, me gustó más la versión original, así que hice clic en la flecha hacia atrás, lo que me permitió restaurar mi web al último ajuste. 

La IA tenía varias opciones únicas con diseños y estructuras diversas, que pueden ser útiles cuando actualice mi sitio y cambie un poco la apariencia.

Cambiar los botones de tu sitio

Por último, quería que todos los botones fueran redondos en lugar de cuadrados o rectangulares. Así que le pedí lo siguiente:

«Haz que todos los botones tengan forma redonda».

La IA hizo inmediatamente lo que le había pedido, y todos los botones de todo el sitio se hicieron circulares.

Nota: Asegúrate de añadir los enlaces correctos a todos los botones de llamada a la acción de tu sitio. Puedes hacerlo de forma manual o pedirle a la IA que enlace el botón a una página específica de tu web.

3. Editar secciones individuales de tu sitio personalizando los bloques de WordPress

También puedes editar secciones individuales y bloques de WordPress en tu sitio. 

Pídele a la IA que añada subsecciones, organice las entradas en un orden diferente, reescriba el texto e incluso añada una nueva sección.

Editar una sección de tu sitio

Quería que la sección de reseñas de libros tuviera diferentes encabezados y subsecciones. Utilicé el siguiente prompt para lograrlo:

«Edita la sección «Últimas reseñas de libros». Debe haber cinco subsecciones en total: Ficción, Biografías, Autoayuda, Clásicos y Debuts».

La IA reorganizó la sección según lo que le dije y me dejó elegir el patrón de apariencia de cada subsección.

Reescribir el texto de tu sitio

También puedes editar manualmente cualquier detalle de cada bloque individual. 

Me resulta más fácil editar el texto de forma manual, pero también puedes pedirle a la IA que cambie el tono de cualquier texto de tu web. 

Por ejemplo, puedes usar este prompt para hacer que el texto de tu página de inicio sea más conciso y agradable:

«Reescribe el texto de la página de inicio para que sea más conciso y agradable. Utiliza oraciones cortas y un tono acogedor».

Añadir una nueva sección a tu sitio

Puedes añadir nuevas secciones y páginas a tu sitio con el creador de webs con IA. 

Por ejemplo, quería tener una sección separada para el contenido relacionado con los libros, así que esto es lo que le pedí que hiciera:

«Crea otra sección después de «Últimas reseñas de libros» titulada «Algo más que libros». Incluye encabezados con tres entradas dentro de ellos, similar a una subsección. Los subencabezados deben ser «El auge de los libros de romance», «¿Deberías leer libros recomendados en BookTok?» y «El culto a los clásicos»».

La siguiente imagen es el resultado generado por la herramienta. 

También le di prompts específicos para cada miniatura para que reflejaran con precisión el título de la sección. Este es un ejemplo de lo que utilicé para la última imagen:

«Crea una imagen en miniatura para la entrada «El culto a los clásicos» en la sección «Algo más que libros». Esta imagen debe tener una pila de cinco libros que digan «Jane Austen», «Charlotte Brontë», «Charles Dickens» y «Virginia Woolf»».

Nota: Selecciona la sección o el bloque que quieres editar antes de pedirle algo al creador de webs.

4. Actualizar o generar imágenes y logotipos en tu web

El creador de webs con IA también puede crear un logotipo para tu sitio (si todavía no tienes uno) y generar imágenes para complementar tu contenido.

Generar y actualizar imágenes

Puedes subir tus propias imágenes a tu sitio para añadirlas a tu contenido. También puedes pedirle a la IA que genere imágenes. 

Le pedí a la herramienta que creara fotos para todo el sitio con una estética específica:

«Edita todas las imágenes para que tengan un toque acogedor. La estética debe ser otoñal y debe haber libros en todas las imágenes. La imagen principal debe ser de una chica leyendo a la luz de las velas, animada».

Honestamente, no estaba segura de si las imágenes estarían a la altura (mi experiencia con los generadores de imágenes con IA no ha sido muy buena), pero las fotos me sorprendieron para bien. Sin seis dedos ni ángulos extraños.

Crear un logotipo para tu sitio

También puedes crear el logotipo de tu sitio desde cero. 

Este es el prompt que le di:

«Crea un logotipo para esta web. Debe tener el texto «El rincón de libros de Rochi» dentro de un libro abierto».

A más específico sea el prompt, mejores resultados podrás obtener, y también puedes incluir detalles sobre la paleta de colores, la forma, etc. 

Aunque me he dado cuenta de que la herramienta suele crear un logotipo bastante decente a la primera.

5. Añadir iconos de redes sociales y formularios de registro a tu sitio

Si quieres incluir otros elementos, como iconos de redes sociales, suscripciones a newsletters o formularios de contacto, solo tienes que pedirle al creador de webs que los añada.

Añadir iconos sociales a tu sitio

Esto es lo que pedí para que añadiera tres iconos de redes sociales a mi sitio:

«Añade iconos sociales a la barra de navegación del lado derecho con enlaces a Facebook, Instagram y Pinterest».

Puedes seguir dándole instrucciones para personalizar aún más la apariencia y la ubicación de los iconos en la web.

Añadir una suscripción a una newsletter en tu sitio

Quería añadir una sección en mi sitio donde los lectores pudieran suscribirse a mi newsletter. Utilicé este prompt para crear un formulario de suscripción simple:

«Añade un formulario de suscripción a la newsletter después de la sección «Algo más que libros». El formulario debe incluir dos campos: Nombre y Correo electrónico, junto con el botón «Suscribirse». El título de la sección debe ser «No te pierdas ni una entrada de El rincón de libros de Rochi». Añade una imagen de un correo electrónico que se abre y aparece un libro dentro. El orden debe ser la imagen, el encabezado y el cuadro de suscripción de izquierda a derecha».

Este es el resultado:

Nota: Si planeas enviar newsletters de forma regular, utiliza la función de newsletter integrada de WordPress.com, que te permite convertir tus entradas en correos electrónicos, personalizar el diseño y monetizar tu contenido sin ninguna herramienta externa.

6. Aprender a usar WordPress 

Aunque WordPress es bastante intuitivo, si te encuentras con algún obstáculo, puedes pedirle al creador de webs con IA que te explique cómo hacer algo. 

Por ejemplo, no entendía bien cómo crear una presentación de diapositivas para una de las secciones de mi web. Le pregunté a la herramienta:

«¿Cómo puedo añadir una presentación de diapositivas a la sección «Algo más que libros»? Debe mostrar las entradas de la página «Más allá de los libros». Dame las instrucciones paso a paso».

La respuesta completa me dio instrucciones claras y detalladas sobre cómo crear la presentación de diapositivas que quería.

7. Recibir sugerencias para mejorar tu web

La herramienta de IA también es muy buena para generar ideas para la web: puedes pedirle que mejore la navegación, que sugiera nuevas páginas, que mejore la seguridad o que identifique los elementos que faltan.

Hacer tu sitio más seguro

Quería saber qué puedo hacer para mejorar la seguridad de mi sitio, pero todavía no puedo invertir en herramientas de pago. 

Este es el prompt que utilicé para que diera algunas soluciones (gratuitas):

«Dame algunas ideas sobre cómo puedo mejorar la seguridad de mi web. No me recomiendes ninguna herramienta de pago».

Me dio una lista completa de consejos con varias sugerencias que no se me habían ocurrido.

¿Y sabes qué es lo mejor?

La herramienta de IA te da recomendaciones adaptadas a la configuración actual de tu web. 

Por ejemplo, en mi caso, detectó que no tenía habilitada la autenticación de dos factores (2FA) y me sugirió que la añadiera para mejorar la seguridad.

Generar ideas para mejorar tu sitio

El creador de webs con IA también puede darte recomendaciones personalizadas para mejorar tu sitio en general.

Por ejemplo, utilicé esta petición para que me diera algunas sugerencias generales para mejorar mi sitio:

«Sugiéreme algunas ideas para mejorar esta web. Recomiéndame algunas páginas o secciones que podría añadir, mejoras de navegación y cualquier otro elemento que falte». 

La IA me dio varias sugerencias para mejorar mi sitio, como que añadiera recomendaciones u opiniones de los usuarios sobre mi web, entrevistas con autores, la creación de un club de lectura online o el lanzamiento de desafíos de lectura, entre otras cosas.

La petición que hice fue un poco amplia, pero puedes pedirle a la IA consultas más específicas para que te ayude a mejorar tu sitio. La herramienta puede comprender instrucciones complejas.

Esperamos que estos ejemplos te den una idea general de todo lo que puedes hacer con el creador de webs con IA de WordPress.com.

En realidad, es solo un punto de partida, porque puedes ajustar y personalizar tu web para que sea casi de cualquier manera que quieras. 

Todo depende de una sola cosa: tu web creada con IA será tan buena como las instrucciones que vayas dándole a la herramienta.

Cómo escribir prompts efectivos en el creador de webs con IA: cinco consejos profesionales

Aunque la IA puede ayudarte a crear una web en cuestión de segundos, tú eres quien maneja el timón. 

Tienes control total sobre cómo quieres que se vea y funcione tu web: todo se reduce a cómo guías a la IA con tus instrucciones.

Así que aquí tienes algunos consejos profesionales para escribir prompts:

1. Sé lo más específico posible

El consejo número uno para dar mejores instrucciones es proporcionar indicaciones específicas y detalladas. Este es un ejemplo:

Esto también implica no dar por hecho el contexto. 

Por ejemplo, dile que «cambie la paleta de colores de la sección «Acerca de» a azul cielo», incluso si tu última instrucción fue sobre esa misma sección.

Sé específico y evita usar demasiado pronombres vagos como «esto» o «eso» en tus instrucciones.

2. Sigue refinando hasta que consigas el resultado que buscas

No pierdas la esperanza si el primer borrador de algo que produce la IA no se acerca demasiado a lo que te habías imaginado. 

Sigue dándole instrucciones más específicas hasta que logres el resultado deseado.

Por ejemplo, si la imagen principal de la página de inicio no tiene el tamaño correcto, pídele a la herramienta que «Haga la imagen principal más pequeña para que el titular esté en la mitad superior de la página».

Cada nuevo prompt ayuda a la IA a entender mejor tu visión, así que tomátelo como un proceso conversacional en vez de una única orden.

3. Pídele ayuda para otras cosas además del diseño de la web

El creador de webs puede hacer mucho más que diseñar tu sitio. 

Puedes preguntarle cómo mejorar la velocidad de carga de tu sitio, pedirle consejo sobre los mejores ajustes de seguridad o que te enseñe más sobre cualquier tema relacionado con tu sitio de WordPress.com.

4. Úsalo junto con el editor manual

El creador de webs con IA es extremadamente potente, pero también puedes editar cosas de forma manual para personalizarlas a tu gusto o si te viene mejor. 

Por ejemplo, a mí me resulta más sencillo añadir o reemplazar los enlaces de todos los botones yo misma en vez de pedirle a la IA que lo haga.

El editor del sitio de WordPress.com es tan inteligente como la herramienta de IA en sí: úsalo junto con el creador de webs para que tu sitio sea exactamente como lo has imaginado.

5. Trabaja solo con una sección a la vez

Las instrucciones específicas y detalladas funcionan muy bien con la IA, pero solo cuando se centran en una sección particular. 

Evita pedirle simultáneamente muchas cosas sobre diferentes secciones de tu sitio. Funcionará mejor si divides tus peticiones en partes más pequeñas.

Por ejemplo, en lugar de pedirle a la herramienta que «Ponga la imagen principal encima del titular y haga que todos los botones de esta página sean azules», divídelo en dos pasos. 

Primero, pídele que cambie el tamaño de la imagen principal. Luego, introduce el comando para cambiar el color de los botones.

Empieza a crear tu web de WordPress con estos prompts

Con el creador de webs con IA de WordPress.com, crear tu sitio te puede llevar minutos en lugar de días o semanas. 

Los prompts de esta guía te pueden servir como punto de partida. 

El siguiente paso es ajustar los detalles, como el estilo del contenido, el diseño, los colores, las fuentes y todo lo demás, para que coincida con los que tienes en mente.

Recuerda: sé específico, refina sobre la marcha, trabaja de sección en sección y usa la IA junto con la edición manual para conseguir los mejores resultados. 

Puede que tu primer intento no sea perfecto, pero con unos pocos ajustes, puede llegar a ser exactamente lo que necesitas.

Nota: El uso del creador de webs con IA de WordPress.com te permite acceder a una prueba gratuita para que puedas crear tu sitio antes de comprarlo. Para publicar tu sitio, tendrás que adquirir un plan Premium o Business.

La buena noticia es que, con solo unos cuantos ajustes, tu web de WordPress puede aparecer tanto en los resultados tradicionales de Google como en las respuestas generadas por la IA.

De hecho, la mayor parte de lo que necesitan los sistemas de IA ya existe en WordPress, siempre que lo estructures y lo utilices correctamente.

Esta guía te va a enseñar cómo optimizar tu sitio de WordPress para las búsquedas con IA en nueve sencillos pasos.

1. Escribe contenido que priorice la respuesta y tenga una estructura clara

A la hora de crear contenido para tu web, empieza cada sección con la idea principal y añade después los detalles secundarios. 

Los sistemas de IA extraen información buscando respuestas directas y patrones claros. Cuando empiezas con la respuesta y utilizas un formato estructurado, la IA puede identificar, extraer y citar tu contenido rápidamente.

Aquí tienes un ejemplo de este enfoque en el que la respuesta va primero: un encabezado en forma de pregunta seguido de un párrafo que comienza con los detalles más relevantes y luego añade más contexto.

Cómo hacerlo en WordPress

• Comienza cada página con una respuesta directa, una definición o una conclusión clave.

• Usa los bloques Encabezado, Lista, Tabla y Cita para dividir el contenido en secciones fáciles de analizar.

• Haz que tu primera frase se corresponda con el encabezado. Si el encabezado pregunta «¿Qué es el matcha?», empieza con «El matcha es…».

• No escribas párrafos demasiado largos (más de 2-3 frases), para que la IA pueda extraer los puntos clave sin tener que recorrer interminables bloques de texto.

• Coloca la información más importante en las primeras 100 palabras de cada página.

2. Organiza el contenido en bloques temáticos y páginas de categorías

Agrupa el contenido relacionado en áreas temáticas claras para demostrar autoridad, y nombra explícitamente a las personas, marcas, herramientas y conceptos de los que hablas.

Las entidades son los elementos específicos que los sistemas de IA buscan para comprender el significado y el contexto, como «Monday.com» como producto, «trabajo remoto» como concepto o «integraciones» como categoría de funcionalidad. 

Si organizas el contenido de tu web en torno a estas entidades y utilizas una terminología coherente, la IA puede establecer relaciones entre los temas y comprender tu área de especialización.

Fuente: Ninja Promo

Cómo hacerlo en WordPress

• Identifica contenido relacionado en torno a grandes temas (entre 3 y 6 es un buen punto de partida) en los que tu marca sea referente. Por ejemplo, un blog de estilo de vida podría organizar su contenido en áreas como bienestar y autocuidado, hogar y organización, conciliación laboral, economía personal básica, viajes y rutinas diarias.

• Agrupa las páginas y entradas relacionadas en páginas de categorías. Así es como se ve en el blog de WordPress.com: 

• Define cada categoría y añade descripciones (por ejemplo, «Aquí compartimos consejos prácticos y guías paso a paso sobre economía personal»).

• Enlaza las páginas principales de cada categoría al menú principal y conecta las entradas dentro de cada área utilizando un texto ancla (las palabras específicas asociadas al enlace) claro y relacionado con la entidad.

• Usa el bloque Bucle de consulta para mostrar automáticamente páginas y entradas relacionadas en tus páginas principales.

3. Añade schema para formalizar entidades y relaciones

Añade marcado schema (datos estructurados), un código que etiqueta el tipo de contenido que publicas, para indicar a los motores de búsqueda y a los sistemas de IA de qué tratan exactamente tus páginas.

Por ejemplo, puedes marcar una página como receta, reseña de producto o ficha de negocio local.

El schema no es una solución mágica (pocas cosas lo son en SEO/GEO), pero puede ayudar a la IA a comprender mejor tu sitio y tus páginas de WordPress. 

Por ejemplo, un estudio reciente de Semrush detectó una correlación entre el uso de marcado schema y las citas en IA, probablemente porque el schema añade un contexto y una credibilidad analizable por los sistemas de IA.

Cómo hacerlo en WordPress

• Identifica el tipo de schema correcto para cada página (Article, FAQ, Product, Review, LocalBusiness).

• Conecta el contenido con autores y organizaciones utilizando los schemas Person y Organization.

• Utiliza un plugin de SEO de WordPress para aplicar schema sin necesidad de escribir código personalizado. Algunos de los mejores plugins de WordPress que ofrecen esta funcionalidad son All in One SEO, Schema & Structured Data for WP, Yoast SEO y Rank Math SEO.

4. Añade preguntas frecuentes y secciones estructuradas que la IA pueda citar

Añade secciones de preguntas frecuentes con preguntas y respuestas claras que los sistemas de IA puedan extraer y citar fácilmente.

Estas secciones funcionan bien en las búsquedas con IA porque son un reflejo de la forma en la que la gente formula preguntas en lenguaje hablado. Además, te permiten controlar cómo se enmarcan y presentan tus respuestas.

Por ejemplo, puedes usar las preguntas frecuentes para comunicar el posicionamiento de tu marca de forma estructurada, como en este artículo sobre cómo elegir un proveedor de GPU en la nube:

Cómo hacerlo en WordPress

• Escribe una pregunta clara seguida de una respuesta concisa.

• Comienza cada respuesta con la idea principal y luego añade los detalles.

• Intenta que las respuestas sean útiles y no suenen demasiado comerciales, especialmente las preguntas neutras como «¿Qué es X?».

• Sitúa las preguntas frecuentes al final de tu contenido o en los puntos donde quieres que los lectores tomen una decisión.

• Usa el bloque Acordeón para organizar las preguntas frecuentes:
  

• Para centros de ayuda más grandes, como documentación de software, prueba el plugin BetterDocs.

5. Haz que la información sobre el autor, la experiencia y las señales EEAT estén bien visibles

Dentro de tu contenido, añade información sobre los autores, sus credenciales y sus reflexiones originales para que los lectores y las herramientas de IA sepan quién lo ha escrito y por qué es una fuente fiable.

Cuando dejas ver claramente tu experiencia práctica y conocimiento especializado (lo que Google llama EEAT: experience, expertise, authoritativeness y trustworthiness, es decir, experiencia, especialización, reputación y credibilidad), tanto los motores de búsqueda como las herramientas de IA tienen más probabilidades de confiar en tu contenido y citarlo.

Por ejemplo, DigitalOcean publicó una investigación original sobre la precisión de los detectores de IA en su blog corporativo. Se convirtió en una de las principales fuentes de tráfico de la empresa y terminó obteniendo una cita de la Universidad de Cornell.

Cómo hacerlo en WordPress

• Usa el widget de autores para mostrar el nombre del autor de la entrada en tu blog.

• Enlaza los nombres de los autores a páginas de autor específicas con su trayectoria.

Por ejemplo, iFixit, una web de comercio electrónico y tutoriales, destaca ampliamente la experiencia de sus redactores:

Esto ayuda a los usuarios a confiar en la web a la hora de buscar consejos para reparar sus dispositivos electrónicos y envía señales positivas a los motores de búsqueda con IA.

• Entrevista a expertos en la materia e incorpora sus ideas para reforzar el EEAT y aportar originalidad.

• Lleva a cabo investigaciones originales e incluye estadísticas actualizadas para demostrar credibilidad y respaldar tus afirmaciones. 

6. Refuerza la confianza en tu web

Crea páginas de «Acerca de» y «Contacto» claras y completas para que los visitantes y los sistemas de IA puedan verificar tu credibilidad.

La IA no solo evalúa las entradas individuales, sino que analiza todo tu sitio de WordPress para determinar si eres una fuente de confianza. 

Las webs con información transparente sobre quién las gestiona, cómo se puede contactar con ellos y cuál es su filosofía generan más confianza tanto en los lectores como en los motores de búsqueda.

Aquí tienes otro gran ejemplo de la página «Acerca de» de iFixit:

Cómo hacerlo en WordPress

• Crea una página «Acerca de» clara que explique quién eres, qué haces y a quién te diriges.

• Usa el schema Organization (a través de un plugin de SEO como AIOSEO) para comunicar formalmente a los motores de búsqueda el nombre de tu empresa, tu ubicación y tu actividad.

• Añade una página de «Contacto» específica con datos reales y comprobables de la empresa.

• Incluye las páginas «Acerca de» y «Contacto» en el menú general del sitio, como en el pie de página y la cabecera.

Consejo profesional: La credibilidad de tu sitio de WordPress también proviene de señales externas. Para demostrar a los motores de búsqueda con IA y a Google que eres una fuente fiable, necesitas menciones y enlaces entrantes de fuentes externas, como artículos de invitado, cobertura mediática, creadores de contenido, socios y plataformas comunitarias como Reddit.

7. Fortelece la credibilidad local y empresarial 

Si tienes un negocio local, añade información sobre la ubicación, los horarios de apertura y reseñas de clientes para demostrar que eres una empresa real y legítima.

La información de negocio local refuerza la confianza tanto para establecimientos físicos como para negocios que ofrecen servicios. 

Cuando las herramientas de búsqueda con IA encuentran datos de contacto coherentes, reseñas auténticas e información clara sobre la ubicación, mencionan tu marca con mayor seguridad.

Por ejemplo, así es como Cha Cha Matcha muestra su dirección y otros datos en su web:

Cómo hacerlo en WordPress

• Esfuérzate por que el nombre de tu empresa, la dirección y el número de teléfono aparezcan de forma coherente en todo tu sitio y en tu perfil de Google Business.

• Hazte con un perfil de Google Business y añade horarios precisos, fotos y servicios.

• Implementa el schema LocalBusiness a través del plugin AIOSEO.

• Muestra reseñas y recomendaciones de clientes con el bloque Recomendaciones y el plugin Google Business Reviews and Rating.

• Inserta un mapa en tu página de Contacto o Ubicación.

8. Asegúrate de que los motores de búsqueda puedan acceder a tu web y rastrearla

Elimina las barreras técnicas para que los motores de búsqueda y las herramientas de IA puedan encontrar e indexar tu contenido.

Por ejemplo, si tu sitio bloquea los rastreadores, carga lentamente o no está indexado, incluso el mejor contenido permanecerá invisible. 

Un hosting WordPress fiable resuelve la mayoría de estos problemas de forma automática, manteniendo la velocidad del sitio, aplicando HTTPS y garantizando un tiempo de disponibilidad estable.

Consejo: Para tener la mejor base, invierte en un alojamiento de WordPress que priorice el rendimiento y la seguridad. El hosting WordPress gestionado en WordPress.com incluye caché, actualizaciones de software automatizadas, seguridad y optimización del rendimiento.

Cómo hacerlo en WordPress

• Activa la indexación en Ajustes → Lectura. Esto indica a los motores de búsqueda que pueden encontrar y mostrar tu web en los resultados de búsqueda.

• Configura el archivo robots.txt correctamente con un plugin como AIOSEO. Este archivo indica a los bots qué partes de tu sitio pueden rastrear y cuáles deben omitir, como las páginas de administración.

• Envía un mapa del sitio XML a través de tu plugin de SEO. Este archivo hace una lista de todas tus páginas importantes, facilitando que los motores de búsqueda las puedan encontrar. Para los usuarios de WordPress.com, los mapas del sitio se activan de forma predeterminada.

• Asegúrate de que HTTPS esté activo: busca el icono del candado en la barra de direcciones de tu navegador. Esto indica que tu sitio es seguro, algo que los motores de búsqueda y los sistemas de IA exigen antes de indexar tu contenido.

• Optimiza la velocidad y el tiempo de actividad del sitio comprimiendo imágenes, utilizando caché y eligiendo temas ligeros. 

Consejo: La búsqueda con IA depende de la indexación estándar, así que evita bloquear los bots de IA a menos que el contenido sea propietario, de pago o sensible. Si lo necesitas, puedes usar los plugins Block AI Crawlers o Better Robots TXT.

9. Usa elementos visuales como recursos explicativos

Añade imágenes, diagramas y capturas de pantalla que ayuden a los lectores a entender tu contenido, no solo fotos de archivo decorativas.

Los elementos visuales claros y explicativos hacen que los temas complejos sean más fáciles de comprender. Los sistemas de IA también están avanzando hacia la búsqueda multimodal, lo que significa que cada vez interpretarán más el contenido visual de forma directa.

Por ejemplo, este artículo sobre cómo usar Google Colab para personas sin conocimientos de programación incluye capturas de pantalla paso a paso que guían a los lectores a lo largo de todo el proceso:

Cómo hacerlo en WordPress

• Usa nombres de archivo descriptivos y texto alternativo. Por ejemplo, ponle de nombre a tu archivo «wordpress-dashboard-settings.jpg» en vez de «IMG_1234.jpg», y escribe un texto alternativo que describa lo que muestra la imagen para los motores de búsqueda y los lectores de pantalla.

• Añade pies de foto para dar más contexto a los lectores.

• Haz referencia a los elementos visuales en tu texto. No te limites a insertar una imagen: menciónala también (por ejemplo, con frases del tipo «como se puede ver en la siguiente captura de pantalla»).

• Usa los bloques Imagen, Galería y Tabla para añadir diagramas, capturas de pantalla y pasos del proceso.

• Organiza los recursos en la biblioteca de medios para poder reutilizar imágenes en varias entradas.

Consejo profesional: Dirige a las herramientas de búsqueda con IA hacia tu contenido más importante.

Un archivo llms.txt es una forma experimental de indicar a las herramientas de IA qué páginas de tu sitio son las más importantes, como tus mejores guías, las páginas principales de categorías y tu página «Acerca de».

No es obligatorio, y los sistemas de IA no tienen por qué seguirlo. Pero se le puede considerar como lo que fue en sus inicios el archivo robots.txt: una sugerencia, no un mecanismo de control. 

Así se hace en WordPress:

• Crea un archivo llms.txt con el plugin Website llms.txt.
• Haz una lista de tus URL más importantes, como guías clave, páginas de categorías y tu página «Acerca de».

Déjate ver en las búsquedas modernas con WordPress.com

Hemos hecho un repaso de los pasos fundamentales para que tu web de WordPress no pase desapercibida en las búsquedas con IA: estructura clara, autoría creíble, contenido organizado y bases técnicas sólidas.

Empieza con los 5 primeros pasos y ve ampliando según vaya creciendo tu web. Cuanto antes te adaptes a las búsquedas impulsadas por IA, más sólida será tu visibilidad a largo plazo.

No es necesario que diseñes una nueva estrategia, solo hace falta un enfoque más deliberado y consciente. Cuando tus conocimientos y experiencia son demostrables y tu web tiene un respaldo técnico sólido, los sistemas de IA pueden comprender y mostrar mejor todo tu contenido.

WordPress.com te ayuda gracias a un alojamiento gestionado seguro y unas herramientas de publicación diseñadas para ofrecer el máximo rendimiento y fiabilidad.

Con Telex, una herramienta gratuita de Automattic que puedes usar desde tu navegador, puedes darle vida a tu idea para un bloque directamente desde el navegador. 

Puedes interactuar con el bloque, refinarlo dándole más instrucciones a la IA y descargarlo en forma de plugin para usarlo en tu propia web de WordPress.

Para demostrarte todo lo que se puede hacer con esta herramienta, en este artículo hemos recopilado 12 bloques de WordPress espectaculares creados con Telex. Se puede acceder a cada uno de ellos mediante un enlace compartido, por lo que puedes echarles un vistazo, modificarlos a tu gusto y añadirlos a tu sitio.

1. Buscaminas

El Buscaminas es un bloque de WordPress interactivo generado con IA que te permite jugar al clásico juego del buscaminas en tu web.

Puedes interactuar con él directamente dentro del editor de entradas o después de publicarlo, ya sea en una entrada, página o cualquier otra área de bloques.

Los ajustes del bloque te permiten ajustar en número de filas y columnas en la cuadrícula, así como el número de minas. 

El rompecabezas se reinicia automáticamente cada vez que se carga o actualiza la página, y se puede añadir en cualquier lugar que admita bloques.

Cómo usarlo en tu web de WordPress 

El bloque Buscaminas añade un toque divertido e interactivo a tu sitio y hace que los visitantes vuelvan a por más. 

Puedes publicarlo en cualquier entrada o página para atraer a tu audiencia, o simplemente añadirlo al editor y disfrutar de una partida rápida cuando necesites un descanso mientras creas contenido.

2. Confeti arcoíris

El bloque Confeti arcoíris añade un botón en tu web que activa una divertida y colorida animación en todo el sitio. 

Sus ajustes te permiten controlar el tamaño del confeti y la velocidad a la que cae. 

También puedes alternar entre estilos de movimiento aleatorio y constante. 

Cómo usarlo en tu web de WordPress 

El bloque interactivo Confeti arcoíris añade un toque divertido y llamativo a tu sitio. Es adaptativo y funciona sin problemas en todos los dispositivos. 

Puedes añadirlo a entradas y páginas individuales e incluso incluirlo en la plantilla de la cabecera para que esté siempre disponible. 

Por ejemplo, colócalo al final de un artículo largo o un tutorial para que los visitantes reciban una recompensa visual divertida al llegar al finalizar la lectura.

Estos bloques son muy fáciles de editar, así que no dudes en modificarlo a tu gusto: ajusta la forma del confeti, los colores o la animación para que se adapte a tu estilo.

3. Cuestionario de personalidad

El bloque Cuestionario de personalidad te permite añadir un test de personalidad interactivo a tu sitio de WordPress. 

Crea tus propias preguntas y respuestas que asignarán a tus visitantes un tipo de personalidad o personaje. 

Podrás crear cuestionarios del tipo «¿Qué superhéroe eres?», «¿Cuál es tu animal espiritual?» o «¿Qué personaje de serie de televisión eres?».

Solo tienes que añadir el catálogo de personajes o personalidades que quieras e introducir una serie de preguntas y respuestas. Cada pregunta tiene múltiples respuestas, y cada respuesta apunta a uno de los personajes o tipos de personalidad. 

Los resultados se presentan de forma atractiva y se pueden compartir en redes sociales fácilmente. Los usuarios pueden volver a realizar el cuestionario con solo tocar un botón.

Cómo usarlo en tu web de WordPress 

El bloque Cuestionario de personalidad es un elemento ideal para sitios de fans, blogs de entretenimiento y deportes, o cualquier web donde los personajes y las personalidades sean relevantes.

Este bloque de Telex es perfecto para añadir de forma sencilla contenido interactivo divertido, atractivo y que se pueda compartir a tu sitio.

4. Bloque de acordeón

El bloque Acordeón de Telex te ayuda a añadir paneles de acordeón plegables a tu contenido.

Estos acordeones son perfectos para las preguntas frecuentes (FAQ) y para otros contenidos de estilo preguntas y respuestas. 

Puedes añadir múltiples acordeones a una sola entrada si lo necesitas. Cada acordeón puede tener tantos paneles como quieras, y puedes añadir contenido a los paneles en el editor de WordPress. 

También puedes personalizar los colores, los tamaños de fuente y los estilos de borde de los acordeones en los ajustes del bloque.

Cómo usarlo en tu web de WordPress 

El bloque es ideal en situaciones en las que quieras que los visitantes controlen cómo y cuándo se muestra el contenido, evitando que se sientan abrumados por el exceso de información y sin ocupar demasiado espacio en la página.

Por ejemplo, puedes usarlo para crear una sección de preguntas frecuentes o para ocultar spoilers hasta que los visitantes decidan verlos.

5. Rasca y gana

El bloque Rasca y gana de Telex te permite ocultar texto tras una capa rascable. Permite rascar tanto con el ratón como con gestos táctiles. 

El tamaño del área de raspado, el color de la capa y el tamaño y la forma del pincel se pueden personalizar. También puedes modificar el porcentaje de la capa que debe eliminarse antes de que se revele el contenido.

Cómo usarlo en tu web de WordPress 

Dale un toque interactivo a tu sitio con este bloque de rasca y gana. Es perfecto para ocultar contenido como spoilers, ofertas especiales o respuestas de cuestionarios.

6. Datos curiosos de Pokémon

El bloque Datos curiosos de Pokémon añade un botón a tu sitio que muestra un dato divertido sobre un Pokémon aleatorio cuando se hace clic en él.

El bloque incluye el nombre del Pokémon, su sprite (una pequeña imagen del personaje) y la entrada de la Pokédex (el texto descriptivo corto que aparece en la Pokédex del juego) desde la PokéAPI cada vez que alguien pulsa el botón.

Puedes usarlo inmediatamente, sin necesidad de una clave API.

Cómo usarlo en tu web de WordPress 

Si tu audiencia disfruta del acceso rápido a datos aleatorios de Pokémon, este bloque es para ti.

El bloque Datos curiosos de Pokémon puede ser tanto un añadido divertido a tu contenido como el plato fuerte de tu sitio: ponlo donde quieras añadir un poco de diversión extra.

7. Un bocado más

El bloque Un bocado más te permite publicar recetas cómodamente en tu web de WordPress.

Añade un formulario al editor con campos que cubren todos los elementos esenciales de la publicación de recetas. 

Las recetas publicadas incluyen datos estructurados de Google Recipe para mejorar la visibilidad en las búsquedas y que aparezcan fragmentos enriquecidos en los resultados de búsqueda.

Las recetas se presentan de forma atractiva y son fáciles de leer. 

Cómo usarlo en tu web de WordPress 

El bloque Un bocado más es perfecto para blogs gastronómicos o para cualquier persona que comparta recetas ocasionalmente en su sitio.

8. Puntos espaciales

El bloque Puntos espaciales añade elementos flotantes a tu sitio que responden al movimiento del cursor, a los clics del ratón y a los toques en pantallas táctiles.

Los ajustes del bloque te permiten controlar el número y la velocidad de los puntos y la altura del bloque.

Cómo usarlo en tu web de WordPress 

Puedes añadir este bloque en cualquier lugar de tu sitio: en entradas, páginas o en partes de una plantilla.

Sirve tanto como un elemento decorativo sutil, como una forma divertida e interactiva de que los visitantes pasen el rato.

9. Pronóstico del tiempo

El bloque Pronóstico del tiempo consulta y muestra una previsión meteorológica de cinco días de la NOAA (Oficina Nacional de Administración Oceánica y Atmosférica, por sus siglas en inglés), según el código postal de EE. UU. que haya introducido el usuario. 

Consulta el pronóstico utilizando API gratuitas (Zippopotam.us y weather.gov). 

Después, el bloque presenta la información meteorológica en un diseño accesible y adaptado a dispositivos móviles. Los visitantes pueden ver un pronóstico de día y de noche para hoy y para los próximos cuatro días. 

Cómo usarlo en tu web de WordPress 

Cualquier web que ofrezca servicios o actividades que se puedan ver afectadas por el clima puede beneficiarse de añadir el bloque Pronóstico meteorológico. 

Por ejemplo, los sitios de atracciones locales, eventos al aire libre o experiencias de viaje podrían usar un pronóstico de cinco días para ayudar a los visitantes a planificar su visita y realizar reservas con conocimiento del clima.

10. Indicador de desplazamiento

El bloque Indicador de desplazamiento añade una pequeña animación que invita a los visitantes a desplazarse hacia abajo. 

Cuando se hace clic o se toca, mueve la página automáticamente, ofreciendo una forma sencilla e interactiva de explorar tu sitio.

El icono animado del bloque presenta un efecto de rebote suave para captar sutilmente la atención de los visitantes sin distraer demasiado. 

Puedes cambiar el color, el tamaño y el texto del icono, y configurar el bloque para que se oculte una vez que el usuario comience a desplazarse.

Cómo usarlo en tu web de WordPress 

Añade este indicador animado a los contenidos más largos para ofrecer a los lectores otra forma de navegar por tu sitio.

11. Órbita

El bloque Órbita te permite añadir un texto circular animado a tu sitio.

Añádelo a una entrada, introduce el texto que quieras en la barra lateral de ajustes del bloque y observa cómo gira alrededor del círculo.

Puedes ajustar la velocidad de rotación y controlar el espaciado entre el inicio y el final del bucle de texto.

Cómo usarlo en tu web de WordPress 

El bloque Órbita es ideal para resaltar fragmentos clave de texto en un artículo o añadir encabezados animados a tus entradas.

12. Tirada de caos

El bloque Tirada de caos añade una tirada de dados animada a tu sitio de WordPress. 

Los visitantes pueden hacer clic en el dado para generar un resultado aleatorio con una animación fluida que proporciona información visual.

En la barra lateral de ajustes del bloque puedes elegir entre varios tipos de dados, desde D4 hasta D20. También puedes añadir varios dados para simular tiradas más altas; por ejemplo, dos dados D10 para crear una tirada D100.

Cómo usarlo en tu web de WordPress 

Cualquier web que se beneficie de la generación de números aleatorios podría usar este bloque.

Por ejemplo, un sitio educativo podría hacer que las lecciones sean más atractivas generando números aleatorios para problemas matemáticos o para seleccionar tareas. 

Cómo empezar con Telex

Crear tu primer bloque con Telex es tan sencillo como visitar la web y escribir una descripción de lo que quieres.

Para empezar, sigue estos pasos:

1. Piensa una idea: Tu bloque podría servir para un propósito práctico o simplemente añadir un toque divertido y creativo a tu sitio. 
2. Ve a la web de Telex: Inicia sesión con tu cuenta de WordPress.com o crea una nueva.
3. Escribe las instrucciones: Describe el bloque utilizando lenguaje natural. Las instrucciones sencillas funcionan bien, pero añadir más contexto ayuda a Telex a generar mejores resultados. Puedes modificar fácilmente el bloque que haya generado añadiendo más instrucciones.
4. Haz clic en «Construir»: Telex generará un bloque funcional en el navegador.
5. Haz modificiones: Prueba el bloque y dale más instrucciones a la IA para ajustarlo a tus necesidades.
6. Descárgalo o compártelo: Una vez que el resultado esté a tu gusto, haz clic en «Descargar» para obtener un archivo zip del plugin que podrás instalar en tu sitio de WordPress, o elige «Compartir» para copiar un enlace de previsualización que puedes usar para enseñarle a otros lo que has creado. 

Puedes volver a los bloques que hayas creado en cualquier momento. 

Los bloques se guardan automáticamente en tu cuenta de WordPress.com y se puede acceder a ellos desde la página de Telex si necesitas realizar cambios.

Si necesitas más información, consulta esta entrada sobre cómo crear bloques de WordPress con IA con Telex.

Prueba Telex con tus propias manos

¿Te apetece crear tu primer bloque de WordPress generado con IA?

Con Telex, crear bloques personalizados es más rápido y fácil que nunca.

¿Quieres darle vida a una idea totalmente nueva? ¿O prefieres modificar alguno de los bloques que hemos visto en esta entrada? Telex hace que la creación de bloques sea un proceso divertido y sencillo.

Visita Telex para empezar, y no dudes en compartir tus creaciones y opiniones. Nos encantaría ver lo que construyes.

En esta guía te vamos a explicar cómo configurar Claude Code y WordPress Studio para crear plugins totalmente funcionales con prompts de texto.

Claude Code es el asistente de programación con IA de Anthropic. WordPress Studio es un entorno local de WordPress gratuito. Juntos, te permiten pasar de idea a plugin funcional en cuestión de minutos, sin necesidad de ser experto en programación.

Este tutorial repasa la configuración completa y te enseña a crear tu primer plugin.

1. Instala Claude Code

Ve a la web de Claude Code y regístrate: puedes elegir cualquiera de los planes de pago que hay disponibles. 

Ejecuta el instalador nativo desde la página de configuración y sigue las instrucciones en pantalla para completar la instalación.

Tarda uno o dos minutos en instalarse. Una vez haya terminado, Claude Code estará listo para usar.

2. Instala WordPress Studio

Descarga WordPress Studio: es completamente gratuito y funciona tanto en Mac como en Windows.

Instálalo y crea un nuevo sitio. Puedes ponerle el nombre que quieras; por ejemplo, «Mi web de WordPress».

Como Studio se ejecuta de forma local, todo lo que crees con él permanece de forma segura en tu ordenador, así que puedes experimentar con plugins generados con IA sin poner en riesgo una web activa.

3. Inicia Claude Code

Usando la opción Abrir en… de la pestaña General de Studio, haz clic en Terminal. Esto abrirá una ventana del terminal en la ubicación de los archivos de tu proyecto.

Después, escribe claude. Si es la primera vez, se te pedirá que inicies sesión en tu cuenta de Claude y que confirmes que confías en los archivos de esta carpeta.

Pulsa la tecla Intro en tu teclado para confiar en la carpeta, y aparecerá un mensaje de bienvenida.

5. Crea tu primer plugin

En el terminal de Claude, describe lo que quieres hacer. Dale algo de contexto sobre dónde te encuentras y qué necesitas. Por ejemplo:

«Estamos en la raíz de la carpeta de un sitio de WordPress. Quiero un plugin sencillo que haga que aparezca el mensaje «Hola, [Tu nombre]» en el panel de administración del sitio».

Claude te hará algunas preguntas, creará una carpeta para el plugin y generará el archivo completo del plugin con la estructura de WordPress adecuada.

6. Actívalo y pruébalo

Vuelve a WordPress Studio y abre el administrador de WordPress. Ve a Plugins, busca tu nuevo plugin y actívalo.

Si el plugin funciona correctamente, tu mensaje personalizado aparecerá en la parte superior del área de administración; en nuestro caso, «Hello Nick» aparece en forma de aviso de administración. 

Si no has cambiado el nombre, es posible que aparezca «Hola, admin». Solo tienes que ir a tu lista de usuarios y cambiar el nombre de tu usuario predeterminado.

Este es el plugin más sencillo posible, pero sirve como muestra de lo rápido que puedes crear algo con Claude y WordPress.

7. Sigue creando

A partir de aquí, puedes añadir más funcionalidades. 

Vuelve al terminal en tu editor y pídele a Claude que añada nuevas funcionalidades, como páginas de ajustes, bloques personalizados o cualquier otra cosa que necesites.

Como con cualquier herramienta de IA, experimentar con las instrucciones que le das a Claude te ayudará a conseguir mejores resultados:

• Dale a Claude contexto sobre dónde te encuentras en la estructura de archivos.
• Sé específico sobre lo que quieres que haga la funcionalidad.
• Divide las funcionalidades complejas en pasos más pequeños.
• Pídele a Claude que te explique el código que ha generado si algo no tiene sentido.

Un consejo más: Telex, una alternativa para bloques de WordPress

Telex es otra herramienta única que te ayuda a generar bloques de WordPress con IA, y es completamente gratuita.

Solo tienes que describir el bloque de WordPress que quieres y Telex lo creará y generará una vista previa interactiva en WordPress Playground.

Prueba tu bloque, refínalo con más instrucciones a la IA, descárgalo en forma de plugin e instálalo en tu web de WordPress.

Ya lo sabes todo para crear con IA

Ahora ya tienes un proceso para crear plugins para tu sitio de WordPress con IA.

• Describe el plugin que quieres crear y observa cómo Claude genera código funcional dentro de tu sitio de WordPress Studio.
• Experimenta con Telex para crear bloques de WordPress completos.
• Sigue experimentando y probando cosas nuevas.

Empieza por algo sencillo y aborda proyectos más complejos cuando te hayas familiarizado con el proceso.

Y si creas algo interesante, no dudes en compartirlo con nosotros en los comentarios: nos encantaría ver lo que haces.

Acabamos de lanzar nuevas habilidades y un plugin de Claude Cowork, diseñado para vibe coders o cualquiera que quiera crear un tema de WordPress, generar webs y experimentar con el desarrollo asistido por IA. Y sin que necesites tener ningún conocimiento técnico.

Estas herramientas siguen un ritmo de desarrollo muy rápido y están en constante cambio, pero hemos querido ofrecértelas desde ya.

Tenemos la certeza de que este es el camino del desarrollo web.

Un plugin para crear webs de WordPress para Claude Cowork

Este nuevo plugin de Claude Cowork transforma una conversación con Claude en una web de WordPress completa. Describe lo que quieres hacer, se creará un tema de bloques completo y se desplegará en un sitio local ejecutado con WordPress Studio.

Por ejemplo:

/create-site Una web para mi negocio de coaching de fitness. Quiero ayudar a profesionales sin tiempo a ponerse en forma sin tener que vivir en el gimnasio. Quiero que se puedan reservar llamadas introductorias y compartir consejos de entrenamientos.

Claude empieza la conversación pidiéndote detalles sobre tu sitio y ofrece varias opciones de diseño. Prueba opciones hasta que todo esté a tu gusto y, en cuestión de minutos, tendrás a tu disposición un tema de bloques de WordPress completo.

WordPress Studio también te ofrecerá un enlace de previsualización para que puedas compartirlo con quien quieras. Y también te permite sincronizar fácilmente tu sitio completo con WordPress.com.

El plugin está en versión para desarrolladores, así que, para utilizarlo, clona este repositorio de GitHub y sigue las instrucciones del archivo README.

Habilidades que lo hacen funcionar

Junto con el plugin, queremos compartir también las habilidades que lo hacen funcionar. Las habilidades son conjuntos de instrucciones reutilizables que indican a los asistentes de IA cómo deben realizar tareas específicas: serían algo así como una evolución de los prompts.

Hay habilidades para:

• Especificaciones del sitio, que reúnen información y contexto fundamental sobre el sitio que se va a crear.
• Diseño del sitio, que crea varias opciones de diseño y da directrices sobre las tipografías, los colores y el estilo.
• Creación de temas de WordPress, con las mejores recomendaciones y consejos para generar un tema de bloques funcional.

Lo mejor es que puedes utilizar estas habilidades donde quieras: ChatGPT, Codex o la herramienta de vibe coding que más te guste.

Las habilidades están todavía en desarrollo y sufren cambios casi cada semana, pero ya están ayudando a crear temas con cierto nivel de calidad, y es de esperar que los resultados sigan mejorando.

Crea con nosotros

Vivimos en una época de cambios, con muchas incertidumbres. Pero también de oportunidades, especialmente para aquellos que están dispuestos a experimentar con la creación web.

Prueba las nuevas herramientas. Rómpelas. Cuéntanos qué echas en falta. Ayúdanos a mejorarlas.

En WordPress.com ofrecemos servicios de hosting para que puedas alojar tus webs creadas con IA y compartirlas con el mundo.

Y no te pierdas nuestras novedades. Claude Cowork es solo la punta del iceberg: queremos ayudarte a crear webs de WordPress con el agente de IA que tú elijas.

Desde entonces, miles de vosotros habéis creado bloques, compartido feedback y llevado la herramienta en direcciones que no esperábamos.

Ese entusiasmo nos mantuvo en marcha. Estas son las novedades.

1. Muéstrale a Telex lo que quieres crear

Ahora puedes subir imágenes de referencia cuando describes tu bloque. Una maqueta de Figma. Una captura de pantalla de un diseño que te guste. Un boceto en una servilleta. 

Súbela junto con tu prompt y deja que Telex vea lo que estás imaginando.

Esto es especialmente útil con diseños complejos, o cuando buscas una estética concreta. En lugar de escribir una descripción detallada de cómo debe organizarse cada elemento, simplemente muéstralo.

Una imagen vale más que un prompt de mil palabras, o eso dicen.

2. Trabaja en tu editor favorito y regresa

Una de las funcionalidades más solicitadas, editar bloques fuera de Telex, ya está aquí.

Descarga tu bloque, ábrelo en VS Code, Cursor o en el que prefieras (no vamos a entrar en ese debate) y haz tus cambios. Después sube el zip de vuelta a Telex para seguir refinándolo con IA.

Este flujo de trabajo de ida y vuelta conecta la generación con IA y el desarrollo tradicional. Todavía estamos en la fase inicial, pero seguimos mejorándolo.

3. Explora versiones anteriores sin riesgo

El historial de versiones ahora funciona mejor. Cuando restauras una versión previa, Telex crea una nueva versión en lugar de sobrescribir tu trabajo actual. 

Esto significa que puedes explorar iteraciones anteriores, comparar enfoques y recuperar aquello que eliminaste hace tres prompts.

Tus errores del pasado ahora son solo investigación. O, como lo llamamos nosotros, desarrollo iterativo.

4. Telex habla tu idioma

Telex ya está disponible en 7 idiomas para que crees bloques y experimentes.

También hemos corregido un problema por el cual los caracteres en japonés, chino, emojis y otros caracteres multibyte no se transmitían correctamente.

5. Pequeñas mejoras que suman

También hemos incluido un montón de correcciones menores:

• Títulos de página dinámicos: ¿Tienes varios bloques abiertos en diferentes pestañas? El título de la página ahora coincide con el proyecto seleccionado.

• Confirmaciones de guardado: Las ediciones manuales de código ahora muestran el mensaje «Archivos actualizados». Siempre sabrás que tus cambios se han aplicado.

• Enlaces para compartir más cortos: URLs más limpias y fáciles de compartir.

• Página de registro de cambios: ¿Quieres estar al día de cada actualización? Ahora tenemos un registro de cambios propio. Son como unas notas de publicación, pero de verdad que las escribimos.

Sigue experimentando

Telex es un experimento vivo. Tu feedback determina hacia dónde va.

Crea un bloque. Prueba la subida de imágenes. Cuéntanos qué funciona y qué no, en los comentarios o a través del formulario de feedback dentro de la aplicación.

Estos conceptos erróneos se han difundido hasta la saciedad, como las muñecas virales Labubu.

Para desmentir los mitos más comunes sobre WordPress, voy a compartir ejemplos de casos reales y mi experiencia de más de una década trabajando con esta plataforma.

Al final de este artículo, acabarás conociendo mucho mejor las capacidades reales de nuestra plataforma y podrás formar tu propia opinión sobre si se ajusta a tus necesidades.

Resumen: desmintiendo 11 mitos comunes sobre WordPress

Ahora que tenemos el resumen, vamos a desmentir cada mito en detalle. 

Mito 1: WordPress es solo para blogs

Realidad: WordPress gestiona tiendas de comercio electrónico, webs de empresas, porfolios, revistas, agencias gubernamentales y mucho más.

Aunque inicialmente fue creada como una plataforma de blogs, más del 43 % de la web funciona ahora con WordPress, incluidas empresas del Fortune 500, agencias gubernamentales, portales de comercio electrónico y medios de comunicación nacionales. 

Gracias a sus sólidas herramientas de diseño, sus funciones de IA y los miles de temas y plugins, puedes crear prácticamente cualquier tipo de web.

Por ejemplo, usando el creador de webs con IA de WordPress.com, generé un sitio completo de coaching empresarial en cuestión de minutos, con una imagen de cabecera atractiva, textos claros y un diseño profesional:

Las empresas más grandes también se benefician del uso de WordPress, ya que nuestras funciones van mucho más allá de la creación y el hosting de la web.  

En uno de los ejemplos más notables, Endoh Collaborative se asoció con WordPress.com para tener acceso a nuestros servicios para agencias, como son las herramientas de gestión de clientes y un programa de referidos en el directorio de colaboradores. 

WordPress.com se adapta a tus necesidades en cada etapa, ya que incluye funciones para cualquier web que quieras crear, tanto si es una tienda de comercio electrónico como si se trata de una pequeña empresa o una iniciativa corporativa. Todos los planes de pago ofrecen ancho de banda ilimitado, un servicio de soporte especializado, hosting gestionado y acceso a plugins y temas.

Mito 2: WordPress no es seguro

Realidad: La mayoría de los ciberataques son causados por contraseñas débiles o plugins obsoletos. El núcleo de WordPress se revisa continuamente por miles de desarrolladores para que esté siempre un paso por delante de los ataques. Si quieres tener menos preocupaciones todavía, usa un hosting WordPress gestionado como WordPress.com: las actualizaciones del sitio, las copias de seguridad y los parches de seguridad se gestionan automáticamente.

Debido a que WordPress es de código abierto, algunas personas asumen que es vulnerable a amenazas de seguridad. 

Como usuario de WordPress durante más de 10 años, mis webs siempre han estado protegidas gracias a prácticas de seguridad intencionales. Por ejemplo, WordPress.com actualiza mi sitio a la versión más reciente y segura y se encarga de la seguridad y el rendimiento de los plugins, por lo que no necesito monitorizarlo constantemente.

La realidad es que incluso el CMS más robusto se vuelve vulnerable si se le sobrecarga con plugins ineficientes, según desarrolladores experimentados. 

Fíjate en los siguientes comentarios de Reddit, donde hablan de cómo los plugins mal programados ralentizan los sitios y crean brechas de seguridad:

Y esto no es exclusivo de WordPress.

Elijas el CMS que elijas, si empiezas a meter un montón de mal código encima del código seguro, lo más probable es que haya problemas.

Protege ya tu web con WordPress.com. Nuestros planes de hosting gestionado ofrecen seguridad completa mediante certificados SSL, cortafuegos avanzados, prevención de ataques de fuerza bruta, cifrado y protección DDoS.

Mito 3: WordPress es de baja calidad porque es gratuito

Realidad: WordPress es gratuito por una razón: no porque sea de baja calidad, sino porque es un software de código abierto.

WordPress está creado y mantenido por miles de desarrolladores y diseñadores de todo el mundo, que aportan su experiencia para seguir mejorándolo.

Este modelo impulsado por la comunidad es lo que hace que WordPress sea tan potente. 

Cada actualización, funcionalidad y mejora de seguridad es revisada por dos personas y probada antes del lanzamiento. 

WordPress.com añade hosting gestionado, seguridad y funciones de rendimiento a este conjunto, ayudando a que tu sitio sea rápido y fiable sin que tengas que hacer nada.

Además, nuestra comunidad organiza cientos de eventos de WordPress por todo el planeta. 

Por ejemplo, el año pasado WordPress.com patrocinó la WordCamp US, una conferencia de WordPress muy popular. En una WordCamp, miles de principiantes y expertos en WordPress se reúnen para intercambiar conocimientos sobre el software de código abierto.

Esta cultura colaborativa es lo que hace que WordPress siga avanzando. Nunca se estanca. 

Mito 4: WordPress.com es caro

Realidad: El software WordPress en sí es gratuito, pero crear y ejecutar una web profesional siempre implica costes básicos como el alojamiento, un dominio personalizado y mantenimiento.

Con WordPress.com, esos costes se agrupan en planes simples y transparentes que incluyen hosting gestionado, copias de seguridad, servicio de soporte especializado y seguridad. 

También tienes acceso a funciones como el creador de webs con IA, temas premium, plugins y soporte las 24 horas.

¿Y sabes cuál es la mejor parte? Que también es posible empezar gratis y mejorar el plan cuando tu web esté lista para ver el mundo.

Si lo comparas con los malabarismos que tienes que hacer al usar servicios separados con un alojamiento autogestionado, WordPress.com suele resultar asequible y fácil de gestionar.

Mito 5: Los sitios de WordPress son siempre lentos

Realidad: Los sitios de WordPress pueden ser rápidos. La velocidad de tu sitio depende de tu hosting, tema y calidad de los plugins. 

Los sitios de WordPress cargan muy rápido si están bien configurados.

En WordPress.com, todas las webs incluyen almacenamiento en caché integrado para reducir la carga del servidor. Combinado con nuestros temas optimizados de WordPress.com, tu sitio siempre irá ultrarrápido sin tener que configurar nada.

Por ejemplo, cuando LUBUS migró el sitio de un cliente a WordPress.com, observó una mejora del 60 % al 70 % en el TTFB (time to first byte), lo que indica más velocidad en la carga de las páginas y menos tasas de rebote de los visitantes. 

Consejo: El time to first byte mide cuánto tarda el navegador de un visitante en recibir el primer byte de datos del servidor. Una puntuación baja de TTFB indica que las páginas cargan más rápido y, por tanto, una mejor experiencia de usuario. Según Google, una buena puntuación de TTFB es de 0,8 segundos o menos.

Las enormes mejoras del TTFB de LUBUS son gracias a nuestra infraestructura full-stack.

El almacenamiento en caché global de WordPress.com utiliza más de 28 centros de datos en seis continentes, enviando el contenido de tu sitio desde los servidores más cercanos a cada visitante. Esto garantiza que tu sitio carga siempre rápido, esté donde esté el visitante. 

Nuestra infraestructura también redimensiona automáticamente las imágenes a través de nuestra CDN de aceleración del sitio. Esto ayuda a que las páginas se carguen rápidamente, incluso durante picos de tráfico.

Mito 6: Todos los sitios de WordPress parecen iguales

Realidad: Puedes crear web únicas y personalizarlas usando el creador de webs con IA de WordPress.com, el editor del sitio y miles de plugins y temas. También puedes programar o subir temas personalizados si tienes un plan Business o superior.

Elige entre los más de 1.000 temas de diseño profesional de WordPress, mejora tu sitio con plugins o crea algo desde cero dándole instrucciones a la IA: personalizar tu web es muy sencillo.

Por ejemplo, cuando creé un sitio para un refugio de perros con el creador de webs con IA, empecé dándole una breve descripción: el nombre de la organización, el objetivo que perseguía y la dirección física del lugar. 

La herramienta generó el primer borrador en solo unos segundos: un diseño limpio en rojo escarlata con un Beagle de imagen principal que encajaba perfectamente con el enfoque hacia «perros mayores» de la web.

A partir de ahí, empecé a personalizarlo todo. 

Le pedí a la IA que cambiara el Beagle por una manada de seis perros jugando en un jardín para cambiar el ambiente a algo más cálido y enérgico. 

También hice que reescribiera el texto de la página de inicio en un tono amigable en segunda persona para animar a los visitantes a participar.

En unos minutos, pasé de un buen borrador hecho con IA a un sitio que sentía como propio.

Mito 7: WordPress no es escalable

Realidad: WordPress hace funcionar tanto blogs personales como sitios de empresas gracias a una infraestructura que gestiona fácilmente grandes cantidades de tráfico. Además, en WordPress.com, también tienes un hosting gestionado robusto que se escala automáticamente, para que tu sitio siga siendo rápido y fiable según va creciendo.

La arquitectura de rendimiento de WordPress facilita el escalado sin interrupciones en el tiempo de disponibilidad, especialmente cuando usas una plataforma gestionada como WordPress.com.

Por ejemplo, cuando Jelly Pixel Studio trasladó los sitios de sus clientes a WordPress.com, la agencia notó que la estabilidad había mejorado y que los tiempos de carga ahora eran más rápidos. Incluso durante picos de tráfico, el tiempo de actividad se mantuvo al 100 %. 

Como dijo su fundador, la infraestructura de WordPress.com parecía «literalmente magia», y le evitó innumerables llamadas de emergencia sobre problemas de rendimiento.

Vuestro servicio de soporte es espectacular, y vuestra estructura es LITERALMENTE MAGIA. Hemos monitorizado el tiempo de disponibilidad de nuestros clientes, y vemos muchos 100 %. ¿Cómo es posible? Espectacular es quedarse corto. Nos habéis salvado de tener que hacer un montón de llamadas.

Es gracias a dos funciones principales que los sitios de WordPress.com son consistentemente rápidos y estables:

• Almacenamiento en caché global: Entrega contenido desde centros de datos cercanos a tus visitantes.
• CDN con acelerador de sitio: Descarga tus imágenes y archivos estáticos para reducir la carga del servidor y mejorar el rendimiento general.

Mito 8: No se pueden usar temas o plugins de terceros en WordPress.com

Realidad: Puedes usar plugins de terceros en todos los planes con plugins habilitados. Los planes Business, Commerce y Enterprise también te permiten subir y utilizar temas de terceros para disfrutar de una flexibilidad total en el diseño.

Puedes ampliar tu sitio con cualquier plugin del ecosistema de WordPress, tanto si quieres añadir herramientas SEO avanzadas, como si son formularios de contacto o integraciones personalizadas. 

La plataforma principal ya incluye elementos esenciales como la seguridad, la optimización del rendimiento y las copias de seguridad, así que experimentar de forma segura sin preocuparte por el mantenimiento o los problemas de compatibilidad.

En resumen, WordPress.com te ofrece libertad creativa completa, con los beneficios extra del hosting gestionado, las actualizaciones automáticas y el servicio de soporte especializado.

Mito 9: WordPress es difícil 

Realidad: WordPress puede parecer poco intuitivo al principio, pero cualquier persona puede aprender a usarlo. La plataforma tiene una curva de aprendizaje, como cualquier otra herramienta potente, pero hay una enorme biblioteca de tutoriales, cursos y soporte de la comunidad para ayudarte a sentirte como en casa rápidamente. Las herramientas de IA como el creador de webs con IA también te ayudan a acelerar el proceso.

No es necesario saber de diseño o desarrollo web para crear una web profesional con WordPress. 

Una vez que aprendas los conceptos básicos, el editor del sitio te permite añadir y mover elementos, como encabezados, botones, bloques de pago o imágenes, con solo un par de clics.

Si aún así prefieres tener algo de ayuda, el creador de webs con IA puede generar un primer borrador de tu sitio en un abrir y cerrar de ojos. 

Por ejemplo, ¿te acuerdas de la web del refugio de perros que estuve creando?

Solo tuve que darle unas indicaciones de texto a la IA para que creara los borradores y añadiera cambios visuales.

Con un poco de práctica y acceso a una comunidad de apoyo, la mayoría de los usuarios de WordPress dejan de sentirse abrumados enseguida y empiezan a ser un usuario seguro de sí mismo con su propia web.

Consejo: Si necesitas ayuda, tienes a tu disposición nuestros cursos, guías, un asistente de IA y nuestro servicio de soporte especializado (para usuarios de planes de pago de WordPress.com). Nuestros foros, con soporte activo del personal de WordPress.com y otros usuarios experimentados, también están disponibles para todos los usuarios.

Mito 10: WordPress.com es solo para principiantes

Realidad: Si bien WordPress.com es fácil de utilizar para aquellos que están empezando, también ofrece herramientas avanzadas para usuarios con más experiencia.

Muchos usuarios ven WordPress.com como una versión menos compleja de WordPress y asumen que ofrece una personalización limitada.

Algunos incluso afirman que WordPress.com te limita a plantillas fijas sin acceso a plugins.

La realidad no es así:

• Los planes de WordPress.com con plugins habilitados permiten utilizar plugins de terceros para que puedas ampliar las capacidades de tu web de un montón de maneras.
• Los planes Business, Commerce y Enterprise admiten plugins y temas totalmente personalizados para un control más detallado.
• Los planes Premium y superiores incluyen CSS personalizado, para que puedas ajustar el diseño, la tipografía, el espaciado, las interacciones y mucho más.
• Business, Commerce y Enterprise añaden herramientas de desarrollador como SFTP/SSH, WP-CLI, comandos Git y despliegues de GitHub para llevar a cabo flujos de trabajo profesionales optimizados.

Consejo: Todos los planes de pago de WordPress.com incluyen actualizaciones automáticas, seguridad, estadísticas y plugins (por ejemplo, Jetpack Social para compartir en redes sociales, Akismet para protegerte contra el spam).

Mito 11: WordPress.com se queda con tu contenido y no te deja llevártelo

Realidad: Solo tú controlas tu contenido de WordPress, tanto tus entradas, páginas y archivos multimedia como tus seguidores. 

Todo el contenido publicado en tu sitio de WordPress es tuyo. Automattic no es propietario de tus datos. 

De hecho, lo mencionamos explícitamente en nuestras condiciones del servicio: «No somos propietarios de tu contenido; tú conservas todos los derechos de propiedad sobre el contenido que publiques en tu sitio web».

Puedes gestionar tu contenido como quieras: eliminarlo, monetizarlo, vender contenido premium con el bloque Contenido de pago, recibir propinas a través del bloque Formulario de donaciones o migrar a otro alojamiento en cualquier momento. 

Estos mitos de WordPress son solo eso… mitos

Ahora que este artículo ha desmentido todos estos mitos, puedes utilizar WordPress para tu web con total confianza.

Alojarlo en WordPress.com también es la mejor opción si quieres tener ancho de banda ilimitado y mantenimiento técnico automatizado.

Nuestros precios escalan con tu crecimiento. Empieza gratis y mejora tu plan cuando necesites un sitio profesional con funciones más avanzadas.

Todos los planes de pago ofrecen ancho de banda y visitas ilimitados: olvídate de velocidades lentas o tarifas sorpresa si recibes una buena cantidad de tráfico. Además, podrás disfrutar de un dominio gratuito durante un año, un servicio de soporte rápido y más de 50.000 plugins, entre muchas otras cosas.

Pero, ¿sabías que hay otra forma de gestionar tu web?

No es otra que WP-CLI, la interfaz de línea de comandos de WordPress. Hace todo lo que hace el WP Admin, y mucho más.

Puedes utilizarla para interactuar con tu sitio mediante la línea de comandos en un terminal, y, aunque no lo parezca, te puede ahorrar un montón de tiempo a la hora de gestioanr contenido, plugins, temas, usuarios o cualquier otra cosa.

En esta guía hablaremos sobre qué es WP-CLI y compartiremos algunos comandos útiles para que te pongas al día.

WP-CLI puede convertirse en la herramienta que estabas buscando para gestionar tus sitios de forma más eficiente y flexible, tanto si están alojadas en WordPress.com como si están en otro lugar.

1. ¿Qué es WP-CLI? 
2. Instalación de WP-CLI
3. ¿Por qué utilizar WP-CLI?
4. Ejemplo de comandos de WP-CLI y qué puedes hacer con ellos
5. Gestión de plugins con WP-CLI
6. Gestión de entradas de WordPress con WP-CLI
7. Gestión de temas de WordPress con WP-CLI
8. Gestión de comentarios en WordPress con WP-CLI
9. Comandos WP-CLI recomendados para desarrolladores
10. Comandos de WP-CLI propios de WordPress.com interesantes
11. Descubre más sobre WP-CLI
12. ¿Te lanzas a empezar a utilizar WP-CLI?

¿Qué es WP-CLI? 

WP-CLI es la interfaz de línea de comandos oficial de WordPress. Está diseñada para ayudar a los desarrolladores a gestionar sus sitios de forma rápida y flexible.

En lugar de utilizar la interfaz gráfica del WP Admin en el navegador, con WP-CLI puedes ejecutar potentes comandos desde el software de terminal que prefieras.

Por ejemplo, con los comandos puedes:

• Instalar una lista de plugins en un sitio.
• Asignar varias entradas a un usuario diferente.
• Crear nuevos usuarios.
• Eliminar todos los comentarios de spam.

Puedes crear incluso una instalación nueva de WordPress, cambiar a otra versión del núcleo de WordPress y buscar y reemplazar elementos de la base de datos: cosas que no se pueden hacer desde el WP Admin.

La historia de WP-CLI

WP-CLI es un proyecto de código abierto, igual que WordPress.

Fue creado originalmente por Andreas Creten, Cristi Burcă y Daniel Bachhuber, antiguo empleado de Automattic, y su mantenimiento está ahora a cargo de Alain Schlesser, con contribuciones de desarrolladores de todo el mundo.

Para garantizar su compatibilidad con las últimas versiones de WordPress, WP-CLI sigue un ciclo de lanzamientos regular. Las actualizaciones suelen salir cada tres o cuatro meses e incorporan nuevos comandos y mejoran el rendimiento.

El propósito de WP-CLI es hacer que WordPress sea más accesible para los desarrolladores.

Cuando te acostumbras, puedes gestionar eficientemente uno o más sitios e incluso automatizar tareas de una forma que nunca podrías hacer en el WP Admin.

Instalación de WP-CLI

Algunos hosting web incluyen WP-CLI de forma predeterminada, y WordPress.com es uno de ellos.

Para utilizar WP-CLI en WordPress.com, es necesario que tu sitio tenga un plan Business o Commerce.

En primer lugar, asegúrate de que tienes acceso SSH al servidor donde está instalado WordPress.

Para confirmar que WP-CLI está instalado, prueba a ejecutar una comprobación de versión introduciendo el siguiente comando:

wp cli version

Si está instalado, aparecerá algo parecido a esto:

WP-CLI 2.12.0

Si no, verás un mensaje como este:

command not found: wp

Si WP-CLI no está instalado todavía, sigue estas instrucciones para hacerlo.

¿Por qué utilizar WP-CLI?

Las principales razones para utilizar WP-CLI en lugar del WP Admin son la eficiencia y las ventajas de acceso.

Te permiten:

• Ejecutar comandos en cuestión de segundos, en vez de tener que pasear por diferentes pantallas en el WP Admin, ahorrando tiempo a la hora de configurar nuevos sitios o gestionar otros que ya tengas.

• Seguir trabajando incluso si hay algún problema que te impide acceder al WP Admin, como un conflicto de plugins. En esos casos, con WP-CLI puedes desactivar plugins, crear cuentas de usuario y actualizar el núcleo de WordPress sin tener que pasar por el WP Admin.

• Realizar tareas que no se pueden hacer desde el WP Admin sin instalar plugins extra; por ejemplo, interactuar con la base de datos o ejecutar acciones en lote como instalar y activar varios temas o plugins con un solo comando, generar contenido de muestra, volver a una versión anterior del núcleo de WordPress o de un plugin o gestionar varios sitios del mismo servidor con un único comando.

• Combinar comandos de WP-CLI en cadenas o scripts para automatizar flujos de trabajo completos, como por ejemplo, generar un nuevo sitio, configurar los ajustes, crear cuentas de usuario, instalar plugins y generar contenido de muestra, todo con un solo script.

Es cierto que tienes que aprender una nueva forma de trabajar con WordPress para disfrutar de todos los beneficios de WP-CLI.

Pero no tardarás demasiado en acostumbrarte y, una vez que lo hagas, te darás cuenta de que puedes trabajar de forma mucho más eficiente.

Si tu web tiene un plan Business o Commerce de WordPress.com, puedes utilizar WP-CLI y, además, tienes acceso a unos cuantos comandos exclusivos de WordPress.com, de los que hablaremos más adelante en esta guía.

Y, ¿sabes lo mejor? Que, como WP-CLI está diseñada especialmente para desarrolladores, tienes toda la libertad para utilizarla como quieras.

Ejemplo de comandos de WP-CLI y qué puedes hacer con ellos

Vamos a ver algunos ejemplos de comandos y para qué te pueden resultar útiles.

Pero antes, vamos a echar un vistazo al formato de los comandos.

Los comandos de WP-CLI suelen seguir la siguiente estructura:

wp <command> <subcommand> [arguments] [--flags] [--flag=value]

Los comandos empiezan por wp, que es lo que le dice al shell que se trata de un comando de WP-CLI. Detrás de wp va el comando y, a veces, un subcomando.

Entre los ejemplos, se incluyen plugin y list: un comando para hacer una lista de todos los plugins que hay instalados en el sitio:

wp plugin list

Los comandos pueden incluir argumentos, como:

wp plugin update hello-dolly

Este comando actualiza el plugin hello-dolly (si hay alguna actualización disponible).

También se pueden añadir flags. Empiezan por -— y sirven para activar o desactivar opciones o añadirle un valor al comando.

Por ejemplo, al añadir la flag –-status=active al comando wp plugin list, solo aparecerán en la lista los plugins que están activos en el sitio.

wp plugin list --status=active

Es posible encadenar comandos mediante &&; por ejemplo:

wp plugin install contact-form-7 --activate && wp plugin install akismet --activate && wp theme install twentytwentyfive --activate

Este comando instala y activa los plugins Contact Form 7 y Akismet, además del tema Twenty Twenty-Five.

Además, puedes añadir –help a cualquier comando para ver sus subcomandos, flags y otros datos en WP-CLI.

Por ejemplo:

wp plugin --help
wp plugin list --help

Según vayamos viendo los ejemplos, te irás haciendo una idea más clara de la estructura de los comandos de WP-CLI.

Puedes utilizar WP-CLI en un software de terminal, como las aplicaciones gratuitas Terminal Windows o Terminal de macOS.

En WP-CLI, también puedes usar bucles y scripts de bash para crear flujos de trabajo automatizados más avanzados y ejecutar actualizaciones en lote, gestionar varios sitios y optimizar tareas de mantenimiento de WordPress complejas con un solo comando.

Gestión de plugins con WP-CLI

wp plugin es un comando muy práctico a la hora de interactuar con los plugins de un sitio con WP-CLI. 

Te permite instalar, actualizar y eliminar plugins mediante comandos, en lugar de realizar varios pasos en el WP Admin, y te ahorra un montón de tiempo.

Por ejemplo, si sueles configurar sitios nuevos habitualmente y siempre instalas la misma lista de plugins del directorio de plugins de WordPress.org, puedes hacer lo mismo con un comando sencillo y rápido.

Además, puedes actualizar los plugins que hayas instalado del directorio de plugins de WordPress.org desde la línea de comandos. También puedes cambiar fácilmente entre diferentes versiones de un plugin, incluyendo versiones antiguas, desde la misma línea de comandos.

Para terminar, con WP-CLI puedes instalar y actualizar plugins de otras fuentes. Puede que no funcione con todos los plugins, ya que tienes que introducir su URL y WP-CLI debe poder acceder al archivo ZIP. Si los archivos son accesibles, deberías poder instalarlos.

Ahora, vamos a ver algunos de los comandos wp plugin más interesantes.

wp plugin list 

Utiliza el siguiente comando para ver los plugins que hay instalados en el sitio:

wp plugin list

Este comando no solo hace una lista de los plugins que hay instalados en el sitio, sino que también muestra su estado, el número de la versión y si hay alguna actualización disponible.

Añadir flags al comando wp plugin list sirve para modificar lo que muestra, como:

wp plugin list --update=available

Con este comando, solo aparecerán los plugins que tienen una actualización disponible.

Puedes ver las flags disponibles para cada comando añadiéndole –-help.

Por ejemplo:

wp plugin list --help

wp plugin update

Si en el sitio en el que trabajas hay instalados plugins del directorio de plugins de WordPress.org para los que hay alguna actualización disponible, puedes actualizarlos con el siguiente comando:

wp plugin update --all

Si quieres excluir alguno para que no se actualice, utiliza la flag –-exclude:

wp plugin update --all --exclude=edit-flow

Excluir un plugin puede resultar útil si todavía no has probado la última versión del plugin y no quieres instalarla todavía.

Como puedes ver, todos los plugins han sido actualizados, excepto «Edit Flow».

wp plugin install

WP-CLI se puede utilizar para instalar plugins del directorio de plugins de WordPress.org.

También puedes instalar plugins introduciendo la ruta de un archivo zip local o la URL de un archivo zip remoto.

Para instalar uno o más plugins del directorio de plugins de WordPress.org, utiliza el siguiente comando seguido por el nombre del plugin:

wp plugin install <plugin-name>

Por ejemplo, para instalar BuddyPress y Contact Form 7, escribe:

wp plugin install bbpress contact-form-7

Al introducir el nombre del plugin, debes utilizar el slug del plugin del directorio de plugins de WordPress.org.

Para localizar el slug del plugin, visita la página del plugin en el directorio de plugins de WordPress.org y busca el slug en la URL:

Si quieres que los plugins se activen después de instalarlos, añade –-activate al final del comando:

wp plugin install bbpress contact-form-7 --activate

Si una actualización del plugin provoca errores, puedes revertirla a una versión anterior utilizando el comando:

wp plugin install <slug> --version=1.2.3

Esto reinstala la versión especificada del plugin, lo que le permite volver de forma segura a una versión estable.

Puedes consultar más información sobre la instalación de plugins, incluyendo instrucciones para instalar plugins que no aparezcan en el directorio de plugins de WordPress, en la página wp plugin install de la documentación para desarrolladores de WordPress.

wp plugin deactivate 

También es posible desinstalar uno o más plugins desde la línea de comandos.

Puede ser muy práctico si el sitio ha dejado de funcionar a causa de un problema relacionado con algún plugin que te impida acceder al WP Admin para desactivarlo desde el navegador.

Algunas de las opciones disponibles para desactivar plugins son: desactivar un plugin concreto por su nombre, utilizar la flag --all para desactivar todos los plugins o desactivar todos los plugins excepto algunos específicos.

Por ejemplo, para desactivar un plugin concreto, utiliza el siguiente comando:

wp plugin deactivate akismet

Para desactivar todos los plugins, utiliza este comando:

wp plugin deactivate --all

Para desactivar todos los plugins excepto alguno específico, usa el siguiente comando:

wp plugin deactivate --all --exclude=akismet,hello-dolly

Puedes ver otras opciones en la documentación del comando wp plugin deactivate y, si buscas más comandos relacionados con plugins, consulta la documentación del comando wp plugin.

Gestión de entradas de WordPress con WP-CLI

Con WP-CLI también puedes realizar gestiones en las páginas y entradas. 

wp post list

Para empezar, puedes echar un vistazo rápido a la lista de las entradas de un sitio con el siguiente comando:

wp post list

Para ver una lista de las páginas, añade esta flag al comando:

wp post list --post_type=page

Con el siguiente comando puedes ver una lista de páginas y entradas:

wp post list --post_type=page,post

La página del comando wp post list de la documentación para desarrolladores de WordPress incluye más información sobre las listas de entradas.

wp post create

Con el comando wp post create puedes crear entradas y páginas con WP-CLI.

Si sueles crear sitios nuevos que incluyen el mismo conjunto de páginas, como «Acerca de», «Contacto» o páginas de servicios, puedes hacerlo de forma mucho más rápida utilizando un solo comando.

Por ejemplo, el siguiente comando sirve para crear una entrada cuyo título sea «Creada con WP-CLI».

wp post create --post_title="Creada con WP-CLI"

Si quieres crear más de una entrada, puedes encadenar varios comandos mediante &&:

wp post create --post_type=page --post_status=publish --post_title='Inicio' && wp post create --post_type=page --post_status=publish --post_title='Acerca de' && wp post create --post_type=page --post_status=publish --post_title='Contacto'

Las nuevas entradas se guardan como borrador de forma predeterminada.

Pero si quieres cambiarlo, puedes hacerlo con la flag –-post_status= y añadiendo un comando como publish, draft o pending.

Por ejemplo, para crear y publicar una entrada nueva con el título «Creada con WP-CLI», utiliza el siguiente comando:

wp post create --post_title="Creada con WP-CLI" --post_status=publish

También es posible añadir contenido a la entrada, asignarle un autor, configurar la fecha de publicación y mucho más mediante las flags correspondientes.

Puedes encontrar más información sobre el comando wp post create en la documentación de WP-CLI.

wp post generate

Si vas a crear un sitio nuevo y quieres añadirle contenido provisional, el comando wp post generate te va a resultar muy útil.

Este comando es perfecto para crear contenido de prueba en un nuevo diseño o añadir miles de entradas en un sitio para hacer pruebas de rendimiento.

Crea un montón de entradas con un único comando.

Como en otros comandos, puedes añadir flags al comando wp post generate.

wp post generate --count=10

También se pueden utilizar otras flags, como: –-post_type=, –-post_status=, –-post_author= y –-post_date=.

Por ejemplo:

wp post generate --count=10 --post_type=page --post_status=draft --post_author=1 --post_date="2025-01-15 12:15:00"

Este comando creará 10 borradores de páginas con el autor con el ID 1 y con la fecha y hora de creación establecida en el 15 de enero de 2025 a las 12:15.

Puedes consultar más información sobre el comando wp post generate en la documentación para desarrolladores de WordPress.

wp post update

También puedes actualizar o modificar entradas previas con WP-CLI.

Añadiendo flags al comando wp post update puedes actualizar el título, el cuerpo, el extracto, la fecha de publicación, el estado de publicación y el autor.

Como puedes modificar varias entradas de una vez, es un comando muy útil para cambiar el estado de publicada a borrador de varias entradas o para asignar como autor a un usuario diferente.

A la hora de actualizar varias entradas con un solo comando, debes hacer referencia al ID de las entradas. Para localizar el ID de cada entrada, utiliza este comando:

wp post list

Cuando tengas los ID de las entradas que quieres actualizar, añádelos en el comando separados por un espacio.

Fíjate en el ejemplo de un comando wp post update que actualiza varias entradas:

wp post update 14 16 19 --post_author=52288503

Este comando modifica el autor de las entradas con ID 14, 16 y 19 al usuario con ID 52288503.

(Para ver la lista de usuarios y sus ID, utiliza el comando wp user list).

El comando se puede seguir desarrollando si quieres cambiar el autor de todas las entradas desde un autor concreto a otro diferente:

wp post update $(wp post list --post_author=52288503 --format=ids) --post_author=52288502

Este comando localiza una lista de todas las entradas con el autor con ID 52288503 y las modifica para que el autor sea el de ID 52288502.

Puedes usar la misma metodología para cambiar el estado de las entradas publicadas a borrador con el siguiente comando:

wp post update $(wp post list --post_status=publish --format=ids) --post_status=draft

Echa un vistazo a todo lo que puedes hacer con este comando en la página de wp post update de la documentación de WP-CLI.

wp post delete

Con WP-CLI también puedes eliminar entradas.

En este caso también se utilizan los ID de las entradas para especificar las entradas que quieres eliminar:

wp post delete 649

Para eliminar varias entradas de una vez, separa los ID con un espacio:

wp post delete 649 300 150

Por defecto, las entradas se trasladan a la papelera. Pero puedes utilizar la flag –-force para eliminar la entrada de forma permanente, sin que pase por la papelera:

wp post delete 648 --force

Si quieres eliminar todas las páginas, utiliza el siguiente comando:

wp post delete $(wp post list --post_type=page --format=ids)

Este comando elimina todas las entradas de un usuario determinado:

wp post delete $(wp post list --post_author=2 --format=ids)

Gestión de temas de WordPress con WP-CLI

Con los comandos de wp theme puedes realizar varias tareas en tu sitio relacionadas con los temas.

wp theme list

Para ver una lista rápida de todos los temas del sitio junto con su estado, si hay alguna actualización disponible y el número de versión, utiliza el siguiente comando:

wp theme list 

wp theme activate

Puedes activar un tema determinado que haya instalado con el siguiente comando:

wp theme activate twentytwenty

wp theme install

Igual que con los plugins, puedes instalar temas desde la línea de comandos.

Si quieres instalar un tema desde el directorio de temas de WordPress, debes utilizar su slug.

El slug aparece en la URL de la página del tema en el directorio de temas de WordPress.

Por ejemplo, si quieres instalar el tema Twenty-Twenty Four, añade su nombre según aparece en su slug, twentytwentyfour.

wp theme install twentytwentyfour

Si quieres activar el tema después de instalarlo, añade la flag --activate:

wp theme install twentytwentyfour --activate

wp theme update

Con un único comando puedes actualizar todos los temas que tengan una actualización disponible:

wp theme update --all

También puedes excluir temas para que no se actualicen con la flag --exclude:

wp theme update --all --exclude=twentytwenty

Gestión de comentarios en WordPress con WP-CLI

Con el comando wp comment tienes una forma rápida de ver y eliminar comentarios de spam en el sitio, además de interactuar con los comentarios de muchas otras maneras:

Puedes ver los comentarios del sitio con el siguiente comando:

wp comment list

En esta lista no siempre aparecen los comentarios de spam, así que, para verlos, utiliza este comando:

wp comment list --status=spam

Para eliminar los comentarios de spam, usa el comando wp comment delete junto con el comando wp comment list:

wp comment delete $(wp comment list --status=spam --format=ids)

Comandos WP-CLI recomendados para desarrolladores

Aquí tienes algunos comandos adicionales que pueden ayudarte a administrar y solucionar problemas en sitios de WordPress:

wp cache flush

Puedes gestionar la caché de un sitio WordPress utilizando el comando wp cache.

wp cache flush es útil, ya que puede solucionar problemas en los que no se muestran los cambios realizados en el sitio, como ediciones de entradas, actualizaciones de temas o cambios en la configuración.

WordPress regenera automáticamente la caché la siguiente vez que se carga el sitio, lo que garantiza que se muestre la versión más actualizada.

Puedes encontrar más información sobre los comandos wp cache y wp cache flush en los recursos para desarrolladores de WordPress.

wp db export

También puedes realizar operaciones con bases de datos con WP-CLI.

El comando wp db export crea una copia de seguridad de tu base de datos de WordPress como un archivo .sql, algo que vale la pena hacer antes de llevar a cabo cambios importantes en el sitio. También puedes utilizar WP-CLI para exportar tablas específicas, excluir tablas o importar un archivo de base de datos.

Puedes encontrar más información sobre los comandos wp db y wp db export en los recursos para desarrolladores de WordPress.

wp rewrite flush

El comando wp rewrite flush actualiza la estructura de enlaces permanentes y las reglas de reescritura de WordPress. Puede corregir los errores 404 que se producen tras añadir tipos de entradas personalizadas o cambiar la configuración de los enlaces permanentes.

Puedes encontrar más información sobre el comando wp rewrite flush page en los recursos para desarrolladores de WordPress.

wp search-replace

El comando wp search-replace te permite buscar una cadena en tu base de datos de WordPress y sustituirla por otra.

Es especialmente útil para actualizar URLs tras la migración de un sitio web o corregir texto en entradas, páginas y ajustes. El uso de la flag --dry-run te permite previsualizar los cambios antes de aplicarlos.

Un ejemplo de este comando sería:

wp search-replace 'energise' 'energize' --dry-run

Este comando muestra una vista previa de todas las instancias de «energise» que se sustituirían por «energize». Si estás satisfecho con el resultado, puedes ejecutar el mismo comando sin la flag --dry-run para aplicar los cambios.

Estos son solo algunos ejemplos de cómo se puede utilizar WP-CLI para interactuar con tu sitio de WordPress sin pasar por la interfaz WP Admin.

Esperamos que todos estos ejemplos te animen a interactuar con WordPress desde la línea de comandos.

Si quieres consultar más información sobre WP-CLI, échale un vistazo a la lista completa de comandos en la documentación. 

Comandos de WP-CLI propios de WordPress.com interesantes

WP-CLI está incluido en los planes de hosting Business y Commerce de WordPress.com.

Algunos comandos del núcleo no se pueden utilizar, pero hay muchos otros que son exclusivos de los sitios de WordPress.com.

1. wp –-help

Para ver una lista de lo que incluyen los planes de hosting Business y Commerce de WordPress.com, escribe el siguiente comando:

wp --help

Al hacerlo, aparecerán todos los comandos de WP-CLI disponibles en tu sitio según el plan que tengas.

2. wp wpcomsh diag

wpcomsh es un comando específico de WordPress.com que incluye varios subcomandos muy útiles a la hora de gestionar tu sitio.

Uno de ellos es wp wpcomsh diag.

Este comando ejecuta pruebas de diagnóstico y muestra los resultados, como el estado de los plugins, las cuentas con acceso de administrador, detalles sobre los planes y servicios de WordPress.com activos y errores críticos de PHP, entre muchas otras cosas.

Es una forma rápida y sencilla de ver un resumen detallado del estado del sitio.

3. wp wpcomsh plugin-dance

Si hay algún error en el sitio, el siguiente comando desactiva todos los plugins y los activa de uno en uno para comprobar si el problema lo está causando un plugin concreto.

wp wpcomsh plugin-dance

También puedes gestionar Jetpack y WooCommerce con WP-CLI.

Échale un vistazo a la lista completa de comandos de WP-CLI específicos de WordPress.com en la documentación para desarrolladores de WordPress.com.

Como puedes ver, la posibilidad de utilizar WP-CLI es una razón más que demuestra que WordPress.com no es solo para blogs sencillos: es una plataforma con herramientas avanzadas ideal para desarrolladores.

Descubre más sobre WP-CLI

Hay muchas cosas más que puedes hacer con WP-CLI: desde consultar la lista completa de comandos hasta crear tus propios comandos personalizados.

También puedes crear scripts de bash que contengan varios comandos de WP-CLI, para que, en lugar de tener que ejecutar cada comando por separado, puedas ejecutar el script completo de una sola vez.

Por ejemplo, podrías crear un script de bash llamado update.sh que incluya comandos de WP-CLI para actualizar todos los plugins y temas:

wp plugin update --all
wp theme update --all

Después podrías ejecutar el script con ./update.sh. El contenido del script se ejecutará y, en este caso, actualizará los temas y plugins del sitio.

Este es solo un ejemplo de lo que puedes hacer con WP-CLI. Si quieres saber más, consulta la documentación online.

¿Te lanzas a empezar a utilizar WP-CLI?

WP-CLI es una herramienta increíble para desarrolladores y cualquiera que quiera tener más control sobre su web y pasar menos tiempo entre los menús del WP Admin.

El mayor impedimento para empezar suele ser mental.

En la mayoría de los casos, abrir el software del terminal y acceder por primera vez solo lleva un par de minutos, y ya tienes una forma más rápida y eficiente de gestionar tu sitio.

Además de su eficacia y velocidad, WP-CLI también ofrece otras ventajas.

Puedes desactivar plugins y temas, activar o desactivar opciones si no puedes acceder al WP Admin, e incluso generar contenido provisional con un solo comando.

Para probarlo, hazte con un plan Business o Commerce de WordPress.com.

Existe otra herramienta muy útil que puedes explorar: WordPress Studio. Es una aplicación de escritorio gratuita y de código abierto, creada por WordPress.com, con la que puedes crear sitios de WordPress de forma local. Además de crear sitios en un abrir y cerrar de ojos, sincronizarse con WordPress.com y Pressable e importar cualquier sitio de WordPress para trabajar localmente, te ofrece una forma sencilla de probar WP-CLI en un entorno seguro.

Si ya has utilizado nuestro creador de webs con IA, te habrás dado cuenta de lo fácil que es crear un sitio completo simplemente charlando con la IA. Ahora, esa misma inteligencia te acompaña dentro del editor y de la biblioteca de medios.

A diferencia de otras herramientas de IA independientes, el asistente de IA de WordPress funciona directamente dentro de tu sitio. Entiende el contenido y la estructura de tu web y puede actuar desde el mismo lugar desde el que trabajas: olvídate de copiar y pegar, de tener que refinar los prompts y de descifrar un código que no sabes cómo utilizar.

Los sitios con planes Business o Commerce de WordPress.com ya pueden activar el asistente de IA de WordPress sin ningún coste extra.

Crea, escribe, diseña y gestiona sin perder el ritmo

El nuevo asistente de IA aparecerá en varios lugares dentro de tu experiencia con WordPress una vez que lo habilites en cada uno de tus sitios:

El editor

Te puede ayudar con la estructura y el diseño general de tu sitio, así como a editar y mejorar tu contenido sin tener que salir del editor. Puedes ajustar la distribución, los estilos y los patrones de tus páginas y entradas charlando tranquilamente con la IA y ver cómo los cambios toman forma mientras trabajas. 

Puedes pedirle cosas como: 

• «Haz que esta sección tenga un estilo más moderno y con más espacio».
• «Cambia los colores de mi sitio web para que sean más brillantes y llamativos».
• «Dame más opciones de fuentes que parezcan limpias y profesionales».
• «Añade una sección de testimonios debajo de esta sección».
• «Añade una página de contacto».
• «Reescribe esto para que suene con más confianza».
• «Traduce esta sección al español».
• «Dame tres opciones de título para esta página».
• «Genera una imagen de un cruasán para esta entrada del blog».

Biblioteca de medios

Crea y edita imágenes directamente desde tu biblioteca multimedia. El asistente de IA te puede ayudar a generar nuevos elementos visuales o a editar imágenes que ya tengas para que todo tu contenido visual mantenga la coherencia con el estilo y la marca de tu sitio. 

Puedes incluso concretar la relación de aspecto y el estilo de las imágenes para controlar al máximo el resultado final. 

Esta funcionalidad utiliza los modelos más recientes de Nano Banana, ofreciéndote mucho más sin añadir suscripciones. 

En tu biblioteca de medios, haz clic en el botón «Generar imagen». Puedes pedirle al asistente cosas como:

• «Genera una imagen de un gato calicó leyendo un libro».
• «Actualiza esta imagen para que sea en blanco y negro».
• «Reemplaza esta pila de tortitas por una pila de gofres».

Notas en los bloques

La funcionalidad de las notas en los bloques que introdujo la versión 6.9 de WordPress te permite colaborar con tu equipo directamente en el editor. El asistente de IA de WordPress amplía sus posibilidades gracias a la inteligencia artificial: puedes hacer preguntas dentro de las notas del bloque y recibir respuestas que tienen en cuenta el contexto del contenido, incluyendo enlaces relevantes e información de fuentes externas:

• «@ai Comprueba la veracidad de los datos de este bloque».
• «@ai Dame ideas de titulares para este artículo».
• «@ai Dime algunas sugerencias para darle más impacto a este párrafo».

El asistente de IA de WordPress funciona directamente dentro de WordPress, y eso te permite recibir ayuda justo en el mismo lugar donde creas, escribes y editas.

Cómo activar el asistente de IA de WordPress

Puedes activarlo con solo unos clics:

1. Inicia sesión en tu cuenta de WordPress.com y ve a tu lista de sitios.
2. Haz clic en el nombre de tu sitio y luego en «Ajustes».
3. Desplázate hacia abajo hasta encontrar la opción «Herramientas de IA».
4. Activa la opción para habilitar la función.

Alternativamente, si compras un sitio que hayas creado con nuestro creador de webs con IA, el asistente se activará de forma automática, independientemente del plan que hayas elegido.

Ten en cuenta que el asistente de IA funciona mejor con temas de bloques. Si utilizas un tema clásico, el asistente no aparecerá en el editor. Aun así, podrás generar y editar imágenes con IA desde la biblioteca de medios.

Empieza ahora

La mayoría de las herramientas dejan de tener sentido después de generar la web. Otras te ofrecen un chat aislado de tu flujo de trabajo o fragmentos de código con los que debes apañarte por tu cuenta.

El asistente de IA de WordPress trabaja directamente dentro de tu sitio, ayudándote a ajustar bloques, dar forma a diseños, redactar contenidos y orientar tus decisiones.

Esto es WordPress, ahora con inteligencia integrada: listo para ayudarte a crear, diseñar y crecer más rápido que nunca. Y es solo una de las muchas formas en las que la IA va a ayudar este año a los usuarios de WordPress.com a llegar mucho más lejos.