¿Es seguro el sitio web de tu organización sin ánimo de lucro?

La mayoría de los equipos de organizaciones sin ánimo de lucro con los que hablo saben que la seguridad es importante, pero los consejos en línea están llenos de palabras como “cortafuegos”, “malware” y “endurecimiento”, y es difícil saber por dónde empezar.

Cofundé una organización sin ánimo de lucro y he pasado más de 15 años creando y gestionando sitios web. He visto sitios caer por culpa de un hacker, por culpa de un voluntario que hizo clic en el botón equivocado y porque un servidor web simplemente se estropeó. Todos estos problemas se pueden solucionar, y todos son mucho más fáciles de prevenir que de solucionar.

Esta guía te guía paso a paso para asegurar tu sitio de WordPress. No necesitas ser técnico. Cada vez que aparezca un término técnico, encontrarás un pequeño recuadro que lo explica en lenguaje sencillo.

Al final, tendrás un plugin de seguridad escaneando tu sitio, inicios de sesión más seguros, un plan de actualizaciones, protección contra errores y copias de seguridad en las que puedes confiar.

Qué Contiene Esta Guía

Por qué los sitios web sin fines de lucro necesitan protección

Muchas organizaciones sin ánimo de lucro pequeñas creen que los hackers no se molestarán con ellas. Lamentablemente, la mayoría de los ataques no funcionan así.

La mayoría de los ataques son automatizados, por lo que un programa escanea miles de sitios web en busca de cualquier punto débil que pueda utilizar. No le importa si eres una organización benéfica mundial o un refugio local de animales.

Tu sitio web también contiene cosas que la gente quiere. Tiene nombres y direcciones de correo electrónico de donantes, un formulario de donación que acepta tarjetas y una buena reputación que los spammers querrían tomar prestada.

Cuando planifico la seguridad de un sitio, agrupo los riesgos en 3 categorías. Cada una necesita una solución ligeramente diferente, por lo que ayuda conocerlas por separado.

Hackers y bots

Este es el riesgo en el que todos piensan primero. Los bots prueban miles de contraseñas en tu página de inicio de sesión. Otros buscan plugins con agujeros de seguridad conocidos para poder colarse y plantar código dañino.

Las cifras están creciendo rápidamente. El informe "State of WordPress Security in 2026" de Patchstack encontró 11.334 nuevos agujeros de seguridad en plugins y temas de WordPress en 2025. De ellos, el 91% estaban en plugins, y WordPress en sí solo tenía 6.

Eso te dice dónde centrarte. WordPress está bien cuidado, y los complementos que instalas son donde comienza la mayoría de los problemas.

Errores humanos

No todos los problemas empiezan con un hacker. A veces, un miembro del personal elimina la página equivocada. Un voluntario podría reutilizar una contraseña débil, o alguien podría responder a un correo electrónico falso que solicita sus credenciales de acceso.

Esto sucede mucho más de lo que la gente espera. El Informe de Investigaciones sobre Brechas de Datos de 2025 de Verizon encontró que alrededor del 60% de las brechas involucraban a una persona, a través de un error, un engaño o un mal uso del acceso.

Problemas del servidor

Su sitio web reside en un ordenador propiedad de su proveedor de alojamiento web. Como cualquier ordenador, puede fallar. Un disco duro puede estropearse, una actualización por parte del proveedor puede salir mal o todo el centro de datos puede quedarse sin energía.

No puede evitar que un servidor falle. Puede asegurarse de que un fallo solo le cueste una hora en lugar de todo su sitio web, y para eso sirve el paso de copia de seguridad de esta guía.

Cómo asegurar su sitio sin fines de lucro

Paso 1: Instalar Sucuri Security (Nuestra mejor opción)

Si solo hace una cosa de esta guía, instale Sucuri Security. Es mi primera recomendación para organizaciones sin fines de lucro porque el plugin gratuito cubre mucho y hay un camino claro hacia una mayor protección cuando esté listo.

¿Por qué Sucuri?

Sucuri es una empresa de seguridad de sitios web, y su plugin tiene más de 600.000 instalaciones activas en WordPress.org. La versión gratuita le ofrece varias capas de protección desde un único panel.

Esto es lo que obtiene sin pagar nada.

• Auditoría de actividad. Mantiene un registro de quién inició sesión y qué se cambió en su sitio.
• Comprobaciones de integridad de archivos. Compara sus archivos de WordPress con las copias oficiales y le dice si algo ha cambiado.
• Análisis remoto de malware. Sucuri escanea su sitio desde el exterior, buscando código malicioso y enlaces de spam.
• Supervisión de listas negras. Comprueba si Google u otros servicios han marcado su sitio como no seguro.
• Fortalecimiento de la seguridad. Le ofrece correcciones de 1 clic para puntos débiles comunes.
• Acciones posteriores al hackeo. Le proporciona herramientas para recuperarse rápidamente si algo sale mal.

Cómo instalar el plugin gratuito Sucuri Security

Instalar Sucuri funciona como cualquier otro plugin. Para empezar, diríjase a Plugins » Añadir Plugin en su panel de WordPress y escriba “Sucuri” en el cuadro de búsqueda.

Busque Sucuri Security – Auditing, Malware Scanner and Security Hardening, luego haga clic en Instalar ahora y Activar. Esto lleva menos de un minuto.

Si utiliza un asistente de IA como Claude o ChatGPT, puede hacer esta parte por usted. WPVibe es un plugin gratuito que conecta su asistente de IA a su sitio de WordPress, y su plan gratuito cubre la instalación de plugins.

Una vez que su sitio esté conectado, pida a su asistente que “instale y active Sucuri Security”. WPVibe le muestra primero los detalles del plugin y solo lo instala después de que usted lo confirme.

Ahora verás un nuevo menú Sucuri Security en el lado izquierdo de tu panel. La primera vez que lo abras, Sucuri puede mostrar un cuadro pidiendo una clave API de Firewall. Puedes hacer clic en Quizás más tarde por ahora, ya que solo necesitas esa clave si compras el firewall.

Compruebe su escaneo de malware y la integridad de los archivos

Para ver tus primeros resultados, ve a Sucuri Security » Escaneo de Vulnerabilidades. La parte superior de la página muestra la comprobación de Integridad de WordPress.

Si Sucuri encuentra un archivo de WordPress que no coincide con la versión oficial, lo lista aquí. No te asustes si ves una advertencia. Algunos hosts añaden sus propios archivos, y esos también aparecen.

Mira cada nombre de archivo. Si no reconoces uno, pregunta a tu proveedor de alojamiento web antes de eliminar nada. Si el archivo es esperado, puedes marcarlo como corregido para que deje de aparecer.

Desplázate hacia abajo para ver los resultados del escaneo de malware. Quieres ver marcas verdes junto a elementos como “No hay JavaScript malicioso” y “No hay spam de SEO blackhat”, además de una lista de servicios de bloqueo que dicen que tu sitio está limpio.

Junto a los resultados, Sucuri muestra sus propias recomendaciones de seguridad para tu sitio. Mantén esa lista abierta, porque se alinea con los siguientes pasos.

Aplica las Opciones de Fortalecimiento de Sucuri

Para empezar, dirígete a Sucuri Security » Fortalecimiento y Prevención y verás una lista de correcciones, cada una con un botón de Aplicar Fortalecimiento.

Sugiero empezar con estas opciones, porque son seguras para casi todos los sitios.

• Bloquear Archivos PHP en el Directorio de Cargas. Esto evita que cualquiera ejecute código desde tu carpeta de imágenes, lo cual es un truco común después de una intrusión.
• Eliminar Versión de WordPress. Esto oculta el número de tu versión de WordPress, para que los bots no puedan buscar fácilmente qué agujeros intentar.
• Desactivar Editor de Plugins y Temas. Esto elimina el editor de código incorporado, lo que te protege de hackers y de ediciones accidentales. Cubro esto de nuevo en el Paso 4.
• Verificar Cuenta de Administrador Predeterminada. Esto comprueba si tu cuenta principal todavía usa el nombre “admin”, que es el primer nombre que adivinan los bots.

Aplica 1 opción a la vez y comprueba tu sitio web en otra pestaña del navegador después de cada una. Si algo parece roto, puedes volver y hacer clic en Revertir Fortalecimiento.

Active los registros de auditoría y las alertas por correo electrónico

Sucuri comienza a registrar la actividad tan pronto como lo activas. Para ver el registro, ve a Sucuri Security » Informes de Eventos.

No querrás revisar esto todos los días, así que deja que Sucuri te envíe correos electrónicos en su lugar. Ve a Sucuri Security » Settings y haz clic en la pestaña Alerts.

Primero, agrega la dirección de correo electrónico que debe recibir las alertas en Alerts Recipient. Luego, desplázate hacia abajo hasta Security Alerts y marca los eventos que te importan.

Sucuri envía estas alertas a través del correo electrónico de tu WordPress. Si no llegan, WP Mail SMTP puede solucionarlo, y te explico cómo en la sección WP Mail SMTP a continuación.

Para un equipo pequeño, activaría estas alertas y dejaría las demás desactivadas, para que tu bandeja de entrada no se llene. Cada una comienza con "Receive email alerts" en la pantalla.

• Cambios en la configuración del plugin
• Comprobaciones de integridad del núcleo
• Registro de nuevos usuarios
• Cuando se instala un plugin
• Cuando se activa un plugin
• Cuando se modifica un archivo con el editor de temas/plugins

Cuando hayas terminado, haz clic en Submit para guardar. A partir de ahora, Sucuri te enviará un correo electrónico cada vez que ocurra una de estas cosas en tu sitio.

Añade el Firewall de Sucuri Cuando Estés Listo

El plugin gratuito vigila tu sitio y te advierte de problemas. El Firewall de Sucuri de pago va un paso más allá y bloquea el tráfico malicioso antes de que llegue a tu sitio.

El firewall de Sucuri se ejecuta en los servidores de Sucuri, no en los tuyos. Eso significa que los ataques bloqueados nunca consumen tus recursos de alojamiento. También incluye una CDN y protección contra ataques DDoS, lo que mantiene tu sitio en línea cuando llega una avalancha de tráfico falso.

Cuando comprobé en septiembre de 2026, los planes de firewall de Sucuri comenzaban en 9,99 $ al mes. Su plataforma de seguridad completa, que añade eliminación ilimitada de malware si tu sitio es pirateado alguna vez, comenzaba en 229 $ al año.

Una vez que te registres, obtendrás una clave API. Para conectarla, ve a Sucuri Security » Firewall Management, pega la clave en el campo Firewall API Key y haz clic en Save.

Empieza gratis, actualiza cuando tenga sentido. Si tu sitio recibe muchas donaciones o ha sido atacado antes, el firewall es dinero bien gastado. Si recién estás empezando, el plugin gratuito más los pasos a continuación ya te pondrán por delante de la mayoría de los sitios.

Así está configurado Sucuri. A continuación, te mostraré cómo hacer que tus inicios de sesión sean mucho más difíciles de vulnerar.

Paso 2: Bloquear todos los inicios de sesión

Si alguien obtiene tu contraseña, puede iniciar sesión como tú, y la mayor parte de tu protección no les detendrá.

Use contraseñas seguras y únicas

Una contraseña segura es larga y aleatoria. Una buena tiene al menos 16 caracteres y no se usa en ningún otro lugar.

Nadie puede recordar docenas de contraseñas así, y tú tampoco necesitas hacerlo. Un gestor de contraseñas las crea y las almacena por ti, así que solo necesitas recordar 1 contraseña principal.

Reutilizar contraseñas es el verdadero peligro. Si la contraseña de tu correo electrónico se filtra de otro sitio web y también la usas para WordPress, los bots la probarán en tu sitio en pocos días.

Active la autenticación de dos factores

La autenticación de dos factores añade un segundo candado a tu inicio de sesión. Incluso si alguien roba tu contraseña, no podrá entrar sin tu teléfono.

Sucuri incluye 2FA, así que no necesitas otro plugin. Para configurarlo, ve a Sucuri Security » Two-Factor Authentication.

Sucuri te guía a través de 4 pasos cortos.

1. Primero, abre una aplicación de autenticación en tu teléfono, como Google Authenticator o Microsoft Authenticator.
2. Escanea el código QR en la pantalla con la aplicación.
3. Escribe el código de 6 dígitos de la aplicación en el cuadro.
4. Finalmente, haz clic en Setup para activarlo.

Más abajo en la página, puedes activar 2FA para todos los usuarios a la vez. Antes de hacerlo, informa a tu equipo, porque se le pedirá a cada persona que lo configure la próxima vez que inicien sesión.

Deja de usar "admin" como nombre de usuario

Los sitios de WordPress más antiguos a menudo tienen un usuario llamado "admin". Los bots lo saben, por lo que es el primer nombre de usuario que intentan.

WordPress no te permite renombrar un usuario. En su lugar, crea un nuevo administrador con un nombre de usuario diferente, inicia sesión como ese nuevo usuario y elimina la cuenta antigua de "admin". Cuando WordPress te pregunte qué hacer con el contenido de ese usuario, elige dárselo a tu nueva cuenta para que no se pierda nada.

Limite los intentos de inicio de sesión fallidos

Una persona real rara vez se equivoca de contraseña 10 veces seguidas. Un bot lo hace todo el día. Limitar los intentos fallidos bloquea a los bots después de unos pocos intentos erróneos.

El Firewall de Sucuri incluye protección contra fuerza bruta. Si usas el plugin gratuito, aún puedes activar una alerta para adivinar contraseñas en Sucuri Security » Settings » Alerts, y cubro plugins gratuitos que bloquean estos intentos en la sección de otros plugins.

Paso 3: Mantenga WordPress, plugins y temas actualizados

Las actualizaciones son la parte menos emocionante de la seguridad de un sitio web. También son una de las más importantes.

Por qué las actualizaciones son tan importantes

Cuando un desarrollador encuentra una brecha de seguridad en su plugin, lanza una actualización para arreglarla. El problema es que la solución también le dice a los atacantes exactamente dónde estaba la brecha.

Los atacantes se mueven rápido. El informe de 2026 de Patchstack analizó las brechas que los atacantes usaron más, y el tiempo medio antes del primer ataque fue de solo 5 horas. Aproximadamente la mitad de las brechas de alto impacto fueron atacadas en 24 horas.

Así que cuando hay una actualización pendiente, cada día que lo dejas le da a los bots un día más para encontrarte.

Establezca una rutina de actualización sencilla

No necesitas estar pendiente de las actualizaciones todo el día. Un simple hábito semanal es suficiente para la mayoría de las organizaciones sin ánimo de lucro.

1. Elige 1 día a la semana, como el lunes por la mañana.
2. Haz una copia de seguridad primero. Te explico cómo en el Paso 5.
3. A continuación, ve a Panel de control » Actualizaciones y actualiza WordPress, luego los plugins y luego los temas.
4. Una vez hecho esto, abre tu página de inicio y tu página de donaciones para asegurarte de que siguen viéndose bien.

Para los plugins en los que confías, también puedes activar las actualizaciones automáticas. En la pantalla Plugins » Plugins instalados, haz clic en Activar actualizaciones automáticas junto a cada uno.

Sucuri también ayuda aquí. Su página Acciones posteriores al hackeo incluye una lista de cada plugin y tema con una actualización pendiente, para que puedas verlo todo en un solo lugar.

Elimina plugins y temas que no uses

Un plugin desactivado todavía está en tu servidor. Si tiene un agujero de seguridad, aún puede ser atacado en algunos casos.

Revisa tus plugins cada pocos meses. Si no has usado uno en mucho tiempo, elimínalo. Conserva 1 tema predeterminado de repuesto, como la última versión del tema "Twenty", y elimina los otros temas que no estés usando.

Menos plugins significa menos cosas que actualizar y menos vías de entrada. Si no estás seguro de qué plugins necesita realmente un sitio sin ánimo de lucro, mi lista de los mejores plugins de WordPress para organizaciones sin ánimo de lucro es un buen punto de partida.

Instale plugins solo de fuentes confiables

Algunos sitios web ofrecen plugins de pago de forma gratuita. Estos se llaman plugins nulled, y nunca instalaría uno en un sitio sin ánimo de lucro.

Son gratuitos por una razón. Los plugins nulled a menudo vienen con código oculto que permite a un atacante acceder a tu sitio. Tampoco reciben actualizaciones de seguridad, porque no están vinculados a una licencia real.

Para mantenerte seguro, obtén tus plugins de WordPress.org o directamente de la empresa que los fabrica. Muchos plugins gratuitos en WordPress.org también tienen una versión de pago en la que puedes confiar, como Charitable.

Antes de instalar un plugin, consulta su página de WordPress.org para ver estos detalles.

• El número de instalaciones activas muestra cuántos sitios ya lo utilizan.
• La calificación por estrellas y las reseñas te dicen cómo funciona para otras personas.
• La fecha de Última actualización muestra si el equipo todavía lo mantiene.
• La nota de compatibilidad te dice si ha sido probado con tu versión de WordPress.

Opta por empresas de renombre que llevan tiempo en el mercado. Es mucho más probable que un equipo conocido solucione rápidamente un agujero de seguridad.

Pruebe las actualizaciones importantes en un sitio de staging

La mayoría de las actualizaciones son pequeñas y seguras. Una actualización grande, como una nueva versión principal de tu tema, a veces puede cambiar la forma en que tu sitio se ve o funciona.

Muchos hosts web incluyen staging con 1 clic en su panel de control. Pregunta a tu host si el tuyo lo hace. Si estás eligiendo un host ahora, es una de las cosas que busco, y cubro los hosts con más detalle en el Paso 5.

Paso 4: Proteja su sitio de errores humanos

Las organizaciones sin fines de lucro a menudo tienen muchas personas interactuando con el sitio web. El personal va y viene, los voluntarios ayudan por una temporada y los miembros de la junta a veces también necesitan acceso. Cada inicio de sesión adicional es una oportunidad más para un error.

La mayoría de los errores humanos son fáciles de limitar con algunas configuraciones.

Dele a las personas solo el acceso que necesitan

WordPress tiene diferentes roles de usuario, y cada rol puede hacer cosas diferentes. Solo 1 o 2 personas de confianza deberían ser administradores.

Aquí tienes una forma sencilla de decidir quién obtiene qué.

• Administrador. Otorga esto a la persona que gestiona el sitio web y quizás a 1 persona de respaldo.
• Editor. Otorga esto al miembro del personal que se encarga de tu blog y páginas.
• Autor o Colaborador. Otorga esto a los voluntarios que escriben entradas ocasionales.
• Director de Campaña. Si usas Charitable, este rol permite a alguien gestionar campañas y donaciones sin poder cambiar la configuración de Charitable. La guía de roles y permisos de usuario de Charitable explica exactamente lo que puede hacer.

Para cambiar el rol de alguien, ve a Usuarios » Todos los Usuarios, haz clic en el nombre de la persona y elige un nuevo rol en el menú desplegable Rol.

Elimine el acceso cuando las personas se vayan

Cuando un miembro del personal o voluntario se va, su inicio de sesión a menudo se queda. Meses después, nadie recuerda que existe, y todavía usa la misma contraseña antigua.

Añade el acceso al sitio web a tu lista de verificación de baja. El día que alguien se va, elimina su cuenta o reduce su rol a Suscriptor, y asigna sus entradas a otro usuario.

Sucuri puede ayudarte a detectar cuentas antiguas. Su página Últimos Inicios de Sesión muestra quién ha iniciado sesión recientemente, por lo que cualquiera que no haya iniciado sesión en mucho tiempo destaca.

Desactive el editor de archivos integrado

WordPress incluye un editor que permite a los administradores cambiar el código de plugins y temas desde el panel de control. Un error tipográfico allí puede hacer caer todo tu sitio, y no hay botón de deshacer.

También es una de las primeras cosas que utiliza un hacker una vez que entra. Desactivarlo te protege de ambos problemas.

Ya viste la solución en el Paso 1. Ve a Sucuri Security » Hardening & Prevention y haz clic en Apply Hardening en Disable Plugin and Theme Editor.

Si alguna vez necesitas añadir código personalizado, como un script de seguimiento o un fragmento de un tutorial, usa WPCode en lugar de editar los archivos de tu tema. Lo cubro en la sección WPCode a continuación.

Enseñe a su equipo a detectar phishing

Los correos electrónicos de phishing son una de las formas más comunes en que las personas pierden sus contraseñas. A menudo están disfrazados para parecer que provienen de tu proveedor de hosting, de WordPress o de tu propio director.

Comparte estas 3 señales de advertencia con todos los que inicien sesión en tu sitio.

• El correo electrónico dice que sucederá algo urgente a menos que inicies sesión ahora mismo.
• El enlace va a una dirección web que es ligeramente diferente de la real.
• El mensaje solicita tu contraseña, algo que ninguna empresa real haría por correo electrónico.

El hábito más seguro es nunca iniciar sesión desde un enlace en un correo electrónico. Escribe tú mismo la dirección de tu sitio web en su lugar.

Paso 5: Prepárese para fallos del servidor con copias de seguridad

Tu proveedor de hosting se encarga del hardware, pero tú decides qué tan rápido puedes recuperarte cuando algo falla.

Elige un anfitrión que se tome en serio la seguridad

Un buen proveedor mantiene sus servidores actualizados, vigila los ataques y te ayuda cuando las cosas van mal.

Cuando compares proveedores, haz estas preguntas.

• ¿El plan incluye un certificado SSL gratuito?
• ¿El proveedor realiza sus propias copias de seguridad diarias y cuánto tiempo las conserva?
• ¿Hay un sitio de staging que puedas usar?
• ¿Puedes contactar con soporte rápidamente si tu sitio se cae?

He comparado las opciones lado a lado en mi guía sobre el mejor hosting web para organizaciones sin ánimo de lucro, incluyendo qué proveedores ofrecen descuentos para organizaciones sin ánimo de lucro.

Asegúrate de que tu sitio utilice HTTPS

Mira la dirección de tu sitio web en tu navegador. Si empieza por "https" y muestra un pequeño candado, estás listo. Si empieza por "http" sin la "s", soluciona esto primero.

Los donantes buscan el candado antes de escribir sus datos. La mayoría de los navegadores también advierten a los visitantes sobre las páginas que no lo tienen. La mayoría de los proveedores incluyen un certificado SSL gratuito, y su equipo de soporte puede activarlo por ti.

Vigila el tiempo de actividad de tu sitio

Si tu sitio se cae un sábado por la noche, querrás saberlo antes de que un donante te envíe un correo electrónico al respecto. Un monitor de tiempo de actividad comprueba tu sitio cada pocos minutos y te envía un correo electrónico si deja de cargarse.

Muchos proveedores incluyen alertas básicas de tiempo de actividad, y también existen servicios de monitorización gratuitos. Solo se tarda unos minutos en configurarlo.

Haz una copia de seguridad de todo y luego prueba la copia de seguridad

Las copias de seguridad son la única solución que funciona para los 3 riesgos de esta guía.

Si te hackean, restauras una copia limpia. Si un voluntario elimina tu página de donaciones, la restauras. Si el servidor falla, mueves tu copia de seguridad a un nuevo servidor.

Prueba tu copia de seguridad al menos una vez. Hasta que no la hayas restaurado, no sabrás con seguridad que funciona.

Mi herramienta preferida es Duplicator, que tiene más de 1 millón de instalaciones activas. La versión gratuita realiza copias de seguridad completas, te permite restaurar con 1 clic y puede bloquear cada copia de seguridad con una contraseña.

Escribí un tutorial completo paso a paso sobre esto, así que no lo repetiré todo aquí. Sigue mi guía sobre cómo hacer una copia de seguridad de tu sitio web sin fines de lucro para hacer tu primera copia de seguridad, programarlas y probar una restauración.

Guarda una copia fuera de tu servidor

Aquí hay un error que veo mucho. La copia de seguridad se almacena en el mismo servidor que el sitio web. Cuando ese servidor falla, el sitio web y la copia de seguridad desaparecen juntos.

Las copias de seguridad de tu proveedor de hosting son útiles, pero residen con tu proveedor. Guarda al menos 1 copia que tú controles. Mi guía para almacenar copias de seguridad de sitios web sin fines de lucro cubre los lugares más fáciles para ponerla.

Paso 6: Protege tus formularios de donaciones

Los formularios de donación aceptan pagos con tarjeta, por lo que atraen un tipo de bot que otras páginas no.

Por qué los formularios de donaciones son un objetivo

Los delincuentes que compran números de tarjeta robados necesitan saber qué tarjetas todavía funcionan. Los formularios de donación son un lugar fácil para probarlos, porque una donación de 1 $ no parece extraña.

Podrías notar un ataque de prueba de tarjetas de algunas maneras.

• Ves docenas de donaciones pequeñas o pagos fallidos en un corto período de tiempo.
• Los nombres y direcciones de correo electrónico de los donantes parecen aleatorios.
• Tu compañía de pagos te envía una advertencia o te cobra por contracargos.

Añade un CAPTCHA a tus formularios

Un CAPTCHA es una comprobación rápida que distingue entre humanos y bots. Los modernos son casi invisibles, por lo que los donantes reales apenas los notan.

Si usas Charitable para donaciones, un CAPTCHA ya está integrado en el plugin gratuito. Te mostraré dónde encontrarlo en la sección Charitable a continuación.

Utiliza una pasarela de pago de confianza

Tu pasarela de pago es la empresa que realmente procesa cada pago con tarjeta. Pasarelas conocidas como Stripe y PayPal ejecutan sus propias comprobaciones de fraude en cada pago, además de lo que haga tu sitio web.

Consulta también la configuración de fraude de tu propia pasarela. Las cuentas de Stripe incluyen Radar, que bloquea pagos sospechosos, y las cuentas de empresa de PayPal tienen herramientas gratuitas de Protección contra el Fraude en el área de Herramientas para Empresas. Para obtener ayuda para elegir una pasarela, consulta mi resumen de las mejores pasarelas de pago para organizaciones sin ánimo de lucro.

Sucuri es mi primera opción, pero también recomendaría encantado otros plugins.

Otros plugins de WordPress que ayudan a mantener tu sitio seguro

Cada sitio es diferente, y algunos equipos prefieren un plugin que ejecute su cortafuegos directamente en su propio servidor. Estas son las herramientas en las que confío y cuándo tiene sentido cada una.

Ejecuta solo 1 plugin de seguridad con cortafuegos. Ejecutar 2 cortafuegos a la vez puede ralentizar tu sitio y pueden entrar en conflicto entre sí.

Seguridad Wordfence

Wordfence es el plugin de seguridad de WordPress más utilizado, con más de 5 millones de instalaciones activas. Su versión gratuita incluye un cortafuegos que se ejecuta en tu propio servidor, un escáner de malware, 2FA y un CAPTCHA para tu página de inicio de sesión.

Los usuarios gratuitos obtienen nuevas reglas de cortafuegos y firmas de malware 30 días después que los clientes de pago. Sigue siendo una protección sólida, pero reacciona más lentamente a las amenazas nuevas.

Wordfence es una buena opción si deseas un cortafuegos gratuito y límites de inicio de sesión hoy mismo, y estás contento de revisar su panel de control de vez en cuando.

Seguridad Kadence

Kadence Security, que antes se llamaba Solid Security y antes iThemes Security, se centra en los inicios de sesión. Tiene más de 700.000 instalaciones activas.

La versión gratuita incluye 2FA, protección contra fuerza bruta, reglas de contraseñas para tus usuarios y un escáner que comprueba agujeros conocidos en tus plugins y temas hasta 4 veces al día. Es una buena opción si tu mayor preocupación es que muchos empleados y voluntarios inicien sesión.

Registro de actividad de WP

WP Activity Log mantiene un registro muy detallado de cada cambio en tu sitio, incluyendo inicios de sesión, inicios de sesión fallidos, ediciones de páginas, cambios de plugins y cambios de roles de usuario.

Sucuri ya mantiene un registro de auditoría, por lo que la mayoría de los equipos pequeños no lo necesitarán. Es útil para equipos más grandes donde necesitas saber exactamente quién cambió qué y cuándo.

Cloudflare

Cloudflare no es un plugin que se instala desde el panel de control. Se sitúa delante de todo tu sitio web, muy parecido al cortafuegos de Sucuri. Su plan gratuito incluye una CDN y una configuración llamada Bot Fight Mode que bloquea muchos bots antes de que te lleguen.

Configurarlo implica cambiar una configuración en la empresa donde compraste tu nombre de dominio, así que pide ayuda a tu host si eso te parece complicado. Si ya pagas por el cortafuegos de Sucuri, no necesitas Cloudflare además.

ActiveLayer

ActiveLayer detecta spam en tus formularios de contacto, comentarios y formularios de registro sin necesidad de CAPTCHA. Comprueba cada formulario en segundo plano, por lo que tus visitantes nunca tienen que demostrar que son humanos.

Funciona con plugins de formularios como WPForms, Contact Form 7 y Gravity Forms, además de los comentarios de WordPress. Proviene de Syed Balkhi, el fundador de WPBeginner y cofundador de WPForms, por lo que está construido por un equipo con una larga trayectoria en WordPress.

El plugin es gratuito, y una cuenta gratuita te da 200 comprobaciones de spam para probarlo. Los planes de pago empezaban en 48 $ al año cuando lo comprobé en septiembre de 2026. Para tus formularios de donación, utiliza el CAPTCHA integrado de Charitable y DonationGuard, que cubro en la siguiente sección.

WPCode

Los tutoriales a menudo te piden que pegues código en el archivo functions.php de tu tema. Un solo error tipográfico ahí puede hacer que tu sitio se caiga, así que uso WPCode para código personalizado en su lugar. Es gratuito, con más de 3 millones de instalaciones activas.

WPCode mantiene cada fragmento en un solo lugar y comprueba tu código en busca de errores comunes antes de guardarlo. Si un fragmento causa un problema, puedes desactivarlo sin tocar tu tema.

También lo usamos para Charitable. Nuestra guía para personalizar formularios de donación con WPCode muestra cómo funciona.

WP Mail SMTP

WordPress envía correos electrónicos directamente desde tu servidor web por defecto. Muchos de esos correos electrónicos terminan en spam o nunca llegan.

WP Mail SMTP envía el correo electrónico de tu sitio a través de un servicio de correo electrónico real, como Gmail, Outlook o SendGrid, para que nunca te pierdas correos electrónicos importantes de tu sitio. Esto incluye las alertas de seguridad de Sucuri, los correos electrónicos de restablecimiento de contraseña y tus recibos de donación.

La versión gratuita tiene más de 4 millones de instalaciones activas, y un asistente de configuración te guía para conectar tu servicio de correo electrónico.

WPConsent

Si tu sitio utiliza Google Analytics, un píxel de Facebook u otras herramientas de seguimiento, las leyes de privacidad como el GDPR pueden pedirte que obtengas el permiso de un visitante antes de que esas herramientas se ejecuten. Pedir permiso primero también demuestra a los donantes que respetas su privacidad.

WPConsent añade un banner de consentimiento de cookies a tu sitio y escanea tus páginas para encontrar las cookies que utilizan. También bloquea los scripts de seguimiento hasta que el visitante acepta, y puede crear una página de política de cookies para ti.

El plugin gratuito tiene más de 200.000 instalaciones activas. Las normas difieren de un país a otro, así que si no estás seguro de lo que se aplica a tus donantes, un asesor local puede guiarte sobre lo que espera tu país.

Duplicator

Mencioné Duplicator en el Paso 5, y también pertenece a esta lista. Los plugins de seguridad intentan evitar problemas. Un plugin de copia de seguridad es cómo te recuperas cuando uno se cuela de todos modos.

Con la versión gratuita puedes hacer copias de seguridad completas y restaurarlas con 1 clic, y almacenarlas en tu servidor o en Duplicator Cloud. La versión de pago añade copias de seguridad programadas y más opciones de almacenamiento, como Google Drive y Dropbox.

Cómo Charitable puede ayudar a mantener seguras tus donaciones

Si aceptas donaciones en tu sitio de WordPress con Charitable, ya tienes varias herramientas de seguridad integradas. No necesitas un plugin separado para proteger tus formularios de donación, y tus donantes permanecen en tu propio sitio web todo el tiempo.

Todos estos ajustes se encuentran en un solo lugar. Para encontrarlos, dirígete a Charitable » Configuración » Seguridad.

🆓 Un CAPTCHA integrado en el plugin gratuito

El plugin gratuito Charitable incluye un CAPTCHA para tus formularios de donación, páginas de registro y formularios de creación de campañas. Puedes elegir entre 4 proveedores.

• Cloudflare Turnstile. Es gratuito, invisible y no necesita una cuenta de Google. El plugin Charitable Pro lo marca como recomendado.
• Google reCAPTCHA v3. Puntuará a cada visitante en segundo plano y se ocultará a la mayoría de los donantes.
• Google reCAPTCHA v2. El plugin gratuito utiliza la versión invisible, que solo desafía a los visitantes que parecen sospechosos. El plugin Charitable Pro también ofrece la familiar casilla de verificación.
• hCaptcha. Es una opción centrada en la privacidad que tampoco necesita una cuenta de Google.

Para activarlo, elige un proveedor en el menú desplegable Proveedor de Captcha, añade las claves de ese proveedor y haz clic en Guardar Cambios. Si dejas Requerir captcha para usuarios registrados en No, tu propio equipo no se verá ralentizado.

Nuestro equipo escribió más sobre por qué añadimos esto en Protege tus formularios de donación con la nueva seguridad integrada.

DonationGuard vigila los ataques de bots

Un CAPTCHA comprueba un visitante a la vez. DonationGuard analiza todas tus donaciones juntas. Aprende cómo es la actividad normal de donación en tu sitio y luego marca los ataques coordinados, como las pruebas de tarjetas, cuando comienzan.

Hace esto observando varias señales juntas.

• Se da cuenta cuando muchos pagos empiezan a fallar a la vez.
• Detecta formularios que se envían desde muchos lugares diferentes al mismo tiempo.
• Atrapa formularios que se completan mucho más rápido de lo que una persona podría escribir.
• Añade 2 trampas invisibles que atrapan bots básicos antes de que lleguen a tu pasarela de pago.

Lo encontrarás en Charitable » Configuración » Seguridad » DonationGuard. Un clic en Aplicar Configuración Recomendada te da un punto de partida seguro, y puedes elegir si DonationGuard bloquea los ataques o simplemente los registra para que los revises.

DonationGuard es parte del plugin Charitable Pro, versión 1.8.16 y superior, y por ahora está marcado como beta en la pantalla de configuración. Si ocurre algo grave, te envía un correo electrónico con un enlace directo al registro del ataque. Lee la historia completa en Presentamos DonationGuard, o sigue la guía de configuración de DonationGuard.

Más protección en los planes de pago

La misma pantalla de Seguridad tiene algunas pestañas más en el plugin Charitable Pro. Puedes usarlas para añadir más protección cuando los bots siguen atacando tus formularios.

• Limitación de Tasa. Limita cuántas veces un visitante puede enviar un formulario en una ventana corta.
• Gestión de IP. Te permite bloquear direcciones que siguen atacando, o permitir siempre las que confías.
• Formularios y Campañas. Activa un Honeypot, que es un campo oculto que solo los bots rellenan, y una Trampa de Tiempo, que rechaza formularios enviados más rápido de lo que una persona podría escribir.
• Validación de Correo Electrónico. Ayuda a detectar direcciones de correo electrónico falsas antes de que se complete una donación.

Limpia después de un ataque de spam

Si los bots ya han llenado tus registros con donaciones falsas, Charitable tiene una herramienta para eliminarlas. Ve a Charitable » Herramientas y abre la pestaña Varios. En Eliminar donaciones en bloque, elige donaciones pendientes o fallidas, y selecciona un rango de fechas si solo quieres limpiar la ventana de ataque.

Haz una copia de seguridad antes de ejecutarla, ya que las donaciones eliminadas no se pueden recuperar. Nuestra guía para gestionar el spam de donaciones y los ataques de prueba de tarjetas te guiará a través de toda la limpieza.

Acceso más seguro para tu equipo

¿Recuerdas el consejo del Paso 4 sobre dar a las personas solo el acceso que necesitan? El rol de Gestor de Campañas de Charitable se creó para eso. Tu personal de recaudación de fondos puede ver campañas y donaciones, y exportar informes, sin poder tocar la configuración de tu plugin.

Los donantes también pueden tener su propio espacio seguro. El Panel del Donante, en el plan Básico y superiores, otorga a cada donante un inicio de sesión privado donde pueden ver su historial y descargar recibos, para que tu equipo no tenga que enviar registros personales por correo electrónico.

Para la configuración de privacidad, como cuánto tiempo se conservan los datos de los donantes, consulta la guía de privacidad del usuario de Charitable.

Primeros pasos con Charitable es sencillo.

Si aún no usas Charitable, puedes tener un formulario de donaciones seguro funcionando en una tarde.

1. Instala Charitable desde Plugins » Añadir Plugin. La guía de instalación muestra cada clic.
2. Conecta Stripe, PayPal o Square. Stripe se conecta con 1 clic.
3. Luego crea tu primera campaña con el constructor visual de campañas.
4. Activa un CAPTCHA en Charitable » Ajustes » Seguridad.
5. Publica tu campaña y compártela con tus seguidores.

Puedes empezar con Charitable Lite gratis, con campañas y donaciones ilimitadas. Cuando quieras DonationGuard, donaciones recurrentes y más, los planes de pago empiezan en 69 $ al año y vienen con una garantía de devolución de dinero de 14 días.

Puedes comparar lo que incluye cada versión en la página Lite vs. Pro.

Obtén Charitable Ahora »

Qué hacer si tu sitio es hackeado

Descubrir que tu sitio ha sido hackeado es estresante. Lo más importante es mantener la calma y seguir los pasos en orden.

Señales de que tu sitio puede estar hackeado

Los hackeos no siempre son obvios. Estate atento a estas señales.

• Los visitantes dicen que tu sitio los redirige a otro sitio web.
• Google muestra una advertencia junto a tu sitio en los resultados de búsqueda.
• Encuentras nuevos usuarios administradores que no creaste.
• Sucuri te envía correos electrónicos sobre archivos modificados o un nuevo plugin que no instalaste.

Usa las Acciones Post-Hackeo de Sucuri

Sucuri tiene una página completa para este momento. Ve a Sucuri Security » Acciones Post-Hackeo.

Trabaja con las herramientas de esta página de arriba a abajo.

1. Actualizar Claves Secretas. Esto cierra la sesión de todos a la vez, incluido el atacante. Deberás volver a iniciar sesión después.
2. Restablecer contraseña de usuario. Esto envía nuevas contraseñas a los usuarios que elijas, por lo que las contraseñas robadas dejan de funcionar.
3. Restablecer plugins instalados. Esto reemplaza los plugins gratuitos por copias nuevas de WordPress.org, en caso de que el atacante haya modificado su código.
4. Actualizaciones de plugins y temas disponibles. Esto muestra todo lo que está desactualizado, que a menudo es la forma en que entró el atacante.

Restaura una copia de seguridad limpia u obtén ayuda experta

Si tienes una copia de seguridad de antes del hackeo, restaurarla suele ser la solución más rápida. Solo recuerda actualizar todo y cambiar las contraseñas inmediatamente después, o el atacante podrá volver por el mismo método. Mis pasos para restaurar copias de seguridad te guían a través del proceso.

Si no tienes una copia de seguridad limpia, o el hackeo persiste, busca ayuda profesional. La plataforma de pago de Sucuri incluye eliminación ilimitada de malware, y el equipo de soporte de tu proveedor de alojamiento web también puede ayudarte.

Finalmente, informa a las personas que necesitan saberlo. Si la información de los donantes pudo haber sido vista, un asesor local puede guiarte sobre lo que tu país espera que informes y cuándo.

Inicio rápido: Tu lista de verificación de seguridad para sitios web sin fines de lucro

¿Te sientes un poco abrumado? No tienes que hacerlo todo hoy. Empieza con estos 3 pasos esta semana y añade el resto durante el próximo mes.

1. Instala Sucuri Security y aplica las 4 opciones de endurecimiento del Paso 1.
2. Activa la 2FA para cada administrador.
3. Haz una copia de seguridad completa con Duplicator, descarga una copia y comprueba que se restaura correctamente.

Después de eso, establece un día semanal de actualizaciones, organiza tu lista de usuarios y activa un CAPTCHA para tus formularios de donación. Cada uno lleva menos de 30 minutos.

Si todavía estás construyendo tu sitio, mi guía sobre cómo crear un sitio web sin fines de lucro te muestra cómo configurarlo con estos hábitos implementados desde el primer día.

Preguntas frecuentes sobre la seguridad de los sitios web sin fines de lucro

¿Es gratuito Sucuri Security?

Sí, el plugin Sucuri Security es gratuito en WordPress.org e incluye escaneo de malware, registros de auditoría, endurecimiento, 2FA y herramientas post-hackeo. El firewall y el servicio de eliminación de malware son extras de pago.

¿Puedo usar Sucuri y Wordfence juntos?

No recomiendo ejecutar 2 firewalls al mismo tiempo, ya que pueden entrar en conflicto y ralentizar tu sitio. Elige 1 plugin de seguridad principal y quédate con él.

¿Con qué frecuencia debe una organización sin ánimo de lucro hacer una copia de seguridad de su sitio web?

Si recibes donaciones todos los días, haz una copia de seguridad diaria. Para un sitio más tranquilo, la semanal suele ser suficiente, más una copia de seguridad adicional antes de cualquier actualización importante. Mi guía de copias de seguridad para sitios web sin fines de lucro, enlazada en el Paso 5, te muestra cómo programarlas.

¿Son hackeadas las pequeñas organizaciones sin ánimo de lucro?

Sí. La mayoría de los ataques son realizados por bots que escanean todos los sitios que pueden encontrar, por lo que el tamaño no te protege. Los sitios pequeños son a menudo objetivos más fáciles porque nadie los vigila.

¿Cómo evito las donaciones falsas en mi sitio web?

Añade primero un CAPTCHA a tus formularios de donación. Si usas Charitable, el CAPTCHA está integrado en el plugin gratuito, y DonationGuard en el plugin Charitable Pro añade detección en tiempo real de ataques de prueba de tarjetas.

¿Mi proveedor de hosting mantiene seguro mi sitio?

Un buen host protege sus servidores, pero no puede controlar tus contraseñas, plugins o usuarios. La seguridad del sitio web es compartida entre tú y tu host.

¿Qué debo hacer primero si mi sitio es hackeado?

Cambia tus contraseñas y usa la herramienta Actualizar Claves Secretas de Sucuri para cerrar la sesión de todos. Luego restaura una copia de seguridad limpia o solicita una eliminación profesional de malware.

Mantente conectado para más recursos para organizaciones sin fines de lucro

Para más tutoriales y vídeos adaptados a organizaciones sin fines de lucro, suscríbete a nuestro canal de YouTube. Publicamos regularmente consejos de expertos, guías paso a paso sobre donaciones en línea, estrategias de recaudación de fondos y recursos prácticos para ayudar a tu organización a tener éxito.

🗞️ Recibe consejos semanales y guías exclusivas en tu bandeja de entrada
Únete a nuestro boletín →  

🎥 Mira tutoriales paso a paso e historias de éxito
Suscríbete a nuestro canal de YouTube →  

👩🏽‍💻 Conecta con nuestra comunidad y obtén información diaria sobre organizaciones sin fines de lucro
Síguenos en LinkedIn →

🥳 Reels divertidos e información sobre organizaciones sin fines de lucro
Síguenos en Instagram → 

👀 Vídeos interesantes y divertidos para ayudarte a hacer crecer tu causa
Síguenos en TikTok→  

🌎 Suscríbete y sigue para recibir consejos generales de recaudación de fondos
Obtén consejos de recaudación de fondos en TikTok → 

Potentes recursos de recaudación de fondos

🤖 Usa Charitable con tu asistente de IA

Ver Charitable + IA →

⬇️ Descarga estrategias probadas, ideas de campañas y herramientas de expertos
Obtén el Kit de Recaudación de Fondos →  

💸 Obtén recursos gratuitos de recaudación de fondos
Ve al Centro de Recaudación de Fondos de Charitable →

¿Tienes preguntas sobre Charitable?
Preguntas frecuentes de Charitable →

🏎️ Prueba Charitable
Crea tu demostración de Charitable →

Comprende la terminología y la jerga de las organizaciones sin fines de lucro
Glosario de organizaciones sin fines de lucro→

% ¿Buscas ofertas y descuentos para organizaciones sin fines de lucro?
Las mejores ofertas y descuentos para organizaciones sin fines de lucro →