Un firewall para WordPress, o WAF (web application firewall), es un filtro que revisa cada visita antes de que llegue a tu web y bloquea las que parecen ataques. Hay tres lugares donde puede estar: en la red, antes de tu servidor (como Cloudflare); en el propio servidor del hosting (ModSecurity o Imunify360, por ejemplo); o dentro de WordPress, como plugin (Wordfence y similares). No son excluyentes: cada capa ve cosas que las otras no ven.
Para la mayoría de MYPEs peruanas, la combinación razonable es Cloudflare en su plan gratuito bien configurado, el firewall que ya incluye un buen hosting y, solo si hace falta, un plugin de seguridad. Pagar un plan superior tiene sentido para tiendas con ventas importantes o webs que ya sufrieron ataques. En esta comparativa verás qué protege cada capa, cuánto cuesta en soles y cómo elegir según tu caso.
Actualizado: octubre de 2026
Lo esencial
- Según Patchstack, en 2025 se reportaron 11,334 vulnerabilidades nuevas en el ecosistema WordPress; el 91 % estaba en plugins y el 46 % no tenía parche al momento de hacerse pública.
- Un WAF no reemplaza las actualizaciones: gana tiempo mientras llega el parche y frena ataques automatizados.
- Cloudflare gratis incluye un conjunto de reglas administradas para vulnerabilidades muy explotadas y 5 reglas personalizadas.
- Wordfence gratis aplica las reglas nuevas con 30 días de retraso; la versión Premium las recibe en tiempo real y cuesta US$ 149 al año por sitio.
- El firewall del hosting existe en muchos planes, pero pocas veces se explica qué reglas usa. Pregúntalo por escrito.
- Más capas no siempre es mejor: dos plugins de seguridad a la vez suelen chocar y ralentizar la web.
Por qué una web WordPress necesita un firewall
La mayoría de ataques a webs de empresas pequeñas no son personales. Son bots que recorren internet probando contraseñas y fallas conocidas de plugins. El informe State of WordPress Security in 2026 de Patchstack da una idea del ritmo: la mediana de tiempo hasta la explotación masiva de las vulnerabilidades más atacadas fue de cinco horas. Si un plugin de tu web tiene una falla publicada un viernes por la noche, es poco realista esperar que alguien la actualice antes de que lleguen los bots.
Ahí entra el WAF. Su trabajo es reconocer patrones de ataque (una inyección SQL, un intento de subir un archivo malicioso, miles de intentos de inicio de sesión) y cortarlos antes de que lleguen al código vulnerable. Pero ojo: el mismo informe señala que, en sus pruebas, las defensas tradicionales de hosting solo bloquearon el 12 % de los ataques dirigidos a vulnerabilidades específicas de WordPress. Patchstack vende soluciones de seguridad, así que conviene leer esa cifra con cautela, pero la conclusión es útil: un firewall genérico no conoce los detalles de cada plugin. Necesitas también un proceso para enterarte de las vulnerabilidades y actualizar, como explicamos en cómo enterarte de las vulnerabilidades de plugins.
Las tres capas de un WAF, explicadas sin tecnicismos
Imagina tu web como un local en un centro comercial. El vigilante de la entrada general del centro comercial es la capa de red. El de la puerta de tu tienda es la capa del servidor. Y el empleado que conoce a cada cliente dentro del local es la capa de aplicación.
Capa de red (en el borde): Cloudflare y similares
El tráfico pasa primero por los servidores del proveedor y solo lo legítimo llega a tu hosting. La ventaja es enorme: los ataques ni siquiera consumen recursos de tu servidor. La limitación es que no ve lo que pasa dentro de WordPress: no sabe qué usuario está conectado ni qué plugin procesa la petición.
Capa de servidor: el firewall del hosting
Muchos hostings con cPanel o paneles similares usan módulos como ModSecurity, con conjuntos de reglas genéricas, o soluciones comerciales como Imunify360. Funcionan para todos los sitios del servidor. Su eficacia depende mucho de cómo los configure el proveedor y de qué tan seguido actualice las reglas, algo que rara vez se publica.
Capa de aplicación: el plugin dentro de WordPress
Wordfence, por ejemplo, se describe en su página oficial como un firewall de punto final, integrado con WordPress. Al estar dentro, entiende el contexto (usuarios, roles, plugins instalados) y no se puede eludir yendo directo a la IP del servidor. El costo es que corre en PHP en tu propio hosting: cada visita, incluidas las de los bots, consume recursos antes de ser bloqueada.
Comparativa: Cloudflare, Wordfence y el firewall del hosting
| Criterio | Cloudflare (red) | Wordfence (aplicación) | Firewall del hosting (servidor) |
|---|---|---|---|
| Dónde filtra | Antes de llegar a tu servidor | Dentro de WordPress | En el servidor, antes de WordPress |
| Consume recursos de tu hosting | No | Sí, en cada petición | Sí, pero a nivel del servidor |
| Conoce el contexto de WordPress | Poco | Sí | Poco |
| Frena ataques de volumen y bots | Muy bien | Limitado: el bot ya llegó a tu servidor | Depende de la configuración |
| Versión gratuita | Sí, con reglas administradas básicas | Sí, con reglas y firmas con 30 días de retraso | Incluida en el plan (si existe) |
| Versión de pago | Pro: US$ 20 al mes con pago anual o US$ 25 mes a mes | Premium: US$ 149 al año por sitio | Incluida en planes administrados o como extra |
| Quién lo configura | Tú o tu agencia, en el panel de Cloudflare | Tú o tu agencia, en el panel de WordPress | El hosting; tú casi no tienes control |
Precios consultados el 25 de octubre de 2026 en las páginas de planes de Cloudflare y de precios de Wordfence. No incluyen IGV.
Cloudflare: qué te da gratis y cuándo pagar
Según la documentación de Cloudflare, el plan gratuito incluye el «Cloudflare Free Managed Ruleset», un conjunto de reglas para vulnerabilidades de alto impacto y explotadas de forma masiva. Los planes Pro, Business y Enterprise suman el conjunto completo de reglas administradas de Cloudflare y el de OWASP, mucho más amplios. En reglas personalizadas, la documentación de reglas personalizadas indica un máximo de 5 en el plan gratuito, 20 en Pro y 100 en Business.
Reglas personalizadas útiles en el plan gratuito
Con 5 reglas puedes cubrir lo esencial de una web WordPress:
- Proteger el acceso: desafío (captcha administrado) para
wp-login.phpy/wp-admin/, excepto paraadmin-ajax.php, que usan muchos plugins en la parte pública. - Bloquear
xmlrpc.phpsi no usas la app móvil de WordPress ni servicios que lo necesiten. - Desafío por país para el acceso al administrador si tu equipo solo trabaja desde el Perú. No bloquees países en toda la web si vendes al exterior o tienes turistas como público.
- Bloquear rutas que no existen en tu web pero que los bots prueban a diario (por ejemplo, archivos de configuración expuestos).
- Una regla de reserva para reaccionar rápido ante una vulnerabilidad nueva mientras actualizas.
Si estás empezando con Cloudflare, sigue primero la configuración inicial correcta de Cloudflare gratis y, para la caché, las reglas de Cloudflare para WordPress.
Cuándo pagar el plan Pro
El plan Pro cuesta US$ 240 al año con pago anual. Con el tipo de cambio referencial de S/ 3.45, son unos S/ 828 al año, sin IGV. Se justifica si tienes una tienda con ventas diarias, si tu web maneja datos sensibles (formularios con DNI, historias clínicas, postulaciones) o si ya sufriste un ataque que el plan gratuito no frenó. Para una web informativa de cinco páginas, el plan gratuito bien configurado suele bastar.
Un detalle técnico que muchos olvidan
Cloudflare solo protege si el tráfico pasa por él. Si la IP real de tu servidor es pública, un atacante puede saltarse Cloudflare y atacar directo al hosting. Pídele a tu proveedor que el servidor acepte conexiones web solo desde las IP de Cloudflare, o al menos que no publiques la IP en registros DNS sin proxy (por ejemplo, un subdominio «ftp» o «mail» que apunte al mismo servidor).
Wordfence y otros plugins: qué aporta el firewall dentro de WordPress
Wordfence es el plugin de seguridad más instalado del directorio oficial, con más de 5 millones de instalaciones activas según su página en WordPress.org. Su firewall bloquea patrones de ataque, limita intentos de inicio de sesión y, en la versión gratuita, recibe las reglas nuevas y las firmas de malware con 30 días de retraso. La versión Premium las recibe en tiempo real y suma una lista de IP maliciosas actualizada al momento.
Ese retraso de 30 días es la clave de la decisión. Si una vulnerabilidad se explota en horas, una regla que llega un mes después sirve de poco para ese ataque concreto. Por eso, con la versión gratuita, el firewall del plugin es una capa más, no la principal.
Otras opciones que verás en el mercado:
- Parches virtuales: servicios como Patchstack publican reglas específicas para la vulnerabilidad de un plugin concreto, pensadas para proteger mientras el autor publica la corrección.
- Suites de seguridad todo en uno: combinan firewall, escáner, 2FA y endurecimiento. Comparamos las principales en ¿necesitas un plugin de seguridad?
Una regla práctica: no instales dos plugins de seguridad con firewall a la vez. Se pisan, duplican el trabajo en cada visita y complican el diagnóstico cuando algo se rompe.
El firewall de tu hosting: qué preguntar antes de confiar
Muchos hostings anuncian «firewall incluido» o «protección contra ataques». Puede significar mucho o casi nada. Antes de darlo por resuelto, pide al soporte que te responda por escrito:
- ¿Qué tecnología usan (ModSecurity, Imunify360, una solución propia)?
- ¿Qué conjunto de reglas aplican y cada cuánto se actualiza?
- ¿Tienen reglas específicas para WordPress o solo genéricas?
- ¿Puedo ver los bloqueos o pedir un informe si algo legítimo queda bloqueado?
- ¿Qué hacen si detectan una web infectada en el servidor: me avisan, la suspenden, la limpian?
Un hosting administrado para WordPress suele responder bien a estas preguntas, porque la seguridad es parte de lo que cobra. Evaluamos si vale la diferencia de precio en hosting administrado: ¿vale lo que cuesta?
Qué combinación elegir según tu caso
| Tipo de web | Combinación recomendada | Costo aproximado anual (sin IGV) |
|---|---|---|
| Web informativa de pocas páginas | Cloudflare gratis con reglas personalizadas + firewall del hosting + actualizaciones al día | S/ 0 adicional |
| Web con formularios de contacto y blog activo | Lo anterior + plugin de seguridad gratuito (sin duplicar firewall) + 2FA | S/ 0 adicional |
| Tienda WooCommerce con ventas diarias | Cloudflare Pro + firewall del hosting + plugin con reglas en tiempo real o parches virtuales | Desde unos S/ 828 (Cloudflare Pro), más el plugin elegido |
| Web que maneja datos sensibles | Como la tienda, más monitoreo de cambios y revisión periódica de accesos | Según alcance |
Ejemplo ilustrativo: un ataque de fuerza bruta al login
Supongamos que una distribuidora de repuestos de Chiclayo recibe 20,000 intentos de inicio de sesión al día desde bots. Si solo tiene un plugin de seguridad, cada uno de esos 20,000 intentos llega al servidor, carga WordPress y recién ahí se bloquea: el hosting trabaja para el atacante y la web puede ir lenta para los clientes reales. Si además tiene una regla de Cloudflare que pide un desafío en wp-login.php, los bots, que no lo resuelven, se quedan en la red y el servidor solo atiende al personal que entra a trabajar. El plugin sigue siendo útil para los pocos intentos que pasen ese primer filtro y para limitar intentos por usuario.
En una tienda, el riesgo no es solo técnico: también hay datos de clientes y pagos. Revisa la guía de seguridad WooCommerce en Perú para el resto de medidas.
Lo que ningún firewall hace por ti
Un WAF reduce el riesgo, pero no lo elimina. Estas tareas siguen siendo tuyas o de tu proveedor de mantenimiento:
- Actualizar núcleo, plugins y tema con un proceso ordenado.
- Retirar plugins abandonados o que ya no usas: cada plugin es una puerta.
- Contraseñas únicas y 2FA para todos los administradores.
- Copias de seguridad fuera del hosting, probadas de vez en cuando.
- Endurecer la configuración: permisos de archivos, editor de archivos desactivado, roles con mínimo privilegio. Las 20 medidas, ordenadas por esfuerzo, están en hardening WordPress.
Además, si tu web recopila datos personales, la Ley 29733 y su reglamento (D.S. 016-2024-JUS) exigen medidas de seguridad adecuadas y gestionar los incidentes. Un firewall bien configurado y documentado forma parte de esas medidas.
Cómo saber si tu firewall está funcionando
Configurar un WAF y olvidarlo es casi tan malo como no tenerlo. Una vez al mes revisa:
- El registro de eventos de Cloudflare (Seguridad → Eventos): cuántas peticiones se bloquearon y por qué regla. Si ves bloqueos a visitantes reales, ajusta.
- El panel del plugin de seguridad: intentos de inicio de sesión bloqueados y alertas.
- Los formularios y el pago: prueba que sigan funcionando. Una regla demasiado estricta puede bloquear el formulario de contacto o la pasarela.
- Las alertas de vulnerabilidades de los plugins que usas, para saber si necesitas una regla temporal.
Si tienes dudas de si ya te atacaron, estas 10 señales de una web hackeada te ayudan a revisar.
Una web bien protegida empieza por cómo se construye: hosting adecuado, pocos plugins y bien elegidos, y una configuración pensada desde el día uno. Si quieres una web WordPress con Cloudflare y las medidas de seguridad configuradas desde el lanzamiento, conoce nuestro servicio de diseño web en WordPress.
Preguntas frecuentes
¿Cloudflare gratis es suficiente para proteger una web WordPress?
Para una web informativa pequeña, el plan gratuito de Cloudflare bien configurado suele cubrir lo esencial: reglas administradas para vulnerabilidades muy explotadas, protección básica contra bots y hasta 5 reglas personalizadas para proteger el acceso al administrador. No reemplaza las actualizaciones ni las contraseñas seguras. Si tienes una tienda con ventas diarias o manejas datos sensibles, conviene evaluar el plan Pro u otra capa adicional.
¿Puedo usar Cloudflare y Wordfence al mismo tiempo?
Sí, y es una combinación habitual. Cloudflare filtra el tráfico antes de que llegue a tu servidor y Wordfence protege desde dentro de WordPress. Solo hay que configurar Wordfence para que reconozca la IP real de los visitantes que llegan a través de Cloudflare; si no, puede bloquear a Cloudflare entero por error. Lo que no conviene es sumar otro plugin con firewall encima de Wordfence.
¿Un firewall hace más lenta mi web?
Depende de la capa. Un firewall en la red, como Cloudflare, no consume recursos de tu hosting y, con la caché bien configurada, puede incluso acelerar la web. Un firewall dentro de WordPress procesa cada petición en tu servidor, así que en hostings con pocos recursos puede notarse, sobre todo cuando muchos bots atacan a la vez. Por eso conviene frenar el volumen antes, en la red.
¿Qué hago si el firewall bloquea a clientes reales?
Revisa el registro de eventos del firewall para identificar qué regla causó el bloqueo, a qué hora y desde qué país o IP. Luego ajusta esa regla: puedes cambiar un bloqueo por un desafío, excluir una ruta concreta como el formulario o la pasarela de pago, o crear una excepción. Después prueba el flujo completo como cliente desde un celular con datos móviles y desde otra red.
¿El SSL o el candado ya protege mi web contra ataques?
No. El certificado SSL cifra la conexión entre el visitante y tu web, para que nadie intercepte los datos en el camino, pero no filtra lo que llega. Un ataque también puede viajar por una conexión segura con candado. El SSL es obligatorio y básico, pero la protección contra intentos de explotación la da el firewall, junto con las actualizaciones y una buena configuración.
Este contenido es informativo y no reemplaza la asesoría legal o tributaria.
