← Volver a los módulos

nexya security Seguridad WordPress: cabeceras HTTP y vigilancia

Las cabeceras HTTP de seguridad configuradas sin romper el sitio, el seguimiento de vulnerabilidades en los plugins activos de WordPress y la detección de cambios en los archivos.

  • Una CSP que realmente se puede activar Con la versión Pro, el modo de detección escucha lo que bloquea el navegador y convierte cada bloqueo en una fuente que se puede autorizar con un solo clic. Establecer una política estricta deja de ser una tarde de prueba y error.
  • Recibe avisos cuando una extensión se vuelve peligrosa Los plugins activos se comparan con una base de datos pública de vulnerabilidades, y la administración te indica cuál está afectada. Con la versión Pro, la comprobación se ejecuta cada noche: cuando surge una vulnerabilidad crítica, te enteras sin tener que ir a buscarla.
  • Los archivos, comparados con el original Cada día, los archivos del núcleo y los de las extensiones de wordpress.org se cotejan con los originales de su versión, y un archivo PHP escondido en los medios se señala. Con el Pro, el original vuelve o el archivo sospechoso se aparta en un clic, guardando una copia cada vez.
  • Las cabeceras hasta en el .htaccess En Apache, las cabeceras también se escriben en el .htaccess del sitio: incluso una página servida desde una caché las incluye. En nginx, la pantalla indica las que se deben configurar en la configuración del servidor.
  • Un inicio de sesión que se mantiene seguro Los intentos fallidos bloquean el acceso durante cada vez más tiempo, y el verdadero propietario desbloquea su cuenta mediante un enlace recibido por correo electrónico. En la versión Pro, se incluye un código en dos pasos para los roles seleccionados.
nexya security en vídeo: Seguridad WordPress: cabeceras HTTP y vigilancia 1:04

Lo que sabe hacer

Seguridad de WordPress: cabeceras HTTP, fallos de plugins y archivos vigilados

No otro cortafuegos que ralentiza cada página, sino lo que más suele faltar: las cabeceras que esperan los navegadores, la alerta cuando un plugin se vuelve peligroso y los archivos comparados con su original.

Cabeceras HTTP

Las cabeceras de seguridad puestas sin romper el sitio

HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy: cada una se activa por separado, con una explicación clara. En Apache también se escriben en el .htaccess, para que una página servida desde caché las lleve; en nginx, la pantalla da las líneas que hay que poner.

  • Vigilancia de fallos en los plugins activos
  • Archivos del núcleo comparados cada día con los originales
  • Acceso protegido, desbloqueo por correo
Lo que sale realmente nexya security
  • X-Frame-Options SAMEORIGIN
  • X-Content-Type-Options nosniff
  • Referrer-Policy strict-origin-when-cross-origin
  • Cross-Origin-Opener-Policy same-origin-allow-popups
  • Permissions-Policy geolocation=(self), microphone=(), camera=(), display-capture=(self)
  • Strict-Transport-Security max-age=300

Leído sobre esta misma petición, con los ajustes guardados: la única forma honesta de comprobar que un ajuste ha entrado. El HTTPS sube por escalones — cinco minutos, un día, un año — para que un error siga siendo reparable.

Content Security Policy

Una CSP estricta, construida a partir de lo que carga el sitio

Con Pro, el modo de detección escucha lo que el navegador bloquearía, sin bloquear nada todavía, y convierte cada bloqueo en un origen que se autoriza con un clic. Poner una política estricta deja de ser una tarde de prueba y error.

  • Escaneo automático cada noche con Pro
  • Original restaurado o archivo sospechoso apartado
  • Acceso en dos pasos para los roles elegidos
Los orígenes autorizados nexya security
Google Fonts (styles) https://fonts.googleapis.com
Google Fonts (fichiers) https://fonts.gstatic.com
Google Maps https://maps.googleapis.com
YouTube https://www.youtube.com

Lo que no está escrito aquí no se carga. Un origen por línea, con los sitios donde tiene derecho a aparecer.

Integridad de archivos

Un archivo modificado u oculto detectado al día siguiente

Cada día, los archivos del núcleo y de los plugins de wordpress.org se comparan con los originales de su versión, y se señala un archivo PHP oculto en la carpeta de medios. Con Pro, el original vuelve o el archivo sospechoso se aparta con un clic, guardando siempre una copia.

  • Núcleo y plugins de wordpress.org
  • PHP oculto en los medios señalado
  • Con Pro, escaneo automático cada noche
Los archivos, comparados con el original nexya security
Archivo Estado
wp-includes/version.php Original
wp-admin/index.php Original
plugins/contact/send.php Modificado
uploads/2026/04/image.php PHP en los medios

Cada día, el núcleo y los plugins de wordpress.org se comparan con los originales de su versión.

Ajustes de seguridad

Las puertas más probadas, cerradas con un interruptor

Bloquear PHP en la carpeta de subidas, desactivar el editor de archivos y XML-RPC, ocultar la versión de WordPress, dar el mismo mensaje en cada acceso fallido, rechazar «admin» y exigir contraseñas seguras: cada ajuste se activa por separado, con lo que cambia explicado con claridad.

  • Regla .htaccess escrita para ti en Apache
  • Contraseña olvidada muda para una cuenta desconocida
  • Todo sigue apagado hasta que tú lo enciendes
Los ajustes de seguridad nexya security

Archivos

Accesos y contraseñas

Puertas de entrada antiguas

Los pequeños ajustes que cierran las puertas más probadas, un interruptor cada uno, sin cortafuegos que frene las páginas.

Y todo lo demás, ya incluido

  • PHP oculto en los medios Se señala un archivo ejecutable en la carpeta de imágenes.
  • Intentos fallidos frenados Cada fallo bloquea un poco más.
  • Copia guardada Antes de cada reparación se guarda el archivo original.
  • Señalado en la administración Se nombra el plugin activo afectado por un fallo conocido.
  • Actualizaciones reconocidas Un plugin actualizado con WordPress ya no se señala como modificado.
  • Permitir todos Una lista de archivos conocidos aceptada en un clic.

Sin plataformas externas que ejecutar

Todo ocurre entre el sitio y tres fuentes públicas: la API de sumas de comprobación de WordPress.org para los archivos del núcleo, su repositorio oficial para restaurarlos con la versión Pro, y una base de datos pública de vulnerabilidades para la supervisión. Nada pasa por ningún servicio que nos pertenezca, no hay cuentas que crear y los resultados se guardan en el sitio.

El modo de detección en la práctica

Con la versión Pro, se activa la política en modo de escucha, se navega con normalidad durante unos días y cada recurso bloqueado aparece en una lista. Un mapa de Google, una fuente externa, un reproductor de vídeo: basta con autorizar lo que sea legítimo. Al cabo de unos días la lista se reduce y la política se puede aplicar sin romper nada.

Lo que no es

No es un cortafuegos. No bloquea direcciones IP, no filtra solicitudes entrantes y no sustituye a Wordfence ni a su equivalente en tu proveedor de alojamiento. Cubre lo que la mayoría de los sitios no tienen en absoluto: cabeceras correctas, un sistema de alertas y la certeza de que los archivos son los que deberían ser.

Gratis

Cabeceras puestas a mano, vigilancia y alerta de vulnerabilidades, archivos del núcleo y de las extensiones comparados cada día con los originales, PHP escondido en los medios detectado, acceso protegido con desbloqueo por correo, ajustes de seguridad: PHP bloqueado en la carpeta de subidas, editor de archivos y XML-RPC desactivados, versión oculta, contraseñas seguras

Pro

Escaneo automático, modo detección CSP, huella de archivos y vuelta atrás, original restaurado o archivo sospechoso apartado en un clic, acceso en dos pasos

En el blog

Nuestras guías: seguridad WordPress

Guías · 6 min de lectura

Sitio WordPress pirateado: los pasos para limpiarlo y evitar una reinfección

Su sitio de WordPress ha sido pirateado: esta guía le indica el orden de las operaciones para limpiarlo sin dejar puertas traseras y, a continuación, evitar que se reinfecte. También detalla lo que nexya hace para asegurar el sitio después y lo que no hace, ya que no elimina el software malicioso.

  • nexya no limpia el software malicioso: la limpieza se realiza manualmente, con su proveedor de alojamiento, una herramienta especializada o un profesional.
  • Cierre el sitio y exporte la base de datos antes de tocar los archivos; el módulo de Mantenimiento hace ambas cosas.
  • Reemplace el núcleo, los plugins y los temas por copias oficiales en lugar de buscar los archivos infectados uno por uno.

Leer el artículo

Guías · 6 min de lectura

Extensión de WordPress marcada como vulnerable a pesar de estar actualizada: cómo decidir

Una extensión de WordPress marcada como vulnerable a pesar de estar actualizada no es necesariamente un falso positivo, ni tampoco una vulnerabilidad real. Esta guía muestra cómo decidir en pocos minutos y qué hacer en cada caso con el módulo de Seguridad de nexya.

  • Un control de vulnerabilidades compara el nombre y la versión instalada con una lista de vulnerabilidades conocidas; un error en la lista es suficiente para generar un falso positivo.
  • Una versión actualizada también puede ser realmente vulnerable cuando todavía no existe ningún parche.
  • La ficha de la vulnerabilidad es la que decide: versiones afectadas, versión corregida, fecha de publicación.

Leer el artículo

Guías · 5 min de lectura

Actualizar los plugins de WordPress: menos extensiones, menos riesgos

Actualizar los plugins de WordPress requiere tiempo porque cada extensión tiene su propio autor, su propio ritmo y sus propios riesgos. Este artículo muestra cómo reducir el número de extensiones que debes supervisar y cómo preparar, controlar y monitorizar cada actualización con nexya.

  • El coste de una extensión se paga en cada actualización: versiones a seguir, posibles conflictos, fallos.
  • nexya agrupa las tareas habituales en un solo plugin, y un módulo desactivado no ejecuta ningún gancho.
  • Antes de una actualización: limpiar la base de datos, exportarla, mostrar la página de mantenimiento.

Leer el artículo

Empezar

nexya security en tres pasos

  1. Enciende nexya security En el hub de nexya.
  2. Pon las cabeceras Las cabeceras de seguridad se ajustan sin romper el sitio, y se ve lo que sale de verdad.
  3. Activa la vigilancia Los plugins activos se comparan con una base de datos pública de vulnerabilidades y se te avisa.

nexya security está en el plugin gratuito, en tantos sitios como quieras.

Obtener la versión gratuita Ver precios

Preguntas frecuentes

Todo sobre nexya security

En nexya security, cada cabecera se ajusta desde la pantalla, con una explicación clara de lo que hace. En Apache, también se escriben en el .htaccess del sitio para que una página servida desde una caché las incluya; en nginx, la pantalla muestra las que hay que configurar en la configuración del servidor.

Con Pro, el modo detección escucha lo que el navegador bloquearía y convierte cada bloqueo en una fuente que autorizar con un clic, antes de aplicar la política de verdad.

El módulo compara los plugins activos con una base de datos pública de vulnerabilidades y te avisa. Con la versión Pro, la verificación se ejecuta sola todos los días.

No: nexya security no filtra el tráfico. Configura las cabeceras, supervisa las vulnerabilidades conocidas y compara diariamente los archivos del núcleo y de los plugins con los originales. Es un complemento para un cortafuegos, no un sustituto.

Todos los días, los archivos del núcleo y de los plugins procedentes de wordpress.org se comparan con los originales de su versión, y un correo electrónico avisa cuando aparece algo nuevo. Un archivo que conozcas se puede autorizar: deja de ser marcado, a menos que vuelva a cambiar. Con la versión Pro, el archivo original se restaura o un archivo sospechoso se aísla con un solo clic.

HSTS, X-Frame-Options, Referrer-Policy y Permissions-Policy, cada una por separado con su explicación, y la Content Security Policy con Pro.

Los intentos fallidos bloquean cada vez más tiempo, y el verdadero dueño desbloquea su cuenta con un enlace por correo. Con Pro se añade un código en dos pasos.

El archivo se comparó con el original de su versión: si usted no lo modificó, es una señal seria. Con Pro, el original vuelve o el archivo sospechoso se aparta con un clic, guardando siempre una copia.

La pestaña Ajustes de seguridad de nexya Security cierra las puertas más probadas, un interruptor cada una: PHP bloqueado en la carpeta de subidas, editor de archivos y XML-RPC desactivados, versión de WordPress oculta, el mismo mensaje en cada acceso fallido, «admin» rechazado como usuario y contraseñas seguras exigidas. Nada se activa sin ti, y cada ajuste dice lo que cambia.

La suite

Los demás módulos

nexya Checkout

Pro

Un pedido de WooCommerce por pasos, en una página propia, con el carrito a un lado y sugerencias en el momento justo.

nexya Invoice

Pro

Las facturas PDF de WooCommerce con tus colores, adjuntas a los correos, con la QR-factura suiza al pie de la página.

nexya forms

Pro

Formularios compuestos campo por campo, con condiciones y en varios pasos; con pago en línea si es necesario, y cada respuesta guardada en el sitio.

nexya translate

El sitio en varios idiomas, tienda WooCommerce incluida: cada contenido con sus versiones, una dirección por idioma, y los textos del sitio traducidos en un solo lugar.

nexya popup

Popups compuestas sección por sección, que se abren en el momento adecuado, y que, con la versión Pro, pueden cerrar la tienda y los formularios mientras están activas.

nexya custom fields

Campos propios, guardados en sus propias tablas, y leídos en una sola consulta por página.

nexya aris

Las cifras de audiencia, medidas por el propio sitio — sin Google, sin Matomo, sin direcciones IP guardadas.

nexya mailya

Pro

Los boletines se redactan en el sitio de WordPress, con tus artículos dentro —se envían en segundo plano, al ritmo que admita tu servidor.

nexya media

La regeneración de miniaturas en segundo plano, por lotes, que continúa cuando cierras la pestaña, y te avisa cuando termina. Con la versión Pro, carpetas para organizar la biblioteca de medios.

nexya hub

El panel que reúne todas las extensiones de nexya. Un módulo que se enciende, un módulo que se apaga y nada se ejecuta en el sitio de WordPress mientras está apagado

nexya dashboard

La administración de WordPress tal como la ve el cliente: menús reducidos a lo esencial, la barra de administración ordenada y, con Pro, los colores del panel de control hasta la página de inicio de sesión

nexya shortcuts

Duplicar, reordenar, añadir: tres acciones sobre las listas de contenido de WordPress para dejar de hacerlo todo a mano

nexya roles

Los permisos de WordPress organizados bajo el tipo de contenido al que pertenecen, por fin legibles. Y el menú reducido a lo que la persona que está enfrente realmente tiene que hacer en él

nexya activities

Quién modificó qué en el sitio WordPress, y cuándo. Incluso en los campos ACF, con el valor anterior y el posterior — y, con la versión Pro, el botón para deshacer los cambios

nexya cookie

El consentimiento de cookies y el bloqueo que conlleva. Nada se ejecuta antes de que el visitante dé su consentimiento: ni los scripts, ni los vídeos incrustados, ni las fuentes remotas.

nexya seo

Lo que el sitio de WordPress cuenta de sí mismo a los motores de búsqueda, y lo que muestra cuando pegas su dirección en alguna parte. Escrito una vez, aplicado en todas partes, verificable antes de publicar

nexya mail

Los correos electrónicos del sitio WordPress se envían realmente, y sabemos cuáles no se han enviado, con la razón exacta proporcionada por el servidor SMTP

nexya redirects

Los errores 404 detectados a lo largo de las visitas, con el número de accesos para saber cuáles cuentan, y la redirección 301 que los soluciona. Con la versión Pro, el destino se propone incluso antes de que lo busques.

nexya maintenance

Las operaciones que se hacen en el sitio web de WordPress, no dentro del sitio: cerrarlo temporalmente para una intervención, aligerar su base de datos, tomar una copia

nexya rendimiento

Lo que cada página le cuesta al sitio y los ajustes que la aligeran: un monitor de consultas en cada página, opciones cargadas en cada visita, Heartbeat, revisiones

nexya cache

Pro

Cada página guardada en archivo y servida al siguiente visitante antes de que WordPress se cargue —y luego descartada en cuanto algo la modifica.