Un firewall para WordPress decide qué tráfico llega al servidor del despacho y cuál se bloquea antes de tocar el sitio. WordPress mueve una parte enorme de las webs profesionales en España, y esa cuota lo convierte en objetivo por defecto de bots que prueban usuario y contraseña contra cualquier wp-login.php que encuentren, sin distinguir sectores. La duda de quien gestiona la web no es si instalar un cortafuegos, sino cuál, porque las opciones van de gratis a varios cientos de euros al año y no cubren lo mismo.
Un firewall para WordPress puede ser gratuito, como la capa de Cloudflare que filtra el tráfico antes de que llegue al servidor, o costar entre 120 y más de 500 euros al año si además incluye limpieza de malware y monitorización, como los planes de Sucuri. Para la mayoría de despachos, combinar una capa gratuita con un plugin dentro del propio WordPress cubre el riesgo real sin gasto añadido.
Qué es un firewall para WordPress y qué filtra
Un WAF, sigla de Web Application Firewall, es la herramienta que INCIBE define como la que filtra, monitoriza y bloquea las conexiones que entran y salen de una aplicación web. No protege el ordenador del despacho ni el correo: protege la web, el punto por el que entran quienes envían formularios, inician sesión en el panel o suben un archivo adjunto.
Su trabajo es reconocer patrones propios de las diez amenazas más comunes según OWASP: inyección SQL, cross-site scripting, archivos maliciosos disfrazados de imagen o acceso no autorizado al panel. Al detectar uno de esos patrones en una petición, la corta antes de que llegue al código de WordPress; el tráfico de un cliente potencial rellenando el formulario sigue su curso sin notarlo.
Por qué un despacho es objetivo de bots
Ningún bot revisa antes si la web pertenece a un despacho, una tienda de mascotas o una gestoría: escanea direcciones IP en bloque buscando instalaciones de WordPress y prueba lo mismo contra todas. Wordfence, uno de los cortafuegos más usados, bloquea de media más de 65 millones de intentos de acceso automatizado al día solo en su propia red de clientes, y el volumen ha crecido con bots que generan y prueban credenciales con inteligencia artificial.
Lo que cambia con el sector es lo que hay detrás si el ataque tiene éxito: la web de un despacho procesa datos identificativos y, en el formulario de contacto, a menudo un resumen del caso. El informe Data Breach Investigations Report de Verizon sitúa la explotación de vulnerabilidades de software como vía de entrada en el 31% de las brechas de 2026, por delante ya de las credenciales robadas. Un firewall bien configurado corta buena parte de esas vías antes de que lleguen al gestor de contenidos.
Tipos de cortafuegos para tu WordPress
No todos los cortafuegos trabajan en el mismo punto: unos se colocan delante del servidor y otros viven dentro del propio WordPress, y eso determina qué ven y qué pueden bloquear.
Firewall de red o proxy, delante del servidor
Cloudflare es el ejemplo más habitual: la web pasa a resolver a través de su red, así que cada petición atraviesa sus servidores antes de llegar al hosting del despacho. Desde ahí filtra tráfico masivo, mitiga picos que buscan tumbar el servidor y oculta la IP real, lo que dificulta atacar directamente al servidor esquivando el filtro. Su capa gratuita cubre esto sin coste, aunque con reglas más genéricas que las de pago. Lo que no puede hacer desde fuera es distinguir un login legítimo de uno automatizado si ambos usan credenciales con formato correcto.
Firewall como plugin dentro de WordPress
Wordfence trabaja al otro lado: se instala como plugin y examina cada petición ya dentro de WordPress, con datos que un proxy externo no tiene, como qué usuario intenta entrar o cuántos intentos fallidos lleva esa IP en el panel. En su versión gratuita, las reglas de firewall y las firmas de malware llegan con retraso frente a los usuarios de pago, que las reciben en cuanto se detecta la amenaza. La contrapartida es que, al ejecutarse en PHP como el resto del sitio, consume algo de los recursos del hosting en cada petición.
Cuánto cuesta un firewall para WordPress
El coste depende de si el servicio solo filtra tráfico o si suma limpieza de malware y respuesta ante incidentes. La tabla recoge cuatro opciones, de la gratuita a la más completa, según los planes de Sucuri:
| Solución | Tipo | Coste orientativo | Qué incluye | Cuándo conviene |
|---|---|---|---|---|
| Cloudflare (capa gratuita) | Proxy de red | 0 € | Filtra tráfico malicioso genérico y mitiga picos de tráfico | Primera barrera para cualquier despacho, sin coste |
| Wordfence | Plugin en WordPress | Gratis, con reglas retrasadas, o de pago con reglas en tiempo real | Firewall de aplicación y escaneo de malware desde el propio panel | Quien quiere control sin salir de WordPress |
| Sucuri Firewall | Proxy en la nube más CDN | Desde 9,99 $/mes | WAF, CDN y mitigación de ataques de denegación de servicio | Despachos que prefieren no tocar la configuración del hosting |
| Sucuri Website Security Platform | Firewall más respuesta a incidentes | Desde 229 $/año | Firewall, limpieza de malware ilimitada y monitorización continua | Quien ya sufrió un ataque o no tiene quien revise la web |
La cuenta real rara vez es una sola fila: lo habitual en un despacho pequeño es sumar la capa gratuita de Cloudflare y Wordfence, y subir de plan solo cuando ya hubo un incidente o falta tiempo interno para revisar avisos.
Lo que un WAF no cubre aunque esté activo
Un firewall para WordPress filtra peticiones según patrones conocidos, no corrige el código de la web: si un plugin instalado tiene una vulnerabilidad, el WAF puede bloquear el ataque que ya conoce, pero el fallo sigue ahí hasta que se actualiza el plugin.
Tener un cortafuegos activo genera la falsa sensación de que ya no hace falta actualizar. Es al revés: reduce la ventana de riesgo mientras se aplica el parche, no lo sustituye. Tampoco filtra lo que ocurre tras un login legítimo con contraseña robada, ni evita que un empleado abra un adjunto malicioso desde su correo.
Parcheo virtual mientras actualizas plugins vulnerables
Cuando un plugin publica un aviso de seguridad, pasan días o semanas hasta que todos los despachos que lo usan actualizan, y ese margen es el que aprovechan los atacantes automatizados para explotarlo en masa. Un WAF con reglas al día puede añadir en horas una regla que bloquee el patrón de ese ataque, técnica llamada parcheo virtual: cubre el hueco mientras el sitio se pone al día, no lo cierra. Es distinto de mantener actualizada la versión de PHP del servidor, que corrige el motor sobre el que corre WordPress y no depende de ningún firewall.
Cómo elegir el plan según tu despacho
No hace falta el plan más caro por defecto, pero tampoco conformarse con la capa gratuita si ya hay señales de riesgo. Antes de decidir, conviene repasar unos pocos factores:
- Si la web ya sufrió un ataque o inyección de enlaces, un plan con limpieza de malware incluida compensa desde el primer incidente.
- Cuantos más formularios y usuarios tenga el WordPress, más superficie hay que vigilar y más sentido tiene un firewall de aplicación, no solo de red.
- Si nadie revisa avisos de seguridad con regularidad, un plan gestionado con soporte responde mejor que uno que solo notifica.
- El presupuesto para mantenimiento marca el límite: no compensa pagar respuesta a incidentes si luego falta margen para renovarlo.
Lo más frecuente en despachos pequeños es empezar por la capa gratuita de Cloudflare y Wordfence, y subir de plan solo cuando el uso lo justifique.
Fallos habituales al activar un cortafuegos
El error más común es activar el firewall con la configuración más agresiva y no revisar qué bloquea después. Reglas mal ajustadas pueden rechazar un formulario legítimo o el acceso de un plugin a la API REST, y eso pasa desapercibido hasta que un cliente se queja de que su mensaje nunca llegó.
El segundo fallo es tratar el firewall como única capa de seguridad. Complementa, no sustituye, al doble factor de autenticación en el acceso al panel, ni al protocolo si algo falla igualmente: la normativa da 72 horas para notificar una brecha de seguridad desde que se detecta, tenga o no firewall instalado.
Preguntas frecuentes sobre firewall para WordPress
¿Necesito un firewall si mi hosting ya incluye seguridad?
Depende de qué cubra: muchos hostings filtran solo a nivel de servidor, no de aplicación, y no distinguen un login malicioso de uno legítimo dentro de WordPress. Conviene pedir por escrito qué bloquea antes de darlo por cubierto.
¿Un firewall gratuito es suficiente para un despacho pequeño?
Para un despacho sin incidentes previos y con mantenimiento al día, Cloudflare y Wordfence gratuitos cubren la mayoría de ataques automatizados. El salto a un plan de pago compensa cuando ya hubo un ataque o nadie revisa avisos con regularidad.
¿Un firewall como Wordfence ralentiza la web?
Añade una comprobación más en cada petición, y un servidor justo de recursos puede notarlo. En hostings holgados el impacto es mínimo frente al riesgo de no tenerlo, pero conviene medir los tiempos de carga antes y después de activarlo.
¿Qué pasa si el firewall bloquea a un cliente real por error?
Ocurre con reglas agresivas o con IPs compartidas ya marcadas como sospechosas por otro sitio. Los planes de pago suelen incluir un panel para revisar bloqueos; en la capa gratuita hay que revisarlo a mano si llegan quejas de formularios que no se envían.
Fuente: INCIBE