La seguridad de una tienda WooCommerce en Perú descansa en tres frentes: quién puede entrar al panel (contraseñas, doble factor y permisos), cómo se cobra (que los datos de tarjeta nunca pasen por tu servidor y que no despaches pedidos con pagos falsos) y cómo cuidas los datos de tus clientes (lo que exige la Ley 29733). Si resuelves bien esos tres, eliminas la mayoría de los problemas que aparecen en tiendas pequeñas y medianas; los backups y el hosting son la red de seguridad cuando algo falla igual.
No hace falta ser experto ni gastar mucho. La mayor parte de las medidas son configuraciones y hábitos. En esta guía verás qué riesgos son reales para una tienda peruana, una lista de controles por prioridad, cuánto cuesta cada uno y qué hacer si algo sale mal.
Actualizado: octubre de 2026
En resumen
- Activa doble factor de autenticación para todos los usuarios con acceso al panel y elimina las cuentas que ya nadie usa.
- Usa una pasarela que procese la tarjeta en su propio entorno: así tu tienda nunca almacena números de tarjeta.
- No despaches un pedido pagado con Yape o transferencia sin verificar el abono en tu aplicación o tu banco.
- Mantén WordPress, WooCommerce y plugins actualizados, y no instales plugins piratas.
- Recoge solo los datos de clientes que necesitas, protégelos y ten un plan si hay una filtración: lo pide el reglamento de la Ley 29733.
- Ten backups fuera del hosting y prueba que se pueden restaurar.
Por qué la seguridad de tu tienda también es confianza
El comprador peruano todavía desconfía. Según la Cámara de Comercio de Lima, entre las personas que no compran por internet, el 48.3 % teme ser estafado y el 37.1 % teme perder los datos de su tarjeta. Una tienda que se ve segura y que lo es de verdad le quita argumentos a ese miedo.
Al mismo tiempo, los hábitos de los propios usuarios no ayudan. El estudio de la SBS sobre hábitos y riesgos de los usuarios de servicios financieros digitales, presentado en marzo de 2026, encontró que el 44 % guarda sus contraseñas en el dispositivo y que el 41 % cree que basta con cortar la tarjeta para evitar fraudes. Tus clientes, y probablemente también tu equipo, tienen esos mismos hábitos. Por eso la tienda debe estar diseñada para que un descuido no se convierta en un problema mayor.
Y el volumen crece: la SBS reporta que nueve de cada diez usuarios de servicios financieros digitales usa billetera digital. Más pagos digitales significan más intentos de fraude dirigidos a quien vende.
Los riesgos reales de una tienda WooCommerce peruana
Conviene separar los riesgos de película de los cotidianos. Estos son los que más afectan a tiendas pequeñas y medianas:
| Riesgo | Cómo suele ocurrir | Consecuencia | Prioridad |
|---|---|---|---|
| Robo de acceso al panel | Contraseña reutilizada o filtrada, sin doble factor | Cambian precios, roban datos o instalan malware | Alta |
| Plugin vulnerable o pirata | Plugin desactualizado o descargado «nulled» | Puerta trasera, redirecciones a spam, bloqueo de Google | Alta |
| Pago falso | Captura de Yape editada, voucher de transferencia falso | Despachas sin cobrar | Alta |
| Fraude con tarjeta robada | Compra con tarjeta de terceros | Contracargo: devuelves el dinero y pierdes el producto | Media |
| Filtración de datos de clientes | Acceso indebido, exportaciones de pedidos compartidas sin control | Riesgo legal (Ley 29733) y pérdida de confianza | Media |
| Caída o pérdida de la tienda | Hosting débil, actualización fallida sin backup | Días sin vender | Media |
Lo que tienen en común: casi todos se previenen con configuración y disciplina, no con herramientas caras.
Frente 1: contraseñas, accesos y permisos
La forma más común de entrar a una tienda no es «hackear» nada, sino iniciar sesión con una contraseña que alguien reutilizó. Estas medidas cierran esa puerta:
Contraseñas y doble factor
- Contraseñas únicas y largas para cada usuario del panel, guardadas en un gestor de contraseñas y no en una nota del celular.
- Doble factor de autenticación (2FA) obligatorio para administradores y gestores de tienda. Con una app de códigos basta. La guía de 2FA en WordPress explica cómo activarlo sin complicar a tu equipo.
- Límite de intentos de inicio de sesión para frenar los ataques de fuerza bruta.
Roles y cuentas
WooCommerce trae el rol «Gestor de tienda», que permite manejar pedidos y productos sin tocar la configuración del sitio. Úsalo para quien despacha o atiende. Reserva el rol de administrador para una o dos personas.
- Una cuenta por persona. Nada de «ventas@» compartida entre tres.
- Elimina o desactiva cuentas de exempleados, practicantes y proveedores el mismo día que dejan de trabajar contigo.
- Revisa cada trimestre la lista de usuarios con acceso al panel.
El correo también es una llave
Si alguien entra al correo del administrador, puede restablecer la contraseña de la tienda. Activa también el doble factor en ese correo y en la cuenta del hosting y del dominio.
Frente 2: pagos seguros y prevención de fraude
Que la tarjeta nunca toque tu servidor
El estándar internacional para manejar datos de tarjetas es PCI DSS, del PCI Security Standards Council. Cumplirlo por cuenta propia es complejo, por eso lo razonable para una tienda pequeña es delegarlo: usar una pasarela (izipay, Culqi, Niubiz, Mercado Pago u otra) en la que el cliente escribe los datos de su tarjeta en un formulario o página de la propia pasarela. Así tu WooCommerce solo recibe la confirmación del pago, no el número de la tarjeta.
Al elegir pasarela pregunta tres cosas: dónde se capturan los datos de la tarjeta, si incluye autenticación 3D Secure y qué herramientas antifraude ofrece. La guía de pasarelas de pago en Perú compara las opciones locales.
Yape, Plin y transferencias: verifica siempre
El fraude más frecuente en tiendas peruanas no es tecnológico: es una captura de pantalla editada que «demuestra» un pago que nunca llegó. Las reglas son simples:
- No despaches hasta ver el abono en tu aplicación o en tu banca por internet, no en la imagen que te envían.
- Pide que el cliente incluya el número de pedido en el mensaje del pago.
- Si puedes, usa una integración que confirme el pago automáticamente en lugar de validar a mano.
- Desconfía de compras grandes de clientes nuevos que piden urgencia y envío a terceros.
Contracargos con tarjeta
Si alguien compra con una tarjeta robada, el titular real puede desconocer el cargo y el banco revertirlo. Para reducir el riesgo: activa las herramientas antifraude de tu pasarela, guarda la evidencia de entrega (guía del courier, firma, fotos) y revisa manualmente pedidos con dirección de envío distinta a la de facturación y montos altos.
Frente 3: datos de tus clientes y la Ley 29733
Cada pedido deja nombre, DNI o RUC, dirección, teléfono y correo. Eso es información personal protegida por la Ley 29733, Ley de Protección de Datos Personales. Su nuevo reglamento, aprobado por el D.S. 016-2024-JUS, está vigente desde el 30 de marzo de 2025 e incluye, entre otras cosas, la figura del Oficial de Datos Personales y la obligación de gestionar incidentes de seguridad.
En la práctica, para una tienda WooCommerce eso se traduce en:
- Recoger solo lo necesario. Si no necesitas la fecha de nacimiento para vender, no la pidas.
- Política de privacidad clara y consentimiento separado para enviar publicidad.
- Controlar las exportaciones. Los archivos de pedidos que se descargan para el courier o el contador también son datos personales. No los dejes en carpetas compartidas abiertas.
- Borrar o anonimizar los datos que ya no necesitas, según los plazos que tengas que conservar por temas tributarios.
- Tener un procedimiento ante incidentes: quién decide, qué se revisa y cómo se comunica.
Para el detalle de obligaciones, revisa la guía de protección de datos personales para emprendedores. Antes de definir plazos, confirma lo que dice el texto oficial del reglamento o consulta con un abogado.
Mantenimiento: actualizaciones, plugins y hosting
Actualizaciones con método
La mayoría de infecciones en WordPress entran por plugins o temas con vulnerabilidades conocidas que nadie actualizó. Pero actualizar a ciegas una tienda también puede romper el checkout. El punto medio:
- Actualizaciones de seguridad: aplicarlas pronto, idealmente en la semana.
- Actualizaciones grandes de WooCommerce: probarlas antes en una copia de la tienda (entorno de pruebas).
- Suscribirte a avisos de vulnerabilidades de los plugins que usas. La guía de vulnerabilidades de plugins explica cómo enterarte a tiempo.
Nada de plugins piratas
Los plugins «nulled» que circulan gratis en foros y grupos suelen traer código malicioso escondido. Lo que te ahorras en la licencia lo pagas con una limpieza de malware. Más detalle en los riesgos de los plugins nulled.
Menos es más
Cada plugin es código que alguien tiene que mantener. Desinstala los que no usas (no basta con desactivarlos). Una tienda con 15 plugins bien elegidos es más fácil de cuidar que una con 50.
Hosting y certificado SSL
El SSL (el candado en el navegador) es obligatorio para cualquier tienda: cifra lo que viaja entre el cliente y tu web. La mayoría de hostings lo da gratis. Además, el hosting debería ofrecer una versión de PHP actual, firewall a nivel de servidor y aislamiento entre cuentas. El manual de seguridad de WordPress detalla buenas prácticas de configuración del servidor si tu equipo técnico quiere profundizar.
Plugins de seguridad y backups: qué sí necesitas
Un plugin de seguridad no reemplaza las medidas anteriores, pero ayuda con firewall de aplicación, escaneo de archivos y límite de intentos de inicio de sesión. No necesitas tres a la vez: suelen chocar entre sí. La comparación de si necesitas un plugin de seguridad ayuda a decidir.
Los backups son tu seguro. Para una tienda, el respaldo debe incluir la base de datos con los pedidos recientes, no solo los archivos. Tres reglas básicas:
- Copia diaria de la base de datos (o más frecuente si vendes mucho).
- Al menos una copia fuera del servidor del hosting.
- Prueba de restauración cada cierto tiempo: un backup que nunca se restauró es una suposición.
Cómo programarlos paso a paso está en copias de seguridad automáticas para tu tienda WooCommerce.
El factor humano: tu equipo y sus dispositivos
Una tienda puede tener el mejor plugin y caer por un mensaje de WhatsApp. Los ataques que más funcionan en negocios pequeños apuntan a las personas, no al servidor.
Engaños más comunes
- Correos falsos del «hosting» o del «banco» que piden iniciar sesión en un enlace parecido al real para «evitar la suspensión».
- Mensajes que se hacen pasar por la pasarela de pagos y piden actualizar las credenciales de la cuenta comercial.
- Supuestos clientes que envían archivos «con el detalle del pedido» que en realidad instalan software malicioso.
- Llamadas de falsos técnicos que piden un código que acaba de llegar por SMS.
Reglas sencillas para el equipo
- Nunca entrar al panel, al hosting o al banco desde un enlace recibido: escribir la dirección a mano o usar un marcador guardado.
- Ningún código de verificación se comparte, ni con alguien que dice ser de soporte.
- Celulares y laptops con bloqueo de pantalla, sistema actualizado y sin la contraseña de la tienda guardada en una nota.
- Si alguien pierde el celular con el que despacha pedidos, se cierra su sesión y se cambian sus accesos ese mismo día.
- Las redes wifi públicas no son lugar para administrar la tienda sin una conexión segura.
Dedica media hora al año a repasar estas reglas con quien atiende pedidos. Es la capacitación más barata que vas a dar.
Checklist de seguridad WooCommerce por prioridad
| Medida | Esfuerzo | Costo aproximado | Frecuencia |
|---|---|---|---|
| 2FA para administradores y gestores | Bajo | Gratis (plugin y app de códigos) | Una vez |
| Revisar usuarios y roles | Bajo | Gratis | Trimestral |
| Pasarela con captura externa de tarjeta y 3D Secure | Medio | Comisión por transacción de la pasarela | Una vez |
| Verificar pagos de Yape y transferencias antes de despachar | Bajo | Gratis | Cada pedido |
| Actualizar plugins, temas y WordPress | Medio | Tiempo propio o servicio de mantenimiento | Semanal |
| Backups externos y prueba de restauración | Medio | Gratis o plan de pago de un plugin de backup | Diaria / trimestral |
| Política de privacidad y control de exportaciones | Bajo | Gratis (o asesoría legal) | Anual |
| Plugin de seguridad con firewall | Bajo | Versión gratuita o licencia anual | Una vez |
Los costos de licencias cambian con frecuencia y suelen cobrarse en dólares: revísalos en la web de cada fabricante antes de presupuestar.
Qué hacer si tu tienda fue atacada
Si notas pedidos extraños, usuarios que no creaste, redirecciones a otras webs o un aviso de Google de sitio peligroso, actúa en este orden:
- No borres nada a ciegas. Guarda evidencia: capturas, registros del hosting, lista de usuarios.
- Cambia contraseñas del panel, del hosting, del correo y de la base de datos, desde un dispositivo limpio.
- Pon la tienda en mantenimiento si se están robando datos o cobrando en otra cuenta.
- Limpia o restaura desde un backup anterior al ataque, y luego actualiza todo.
- Evalúa si hubo datos personales comprometidos y qué obligaciones de gestión y comunicación tienes según el reglamento de la Ley 29733.
- Revisa tus pasarelas: que las credenciales de API no hayan cambiado y que los abonos sigan llegando a tu cuenta.
El protocolo completo está en qué hacer si hackearon tu WordPress.
Cómo trabaja KOM la seguridad de las tiendas
En KOM construimos tiendas en WordPress y WooCommerce con pasarelas peruanas integradas, SSL y hosting de alto rendimiento incluidos el primer año. Si vas a abrir tu tienda o quieres revisar la que ya tienes, mira los planes de tiendas virtuales de KOM y conversemos sobre qué medidas te faltan.
Este contenido es informativo y no reemplaza la asesoría legal o tributaria.
Preguntas frecuentes
¿WooCommerce es seguro para vender en Perú?
Sí, siempre que se mantenga. WooCommerce es software muy usado y revisado, y la mayoría de problemas vienen de contraseñas débiles, plugins desactualizados o hostings de baja calidad, no del núcleo. Con doble factor, actualizaciones regulares, una pasarela de pago confiable y backups externos, una tienda WooCommerce tiene un nivel de seguridad adecuado para una pyme.
¿Mi tienda debe guardar los datos de tarjeta de los clientes?
No, y es mejor que no lo haga. Lo recomendable es usar una pasarela donde el cliente ingresa la tarjeta en el entorno de la propia pasarela. Tu tienda solo recibe la confirmación del pago o un identificador. Si quieres ofrecer compras recurrentes, la pasarela puede guardar la tarjeta de forma segura por ti, sin que el número pase por tu servidor.
¿Cuánto cuesta mantener segura una tienda WooCommerce?
Varias medidas clave son gratuitas: doble factor, revisión de usuarios, SSL del hosting y verificación de pagos. Lo que suele tener costo es un plugin de backup o de seguridad en versión de pago, licencias de plugins legítimos y el tiempo de mantenimiento. Si no tienes a alguien que actualice cada semana, conviene contratar un servicio de mantenimiento.
¿Qué hago si un cliente me dice que le robaron la tarjeta después de comprar en mi tienda?
Tómalo en serio sin asumir culpa de inmediato. Revisa si tu tienda guarda datos de tarjeta (no debería), si hubo accesos extraños al panel y si otros clientes reportan lo mismo. Contacta a tu pasarela para que revise la transacción. Si encuentras indicios de filtración, sigue tu procedimiento de incidentes y evalúa tus obligaciones bajo la Ley 29733.
¿Es obligatorio tener un Oficial de Datos Personales en una tienda pequeña?
El reglamento de la Ley 29733 aprobado por el D.S. 016-2024-JUS introdujo la figura del Oficial de Datos Personales con plazos de implementación que dependen del tamaño de la empresa y del tipo de tratamiento. Revisa el texto oficial o consulta con un abogado para saber si y desde cuándo te aplica.
