WordPress continua sent el CMS més utilitzat del món. Aquesta popularitat té molts avantatges, però també un inconvenient evident: és un dels principals objectius dels atacs automatitzats.

La bona notícia és que la majoria dels incidents de seguretat no es produeixen perquè WordPress sigui insegur, sinó perquè existeixen configuracions deficients, plugins vulnerables, credencials febles o servidors sense manteniment.

Aquí és on entra en joc el hardening WordPress, un conjunt de mesures destinades a reduir la superfície d’atac i dificultar al màxim qualsevol intent d’intrusió.

En aquesta guia trobaràs una checklist pràctica de hardening WordPress adaptada a la realitat de seguretat WordPress 2026, amb recomanacions que abasten tant el mateix CMS com el servidor, l’allotjament i la gestió d’usuaris. No es tracta únicament d’instal·lar un plugin de seguretat, sinó d’aplicar una estratègia per capes que redueixi riscos de forma constant.

Què significa fer hardening a WordPress?

El hardening consisteix a reforçar la configuració d’un sistema per fer-lo més resistent davant d’atacs. En WordPress significa aplicar una sèrie de mesures destinades a reduir les possibilitats que un atacant trobi una via d’accés.

No existeix un lloc web impossible de comprometre. La seguretat absoluta simplement no existeix. L’objectiu del hardening no és eliminar tots els riscos, sinó fer que explotar-los resulti molt més difícil i costós.

En un lloc WordPress, aquest procés combina aspectes com:

• Configuració del CMS
• Manteniment continu
• Control d’accessos
• Protecció del servidor
• Còpies de seguretat
• Monitorització
• Bones pràctiques d’administració

En altres paraules, com securitzar WordPress no depèn d’una única acció, sinó de moltes petites decisions que, juntes, construeixen una defensa molt més sòlida.

En 2026, aquest enfocament cobra encara més importància. Els atacs automatitzats utilitzen intel·ligència artificial per localitzar instal·lacions vulnerables, detectar versions obsoletes o explotar fallades conegudes en qüestió de minuts. La millor defensa és reduir al màxim la superfície exposada abans que algú intenti aprofitar-la.

Per què WordPress continua necessitant hardening en 2026?

Perquè el problema rarament és WordPress en si.

El nucli del CMS rep actualitzacions constants i compta amb una comunitat enorme revisant vulnerabilitats. No obstant això, un lloc web complet està format per molts més components, i qualsevol d’ells pot convertir-se en un punt d’entrada.

Els riscos més habituals continuen sent:

• Plugins abandonats
• Temes sense actualitzar
• Contrasenyes febles
• Usuaris amb permisos excessius
• Atacs de força bruta
• Malware introduït mitjançant vulnerabilitats conegudes
• Configuracions insegures del servidor

A més, durant els últims anys ha augmentat considerablement l’automatització dels atacs. Avui ja no parlem únicament de bots que proven milions de contrasenyes, sinó d’eines capaces d’identificar versions concretes de plugins vulnerables, detectar configuracions insegures o analitzar cadenes de subministrament per trobar components compromesos.

Per això, la seguretat web WordPress ja no pot entendre’s com una revisió puntual. És un procés continu.

Un exemple molt habitual és el d’una empresa que desenvolupa una web per a un client, la publica i no torna a revisar el projecte durant mesos. Quan apareix una vulnerabilitat crítica en un dels seus plugins, els bots poden localitzar milers d’instal·lacions vulnerables en poques hores. Si aquest lloc no es manté actualitzat, acaba convertint-se en un objectiu senzill.

Aplicar una estratègia d’endurir la seguretat de WordPress significa precisament evitar aquest tipus de situacions mitjançant revisions periòdiques i mesures preventives.

Checklist de hardening per a WordPress el 2026

A continuació trobaràs una checklist pràctica amb les principals mesures que hauries de revisar per protegir WordPress correctament.

No totes tenen la mateixa prioritat, però juntes formen una estratègia de bones pràctiques de seguretat WordPress molt més eficaç que dependre únicament d’un plugin.

Mantén WordPress, temes i plugins sempre actualitzats

Si hagués de triar una sola mesura per millorar la seguretat d’un lloc WordPress, probablement seria aquesta.

La immensa majoria de les vulnerabilitats explotades cada any afecten versions antigues de plugins, temes o del propi nucli de WordPress. Quan es publica una actualització de seguretat, els detalls tècnics de la fallada solen fer-se públics poc després, facilitant que els atacants automatitzin la seva explotació.

Per això resulta fonamental:

• Actualitzar el nucli de WordPress tan aviat com sigui possible.
• Mantenir tots els plugins en la seva última versió estable.
• Revisar també els temes instal·lats, encara que no siguin l’actiu.
• Comprovar la compatibilitat abans de grans actualitzacions.

Un error molt freqüent consisteix a pensar que un plugin desactivat ja no representa cap risc. En realitat, si continua instal·lat en el servidor, un atacant pot aprofitar determinades vulnerabilitats igualment.

Per això convé eliminar qualsevol component que ja no tingui utilitat.

Elimina plugins i temes que no utilitzis

Cada plugin afegeix noves funcionalitats… però també nou codi.

I com més gran sigui el codi instal·lat, major serà també la superfície d’atac.

Mantenir components que ja no utilitzes implica assumir riscos innecessaris:

• Poden deixar de rebre suport.
• Poden contenir vulnerabilitats descobertes anys després.
• Poden entrar en conflicte amb noves versions de WordPress.
• Augmenten la complexitat del manteniment.

El recomanable és conservar únicament allò que realment aporta valor al projecte.

Si algun dia necessites tornar a utilitzar un plugin, sempre podràs instal·lar la seva versió més recent des d’una font oficial.

Utilitza només plugins i temes de confiança

No tots els plugins ofereixen el mateix nivell de qualitat.

Abans d’instal·lar-ne un, convé revisar aspectes com:

• Freqüència d’actualització.
• Reputació del desenvolupador.
• Nombre d’instal·lacions actives.
• Compatibilitat amb la versió actual de WordPress.
• Suport disponible.

Especialment important és evitar els coneguts com a nulled plugins o versions piratejades de temes i extensions premium.

Encara que aparentment funcionin igual, és relativament habitual que incorporin portes del darrere, malware o codi dissenyat per prendre el control del lloc.

Quan parlem de com assegurar un lloc WordPress, utilitzar únicament components procedents del repositori oficial o de desenvolupadors reconeguts continua sent una de les decisions més rendibles des del punt de vista de la seguretat.

Protegeix l’accés a wp-admin i wp-login.php

El panell d’administració és un dels objectius favorits dels atacants. No és casualitat: si aconsegueixen accedir a un compte amb privilegis suficients, poden prendre el control complet del lloc.

Per això, una part important de les mesures de seguretat de WordPress consisteix a dificultar al màxim l’accés a l’àrea d’administració.

Hi ha diverses formes de fer-ho:

• Limitar el nombre d’intents d’inici de sessió.
• Bloquejar temporalment adreces IP després de diversos intents fallits.
• Canviar l’URL d’accés quan tingui sentit fer-ho.
• Restringir l’accés per IP en projectes interns o corporatius.
• Afegir una capa addicional d’autenticació al servidor.

Aquesta última mesura resulta especialment interessant per a panells d’administració que només utilitzen una o dues persones. Fins i tot encara que algú descobreixi les teves credencials, encara hauria de superar aquesta segona barrera.

Això sí, convé recordar que algunes restriccions massa agressives poden afectar determinades funcionalitats o a col·laboradors que treballen des de diferents ubicacions, per la qual cosa sempre és recomanable provar qualsevol canvi abans d’aplicar-lo en producció.

Activa l’autenticació en dos factors (2FA)

Una contrasenya robusta ja no és suficient.

Les filtracions de credencials són cada vegada més freqüents i moltes contrasenyes acaben circulant per bases de dades públiques sense que el propietari arribi ni tan sols a assabentar-se’n.

L’autenticació en dos factors afegeix una comprovació addicional que dificulta enormement els accessos no autoritzats.

Encara que un atacant aconsegueixi esbrinar la contrasenya, seguirà necessitant un segon element per iniciar sessió, normalment un codi temporal generat en una aplicació d’autenticació o una clau física de seguretat.

En qualsevol projecte WordPress, el 2FA hauria de ser obligatori per a administradors i molt recomanable per a editors o usuaris amb permisos elevats.

És una de les mesures amb millor relació entre esforç i benefici.

Utilitza contrasenyes robustes i polítiques d’accés segures

Moltes intrusions continuen començant amb una contrasenya massa senzilla o reutilitzada en diversos serveis.

Una contrasenya segura hauria de ser:

• Única per a cada servei.
• Prou llarga.
• Difícil d’endevinar.
• Generada mitjançant un gestor de contrasenyes sempre que sigui possible.

Evita utilitzar noms propis, dates de naixement, el nom de l’empresa o qualsevol dada que pugui trobar-se fàcilment en xarxes socials.

A més, és recomanable revisar periòdicament qui té accés al lloc.

En projectes que porten diversos anys actius és habitual trobar antics empleats, col·laboradors externs o agències que conserven usuaris amb permisos elevats malgrat que ja no els necessiten.

Aplicar el principi del mínim privilegi significa que cada usuari només ha de disposar dels permisos imprescindibles per dur a terme la seva feina.

Revisa els rols i permisos d’usuari

No tots els usuaris necessiten ser administradors.

WordPress incorpora diferents rols precisament per limitar les accions que pot realitzar cada persona.

Abans de concedir privilegis elevats, convé preguntar-se si realment són necessaris.

Per exemple:

• Un redactor pot publicar contingut sense administrar plugins.
• Un editor pot revisar publicacions sense modificar la configuració del lloc.
• Un desenvolupador pot necessitar accés temporal durant una migració, però no indefinidament.

Revisar periòdicament els usuaris registrats permet detectar comptes antigues, accessos oblidats o privilegis excessius que augmenten innecessàriament el risc.

En auditories de seguretat és sorprenentment freqüent trobar instal·lacions amb diversos administradors creats fa anys i que ningú recorda ja per a què servien.

Força HTTPS en tot el lloc

Avui en dia no n’hi ha prou amb protegir únicament la pàgina principal.

Tot el trànsit hauria de viatjar xifrat mitjançant HTTPS, incloent:

• El panell d’administració.
• El formulari d’inici de sessió.
• L’àrea pública.
• Les API.
• Qualsevol intercanvi d’informació confidencial.

A més de millorar la seguretat, HTTPS protegeix les cookies de sessió, evita la manipulació del trànsit durant la transmissió i transmet major confiança tant als usuaris com als cercadors.

Afortunadament, la majoria de proveïdors inclouen certificats SSL gratuïts que poden activar-se en pocs minuts.

Això sí, instal·lar el certificat no és suficient. També convé comprovar que no existeixin recursos carregats mitjançant HTTP (mixed content), ja que podrien debilitar la protecció del lloc.

Configura correctament els permisos d’arxius i carpetes

Una configuració incorrecta de permisos pot facilitar modificacions no autoritzades o fins i tot l’execució de codi maliciós.

En la majoria de les instal·lacions WordPress, els permisos recomanats solen ser:

• 755 per a directoris.
• 644 per a arxius.

Aquests valors permeten que WordPress funcioni correctament sense atorgar més privilegis dels necessaris.

Especial atenció mereix qualsevol carpeta que permeti escriptura, ja que podria utilitzar-se per pujar arxius maliciosos si existeix alguna vulnerabilitat.

També és recomanable revisar que els arxius pertanyin a l’usuari adequat i evitar permisos massa permissius com 777, que pràcticament mai haurien d’utilitzar-se en un entorn de producció.

Protegeix els arxius crítics de WordPress

No tots els arxius tenen la mateixa importància.

Alguns contenen informació especialment sensible o permeten modificar el comportament complet del lloc.

Els principals són:

• wp-config.php
• .htaccess
• xmlrpc.php (si no s’utilitza)
• arxius d’instal·lació antics
• directoris amb llistat públic d’arxius

Una bona pràctica consisteix a impedir l’accés directe a aquests arxius des del navegador quan sigui possible i eliminar qualsevol fitxer temporal, còpia de seguretat o script de proves que hagi quedat oblidat després del desenvolupament.

Un arxiu .zip amb una còpia de la web deixat accidentalment en el servidor pot resultar molt més perillós que una vulnerabilitat en el propi WordPress.

Desactiva funcions innecessàries

Reduir funcionalitats també significa reduir riscos.

Per exemple, molts administradors desconeixen que WordPress permet editar directament arxius PHP des del mateix panell d’administració.

Si un atacant aconsegueix accedir amb privilegis suficients, aquesta funcionalitat li facilita introduir codi maliciós en qüestió de segons.

Per això sol recomanar-se desactivar l’edició d’arxius des del panell mitjançant la constant corresponent en wp-config.php.

De la mateixa manera, convé revisar altres elements que potser mai utilitzes:

• XML-RPC, si cap aplicació depèn d’ell.
• Serveis o endpoints sense ús.
• Execució de scripts en directoris destinats únicament a emmagatzemar arxius.
• Mòduls heretats que ja no aporten cap funcionalitat.

Com menor sigui la superfície exposada, menys oportunitats tindrà un atacant per trobar un punt d’entrada.

Canvia el prefix de les taules si es tracta d’una instal·lació nova

Durant molts anys, totes les instal·lacions de WordPress utilitzaven el prefix wp_ per a les taules de la base de dades.

Actualment, continua sent possible canviar-lo durant la instal·lació, i fer-ho afegeix una petita capa addicional de protecció davant de determinats atacs automatitzats que assumeixen el prefix per defecte.

És important aclarir que no es tracta d’una solució màgica.

Per si sola no evitarà una intrusió, però sí pot dificultar alguns atacs automatitzats i forma part de l’enfocament de defensa per capes característic del hardening web WordPress.

No obstant això, modificar el prefix en una instal·lació ja existent sol ser un procés delicat que ha de planificar-se acuradament per evitar problemes de compatibilitat.

Implementa còpies de seguretat automàtiques i verificades

Les còpies de seguretat són l’última línia de defensa quan tot el resta falla.

Una vulnerabilitat crítica, un error durant una actualització, un atac de ransomware o fins i tot un error humà poden deixar un lloc completament inutilitzable. En aquest moment, disposar d’un backup recent pot marcar la diferència entre recuperar la web en uns minuts o perdre dies de treball.

No obstant això, fer còpies de seguretat no n’hi ha prou. També cal assegurar-se que realment funcionen.

Una estratègia de backup hauria de complir, com a mínim, aquests requisits:

• Realitzar còpies automàtiques amb la freqüència adequada.
• Emmagatzemar les còpies en una ubicació diferent del mateix servidor.
• Conservar diverses versions històriques.
• Provar periòdicament la restauració.

La freqüència dependrà del tipus de projecte. Un blog que publica un article al mes no necessita el mateix nivell de protecció que un comerç electrònic amb comandes cada pocs minuts.

Si mai has intentat restaurar una còpia de seguretat, no pots donar per fet que funcionarà quan realment la necessitis.

Utilitza un firewall i protecció davant de bots o atacs de força bruta

Una gran part del trànsit que rep qualsevol lloc WordPress no procedeix de persones, sinó de bots.

Molts són completament legítims, com els rastrejadors de cercadors, però altres intenten localitzar vulnerabilitats, accedir al panell d’administració o explotar fallades conegudes.

Aquí és on entra en joc un Web Application Firewall (WAF).

Un firewall web analitza les peticions abans que arribin a WordPress i pot bloquejar-les automàticament:

• Atacs de força bruta.
• Intents d’explotació de vulnerabilitats conegudes.
• Trànsit maliciós.
• Bots automatitzats.
• Sol·licituds sospitoses.

Depenent del proveïdor, aquesta protecció pot implementar-se mitjançant un plugin, pel que fa al servidor o fins i tot abans que el trànsit arribi a l’allotjament.

Les solucions integrades en la infraestructura solen oferir un avantatge important: detenen l’atac abans que consumeixi recursos del mateix WordPress.

Escaneja malware i supervisa la integritat dels arxius

No tots els atacs provoquen una caiguda immediata de la web.

En molts casos, l’objectiu consisteix a introduir codi maliciós que romangui ocult durant setmanes o mesos.

Aquest codi pot utilitzar-se per a:

• Enviar spam.
• Redirigir visitants.
• Distribuir malware.
• Crear usuaris ocults.
• Utilitzar el servidor per a altres atacs.

Per aquest motiu, convé realitzar escanejos periòdics que detectin canvis inesperats en els arxius del lloc.

Moltes eines comparen automàticament els arxius del nucli de WordPress amb les versions oficials i alerten quan troben modificacions sospitoses.

La detecció primerenca sol ser un dels factors que més redueixen l’impacte d’un incident de seguretat.

Revisa els logs i l’activitat sospitosa

Els registres del servidor expliquen la història de tot el que ocorre en una web.

Analitzar-los periòdicament permet detectar comportaments anòmals molt abans que es converteixin en un problema greu.

Alguns indicadors que convé vigilar són:

• Múltiples intents fallits d’inici de sessió.
• Creació inesperada de nous usuaris.
• Canvis en arxius importants.
• Pujada de fitxers desconeguts.
• Errors repetitius.
• Pics de trànsit poc habituals.
• Sol·licituds massives cap a un mateix recurs.

Per exemple, rebre milers de peticions dirigides a wp-login.php en pocs minuts sol indicar un atac automatitzat de força bruta.

De la mateixa manera, detectar que un usuari administrador ha iniciat sessió des d’un país on mai treballa pot justificar una revisió immediata.

El monitoratge continu permet reaccionar abans que l’incident tingui conseqüències importants.

Separa els entorns de desenvolupament i producció

Fer proves directament sobre una web en funcionament mai és bona idea.

A més del risc de provocar errors visibles per als visitants, també poden introduir-se configuracions insegures que acabin arribant a l’entorn de producció.

El recomanable és treballar sempre amb un entorn de staging, on provar:

• Actualitzacions importants.
• Nous plugins.
• Canvis de disseny.
• Modificacions del servidor.

Aquest entorn ha de romandre protegit mitjançant autenticació i, sobretot, impedir la seva indexació per part dels cercadors.

No seria la primera vegada que una còpia de proves apareix en Google amb informació confidencial accessible públicament.

PHP i servidor actualitzats

Quan es parla de seguretat WordPress servidor, moltes persones es concentren únicament en el CMS i obliden que tot el programari que l’envolta també necessita manteniment.

Actualitzar únicament WordPress mentre la teva pàgina web continua treballant amb versions obsoletes de PHP deixa oberta una part important de la superfície d’atac.

Mantenir actualitzat el stack tècnic aporta diversos avantatges:

• Corregeix vulnerabilitats conegudes.
• Millora el rendiment.
• Augmenta la compatibilitat amb noves versions de WordPress.
• Permet utilitzar funcions de seguretat més modernes.

Aquesta revisió també hauria d’incloure la base de dades, les llibreries del sistema i qualsevol altre component que formi part de l’entorn d’execució.

Triar una versió moderna de PHP no només ajuda a protegir el teu WordPress, sinó que també millora els temps de càrrega i garanteix la compatibilitat amb les versions més recents del CMS.

Reforça la seguretat de l’allotjament

Un WordPress ben configurat pot continuar sent vulnerable si l’entorn on s’allotja no ofereix unes garanties mínimes.

Per això, la seguretat hosting WordPress també ha de formar part de qualsevol estratègia de hardening.

En triar un proveïdor convé valorar aspectes com:

• Autenticació en dos factors per accedir al panell de client.
• Accés mitjançant SSH o SFTP xifrat.
• Certificats SSL senzills de gestionar.
• Còpies de seguretat automàtiques.
• Monitoratge de recursos.
• Aïllament entre comptes.
• Actualitzacions periòdiques de la infraestructura.

En definitiva, la seguretat no acaba quan WordPress està correctament configurat. També depèn de l’entorn que el manté en funcionament cada dia.

Mesures de hardening al servidor que marquen la diferència

Fins ara hem vist accions que depenen principalment de l’administrador del lloc.

No obstant això, moltes de les capes de protecció més eficaces es troben un nivell més avall: el mateix servidor on s’executa WordPress.

Per això, quan parlem de hardening, també hem de prestar atenció a l’entorn on s’executa l’aplicació. Un servidor correctament configurat pot detenir atacs automatitzats, limitar l’impacte d’una vulnerabilitat i impedir que un incident afecti altres llocs allotjats en la mateixa infraestructura.

WAF i regles d’aplicació

Un Web Application Firewall (WAF) analitza cada petició HTTP abans que arribi a WordPress.

El seu objectiu és identificar patrons d’atac coneguts i bloquejar-los automàticament. Entre altres amenaces, pot detectar:

• Intents de força bruta contra el panell d’administració.
• Atacs d’injecció SQL.
• Cross-Site Scripting (XSS).
• Intents de pujada d’arxius maliciosos.
• Explotació de vulnerabilitats conegudes en plugins i temes.

A diferència d’un plugin de seguretat, un WAF implementat en el servidor pot detenir aquestes peticions abans que consumeixin recursos del mateix WordPress, reduint tant el risc d’intrusió com la càrrega del servidor.

Una solució àmpliament utilitzada és ModSecurity, que permet aplicar regles de protecció adaptades a aplicacions com WordPress i actualitzar aquestes regles a mesura que apareixen noves amenaces.

Protecció davant d’atacs de força bruta

No tots els atacs busquen explotar una vulnerabilitat. Molts simplement intenten endevinar credencials mitjançant milers d’intents d’inici de sessió.

Eines com Fail2Ban ajuden a mitigar aquest problema monitorant els registres del servidor i bloquejant automàticament les adreces IP que mostren un comportament sospitós.

Per exemple, si una mateixa IP intenta iniciar sessió centenars de vegades en pocs minuts, pot quedar bloquejada temporalment abans fins i tot que WordPress processi les sol·licituds.

Aquest tipus de protecció redueix el consum de recursos i dificulta considerablement els atacs automatitzats.

Aïllament de comptes i recursos

Un dels aspectes menys visibles, però més importants, d’un hosting modern és l’aïllament entre comptes.

En un servidor compartit mal configurat, una vulnerabilitat en una web podria afectar la resta de llocs allotjats en la mateixa màquina.

A més del component de seguretat, aquest aïllament també millora l’estabilitat del servidor, evitant que un lloc amb un consum excessiu de CPU o memòria perjudiqui el rendiment dels altres.

Protecció davant de malware i execució maliciosa

Els atacs actuals no sempre busquen deixar una web fora de servei. En molts casos, l’objectiu consisteix a instal·lar codi maliciós que romangui ocult el màxim temps possible.

Per això resulta tan important combinar diferents capes de protecció en el servidor.

Entre les mesures més habituals trobem:

• Escanejos automàtics de malware.
• Monitoratge de canvis en arxius crítics.
• Restriccions d’execució en directoris destinats únicament a emmagatzemar contingut.
• Quarantena automàtica d’arxius sospitosos.
• Alertes quan es detecten modificacions inesperades.

Aquestes mesures permeten detectar problemes fins i tot quan l’atacant ha aconseguit accedir al lloc, reduint el temps de resposta i facilitant la recuperació.

Actualització contínua del stack tècnic

El hardening també implica mantenir actualitzat tot allò que fa funcionar la web.

No només parlem de WordPress.

També han de mantenir-se al dia:

• PHP
• El servidor web (Apache, Nginx o LiteSpeed)
• La base de dades
• OpenSSL
• Llibreries del sistema
• Mòduls instal·lats

Una vulnerabilitat en qualsevol d’aquests components pot comprometre el lloc, encara que WordPress estigui completament actualitzat.

Si utilitzes un proveïdor d’allotjament que manté la seva infraestructura actualitzada, aquesta tasca resulta molt més senzilla. En cdmon, per exemple,posem a la teva disposició les últimes versions estables de PHP i de MariaDB perquè puguis mantenir el teu lloc al diai beneficiar-te tant de les millores de seguretat com de rendiment.

La seguretat del servidor també forma part del hardening

Una instal·lació de WordPress correctament configurada continua necessitant un entorn segur per oferir el màxim nivell de protecció.

Per això, el hardening ha d’entendre’s com una estratègia per capes on intervenen el CMS, el servidor, el sistema operatiu, la xarxa i el propi allotjament. Com més capes independents treballin juntes, menor serà la probabilitat que un únic error comprometi tot el projecte.

Errors comuns en fer hardening en WordPress

Aplicar mesures de seguretat és important, però fer-ho de forma incorrecta també pot generar problemes.

Aquests són alguns dels errors més habituals que trobem en auditories de seguretat:

Pensar que un únic plugin ho soluciona tot

Els plugins de seguretat són eines molt útils, però no substitueixen una estratègia completa de protecció.

La seguretat depèn de múltiples factors: el servidor, les actualitzacions, la gestió d’usuaris, els permisos, les còpies de seguretat i el monitoratge.

Deixar temes i plugins inactius instal·lats

Encara que estiguin desactivats, continuen sent codi present en el servidor.

Si contenen una vulnerabilitat coneguda, poden convertir-se igualment en un punt d’entrada.

Concedir permisos d’administrador a massa usuaris

És habitual donar permisos d’administrador «per si de cas».

El recomanable és just el contrari: aplicar sempre el principi del mínim privilegi i concedir únicament els permisos imprescindibles per a cada usuari.

No revisar mai els logs

Moltes intrusions podrien detectar-se molt abans si es revisessin periòdicament els registres del servidor.

Esperar que la web deixi de funcionar sol significar que el problema porta temps present.

Descuidar l’allotjament

No serveix de gaire tenir WordPress perfectament configurat si l’entorn on s’executa no rep manteniment o utilitza versions obsoletes del programari.

Aplicar canvis directament en producció

Actualitzar plugins importants, modificar configuracions o instal·lar noves funcionalitats sense provar-les prèviament pot provocar errors inesperats o deixar el lloc inaccessible.

Sempre que sigui possible, utilitza un entorn de staging.

Deixar un entorn de proves accessible

Una còpia de desenvolupament exposada públicament pot contenir usuaris, configuracions o informació confidencial.

A més, si està desactualitzada, pot convertir-se en una via d’accés a la resta de la infraestructura.

Quines tasques hauries de revisar cada setmana, mes i trimestre

La millor forma de mantenir la seguretat consisteix a convertir-la en una rutina.

No totes les tasques requereixen la mateixa freqüència.

Tasques setmanals

Cada setmana convé comprovar:

• Disponibilitat del lloc.
• Actualitzacions pendents de WordPress.
• Actualitzacions de plugins i temes.
• Funcionament de les còpies de seguretat.
• Intents d’accés sospitosos.
• Consum anòmal de recursos.

Aquestes comprovacions amb prou feines porten uns minuts i permeten detectar problemes abans que escalin.

Tasques mensuals

Un cop al mes resulta recomanable realitzar una revisió més profunda.

Per exemple:

• Auditar els usuaris registrats.
• Revisar plugins instal·lats.
• Eliminar components que ja no s’utilitzen.
• Analitzar els logs del servidor.
• Executar un escaneig complet de malware.
• Verificar la integritat dels arxius principals.

Tasques trimestrals

Cada trimestre convé revisar l’estratègia de seguretat en conjunt.

Entre altres accions:

• Validar que els backups poden restaurar-se correctament.
• Revisar permisos i rols.
• Comprovar configuracions del servidor.
• Avaluar l’estat de l’allotjament.
• Revisar polítiques d’accés.
• Actualitzar la documentació del projecte.

Aquest tipus de revisions ajuda a detectar petits problemes que, amb el pas del temps, poden convertir-se en riscos importants.

Checklist ràpid de hardening per a WordPress al 2026

Si vols comprovar ràpidament l’estat de la teva instal·lació, aquí tens el WordPress hardening checklist definitiu que resumeix les mesures més importants.

• ✅ WordPress actualitzat.
• ✅ Plugins actualitzats.
• ✅ Temes actualitzats.
• ✅ Plugins i temes no utilitzats eliminats.
• ✅ Autenticació en dos factors activada.
• ✅ Contrasenyes robustes per a tots els usuaris.
• ✅ HTTPS forçat en tot el lloc.
• ✅ Permisos d’arxius revisats.
• ✅ wp-config.php protegit.
• ✅ .htaccess correctament configurat.
• ✅ XML-RPC desactivat si no s’utilitza.
• ✅ Firewall actiu.
• ✅ Protecció davant de força bruta.
• ✅ Escanejos periòdics de malware.
• ✅ Còpies de seguretat verificades.
• ✅ Logs revisats regularment.
• ✅ PHP actualitzat.
• ✅ Servidor actualitzat.
• ✅ Entorn de staging.
• ✅ Auditoria periòdica d’usuaris.

Com més elements puguis marcar, menor serà la superfície d’atac del teu lloc.

Comparativa de mesures segons el seu impacte

Conclusió: el hardening no és una tasca puntual, sinó un hàbit

El hardening WordPress no consisteix a instal·lar un plugin i oblidar-se de la seguretat durant mesos.

Es tracta de construir una estratègia basada en capes on intervenen el CMS, el servidor, l’allotjament, els usuaris i els processos de manteniment.

La majoria d’atacs exitosos aprofiten errors relativament senzills: versions desactualitzades, contrasenyes febles, permisos excessius o components abandonats.

La bona notícia és que tots ells poden prevenir-se aplicant una rutina de revisió periòdica.

Seguir una checklist com la que hem vist t’ajudarà a protegir WordPress de forma molt més eficaç, reduir la superfície d’atac i reaccionar abans davant de qualsevol incidència.

I recorda: un bon allotjament també forma part d’aquesta estratègia. Comptar amb còpies de seguretat automàtiques, versions actualitzades de PHP, firewall, certificats SSL i monitoratge del servidor aporta una capa addicional de protecció que complementa el treball fet dins de WordPress.

Preguntes freqüents

Què és el hardening en WordPress?

El hardening en WordPress és el conjunt de mesures que reforcen la seguretat del lloc per reduir riscos, limitar la superfície d’atac i dificultar accessos no autoritzats o l’explotació de vulnerabilitats.

Quina és la mesura més important per protegir WordPress?

Mantenir WordPress, els plugins i els temes sempre actualitzats és una de les mesures més eficaces, ja que moltes bretxes de seguretat aprofiten versions antigues amb vulnerabilitats conegudes.

N’hi ha prou amb instal·lar un plugin de seguretat en WordPress?

No. Un plugin pot ajudar, però no substitueix una estratègia completa. La seguretat també depèn de les actualitzacions, l’allotjament, les contrasenyes, els permisos, les còpies de seguretat i la configuració del servidor.

És recomanable activar l’autenticació en dos factors?

Sí. L’autenticació en dos factors afegeix una capa extra de protecció al panell d’administració i redueix significativament el risc d’accessos no autoritzats.

Quins arxius de WordPress convé protegir especialment?

Els més importants són wp-config.php, .htaccess, l’accés a wp-admin, la pàgina wp-login.php i xmlrpc.php quan no s’utilitza.

Cada quant cal revisar la seguretat de WordPress?

El recomanable és realitzar petites comprovacions cada setmana, revisions més completes cada mes i auditories generals cada trimestre.

El hardening també depèn de l’allotjament?

Sí. Un allotjament segur ajuda a protegir el lloc mitjançant firewall, aïllament entre comptes, còpies de seguretat, certificats SSL, versions actualitzades de PHP i monitoratge de la infraestructura.

Quins són els errors de seguretat més habituals en WordPress?

Els més freqüents són utilitzar contrasenyes febles, no actualitzar plugins, mantenir temes inactius instal·lats, concedir massa permisos als usuaris i no revisar mai els logs ni les còpies de seguretat.