La Ley 29733 no menciona WordPress, pero su reglamento, el Decreto Supremo 016-2024-JUS, sí menciona los sitios web. Si tu WordPress recibe formularios, pedidos de WooCommerce o currículums, guarda datos personales, y eso te obliga a un mínimo de seguridad documentada: accesos con privilegios limitados y revisados cada semestre, un registro de actividad que se conserve al menos dos años, controles para que nadie copie las bases sin autorización, copias de seguridad al menos semanales con verificación, un documento de seguridad aprobado y un protocolo para notificar incidentes graves en 48 horas.
Nada de eso exige un presupuesto de banco. La mayoría se resuelve con buenas prácticas de WordPress que ya deberías aplicar: actualizar plugins, usar contraseñas únicas con doble factor, eliminar usuarios que ya no trabajan contigo y tener backups que funcionen. La diferencia es que ahora tienes que poder demostrarlo.
Esta guía traduce cada exigencia del reglamento a una configuración concreta en WordPress. No es una comparativa de plugins (para eso tenemos la comparativa honesta de plugins de seguridad y la lista de mejores plugins de seguridad para WordPress en 2026): es el mínimo legal convertido en tareas.
Actualizado: octubre de 2026
Lo esencial
- El reglamento de la Ley 29733 rige desde marzo de 2025 y alcanza a empresas de cualquier tamaño, incluidas las personas naturales con negocio.
- El artículo 46 pide gestión de accesos, registros de actividad por dos años y controles contra la copia no autorizada de datos.
- El artículo 51 exige respaldos al menos semanales con verificación de integridad.
- Los incidentes graves se notifican a la Autoridad Nacional de Protección de Datos Personales en un máximo de 48 horas (artículo 34).
- Los plugins concentran el 91 % de las vulnerabilidades nuevas de WordPress, según Patchstack: actualizar es la medida de seguridad más rentable.
- Tu hosting y tu agencia son «encargados»: responden ante ti, pero tú sigues siendo el responsable ante la ley.
Por qué la seguridad de WordPress ya es un tema legal
Durante años, la seguridad de una web pequeña se vio como un tema técnico: si te hackeaban, perdías unos días y pagabas una limpieza. Con el nuevo reglamento cambia la ecuación. Si el ataque expone los datos que tus clientes dejaron en formularios o pedidos, el problema ya no es solo tuyo: es de las personas afectadas, y la ley te pide haber tomado medidas razonables antes y actuar rápido después.
WordPress no es inseguro en sí mismo. El núcleo tuvo apenas seis vulnerabilidades reportadas en 2025, todas de baja prioridad, según el informe State of WordPress Security de Patchstack. El riesgo está alrededor: ese mismo informe contabiliza 11,334 vulnerabilidades nuevas en el ecosistema durante 2025 (42 % más que en 2024), el 91 % en plugins y el 9 % en temas. Además, calcula que la mediana entre la publicación de una vulnerabilidad grave y su explotación masiva fue de unas cinco horas, y que el 46 % no tenía parche disponible cuando se hizo pública.
Del lado del usuario, el panorama tampoco ayuda. La SBS reportó en 2026 que el 44 % de los usuarios de servicios financieros digitales guarda sus contraseñas en el dispositivo. Si tus administradores hacen lo mismo con la clave de tu WordPress, un celular perdido basta para abrir la puerta.
Qué exige el reglamento y cómo se traduce en WordPress
El texto oficial del D.S. 016-2024-JUS no habla de plugins ni de servidores, pero sus obligaciones tienen un equivalente directo. Si quieres el panorama completo de la norma, revisa lo que cambió con el D.S. 016-2024-JUS.
| Artículo | Qué exige | Cómo se aplica en WordPress |
|---|---|---|
| 46 | Gestión de accesos y privilegios, revisada al menos cada semestre | Usuarios nominales, roles mínimos, doble factor y una revisión semestral documentada |
| 46 | Registros de quién accede y qué hace con los datos, conservados dos años | Plugin de registro de actividad con retención de 24 meses y copia fuera del servidor |
| 46 | Controles para que personal no autorizado no copie las bases | Restringir exportaciones de formularios y pedidos a pocos usuarios; no compartir accesos |
| 47 | Documento de seguridad aprobado, con fecha cierta e inventario de datos | Documento de 4 a 8 páginas: qué datos guarda la web, dónde, quién accede y qué medidas hay |
| 51 | Respaldos al menos semanales con verificación de integridad | Backup automático diario o semanal fuera del hosting y restauración de prueba periódica |
| 34 | Notificar incidentes graves en 48 horas a la autoridad y a los afectados | Protocolo escrito: quién detecta, quién decide y quién notifica |
| 29, 30 y 36 | Obligaciones del encargado del tratamiento | Contrato o cláusula con tu hosting, agencia o programador |
Control de accesos: usuarios, roles y doble factor
Un problema muy común en webs de MYPEs: un único usuario «admin» que conocen el dueño, el diseñador que hizo la web hace tres años, el practicante de redes y la agencia actual. Eso hace imposible saber quién hizo qué y vuelve inútil cualquier registro de actividad.
Un usuario por persona
Cada persona que entra al panel debe tener su propio usuario con su correo. Si alguien deja de trabajar contigo, se elimina o se degrada su usuario ese mismo día. Nunca compartas una cuenta.
El rol mínimo necesario
WordPress trae roles predefinidos: administrador, editor, autor, colaborador y suscriptor; WooCommerce añade el de gestor de tienda. Quien solo publica artículos no necesita ser administrador; quien despacha pedidos necesita ver pedidos, no instalar plugins. Lo razonable es tener uno o dos administradores como máximo.
Doble factor para los roles con acceso a datos
Activa la autenticación de dos factores para administradores, editores y gestores de tienda. Con una app de códigos en el celular es suficiente, y la configuración tarda pocos minutos. Lo explicamos paso a paso en 2FA en WordPress sin fricción. Añade límite de intentos de inicio de sesión y bloqueo temporal tras varios fallos.
La revisión semestral
El artículo 46 pide revisar accesos y privilegios al menos cada semestre. Pon dos fechas fijas en el calendario (por ejemplo, enero y julio), exporta la lista de usuarios, revisa quién sigue y quién no, y guarda el resultado con fecha. Ese archivo es tu evidencia.
No olvides los accesos que no están en WordPress: el panel del hosting, el acceso FTP o SFTP, la base de datos, el registrador del dominio y la cuenta de correo que recupera todas las contraseñas.
Registro de actividad que dure dos años
WordPress no guarda por defecto quién entró, qué cambió ni quién exportó la lista de pedidos. Para eso necesitas un plugin de registro de actividad, como WP Activity Log u otro similar, configurado para conservar al menos 24 meses.
Tres detalles que suelen pasarse por alto:
- Retención real. Muchos plugins borran registros antiguos por defecto para no llenar la base de datos. Revisa la configuración y ajústala a dos años.
- Copia fuera del servidor. Si el atacante entra como administrador, puede borrar el registro. Exportarlo periódicamente o enviarlo a un servicio externo lo protege.
- Qué registrar. Inicios de sesión (exitosos y fallidos), cambios de usuarios y roles, instalación de plugins, exportaciones de formularios y pedidos, y cambios en la configuración.
Revisa el registro al menos una vez al mes. Un inicio de sesión de madrugada desde otro país o un administrador nuevo que nadie creó son las primeras señales de un problema.
Copias de seguridad semanales que sí se puedan restaurar
El artículo 51 pide respaldos al menos semanales con verificación de integridad. Para una web con formularios o tienda, lo recomendable es diario, porque cada día genera datos nuevos. La palabra clave es «verificación»: un backup que nunca se probó no cuenta como backup.
- Fuera del hosting. Si el servidor falla o el hosting cierra tu cuenta, el respaldo debe estar en otro lugar (almacenamiento en la nube, otro proveedor). Te explicamos por qué en la estrategia de backups 3-2-1.
- Base de datos y archivos. La base guarda pedidos y formularios; los archivos guardan imágenes, temas y plugins. Necesitas los dos.
- Cifrados y con acceso limitado. El backup contiene los mismos datos personales que la web. Si lo guardas en una carpeta compartida con medio equipo, creaste otra fuga posible.
- Restauración de prueba. Una vez al trimestre, restaura el backup en un entorno de pruebas y comprueba que la web funciona. Anota la fecha y el resultado.
Actualizaciones: la medida más rentable
Si con cinco horas de mediana una vulnerabilidad grave pasa de publicarse a explotarse masivamente, actualizar «cuando haya tiempo» no es una opción. Lo mínimo:
- Actualizaciones menores y de seguridad del núcleo, automáticas.
- Plugins y temas revisados al menos una vez por semana, con un backup previo.
- Plugins abandonados (sin actualizaciones en más de un año) reemplazados por alternativas mantenidas.
- Plugins y temas que no usas, eliminados, no solo desactivados.
- Una versión de PHP con soporte vigente en tu hosting.
Para enterarte de las vulnerabilidades que afectan a tus plugins antes de que te afecten a ti, revisa cómo enterarte de vulnerabilidades de plugins. Un firewall de aplicación web (en el plugin o en un servicio externo) agrega una capa útil mientras sale el parche, pero no reemplaza la actualización.
Dónde viven los datos personales en tu WordPress
No puedes proteger lo que no sabes que tienes. Antes de escribir el documento de seguridad, haz el inventario:
| Lugar | Datos típicos | Medida recomendada |
|---|---|---|
| Envíos de formularios | Nombre, celular, correo, consulta | Borrar envíos antiguos de forma programada; limitar quién puede exportarlos |
| Pedidos de WooCommerce | Nombre, DNI o RUC, dirección, teléfono | Acceso solo para gestores de tienda; nunca guardar datos completos de tarjeta |
| Currículums de postulantes | Datos laborales, a veces sensibles | Carpeta protegida o envío directo a correo de RR. HH.; borrar tras el proceso |
| Usuarios registrados | Correo, contraseña cifrada, historial | Contraseñas robustas y doble factor para cuentas con privilegios |
| Libro de Reclamaciones virtual | Datos del consumidor y del reclamo | Conservación según la norma de consumo y acceso restringido |
| Backups y exportaciones | Todo lo anterior | Cifrado, almacenamiento externo y borrado de exportaciones sueltas |
Una buena regla es guardar menos. Si el formulario envía la consulta por correo al vendedor y tu CRM la registra, quizá no necesitas que WordPress guarde una copia para siempre. Y los datos de tarjeta deben quedarse en la pasarela de pago (Izipay, Niubiz, Culqi, Mercado Pago u otra), nunca en tu servidor.
Hosting, HTTPS y encargados de tratamiento
Tu proveedor de hosting, tu agencia y tu programador tratan datos por encargo tuyo. Según los artículos 29, 30 y 36 del reglamento, deben guardar confidencialidad, no pueden quedarse con tus bases y deben avisarte de inmediato si hay un incidente. Pero si algo sale mal, ante la autoridad respondes tú. Por eso conviene:
- Firmar un contrato o una cláusula de encargo de tratamiento con cada proveedor que accede a la web.
- Limitar sus accesos al mínimo y quitarlos cuando termina el trabajo.
- Saber en qué país están los servidores: si están fuera del Perú, hay un flujo transfronterizo que debes informar en tu política de privacidad.
- Usar HTTPS en todo el sitio, incluido el panel de administración, con redirección forzada desde HTTP.
- Elegir un hosting que aísle cuentas, haga sus propios respaldos y ofrezca acceso SFTP en lugar de FTP sin cifrar.
Para el detalle técnico de las obligaciones, revisa seguridad de datos personales en Perú.
Documento de seguridad y protocolo de incidentes
El artículo 47 pide un documento de seguridad aprobado, con fecha cierta. Para una MYPE no necesita ser un manual extenso. Un documento de pocas páginas que responda estas preguntas suele ser suficiente como punto de partida:
- ¿Qué bancos de datos tiene la web y para qué se usan?
- ¿Dónde están alojados (hosting, país, backups)?
- ¿Quién tiene acceso y con qué rol?
- ¿Qué medidas técnicas se aplican (doble factor, registro, backups, actualizaciones, firewall)?
- ¿Cada cuánto se revisan y quién lo hace?
- ¿Qué se hace si ocurre un incidente?
El protocolo de incidentes es la parte más urgente. Si un incidente expone gran volumen de datos, datos sensibles o causa un perjuicio evidente, el artículo 34 exige notificarlo a la Autoridad Nacional de Protección de Datos Personales como máximo dentro de las 48 horas de conocerlo, y avisar también a los titulares afectados. Cuando el incidente ocurre en el entorno digital, se notifica además al Centro Nacional de Seguridad Digital. Escribe hoy quién decide si un incidente es grave, quién redacta el aviso y con qué datos de contacto. En plena crisis no hay tiempo para pensarlo.
Checklist mínimo según el tamaño de tu web
| Medida | Web informativa con formulario | Tienda WooCommerce |
|---|---|---|
| Usuarios nominales y roles mínimos | Sí | Sí |
| Doble factor | Administradores | Administradores y gestores de tienda |
| Registro de actividad (2 años) | Sí | Sí, con alertas de exportación |
| Backups | Semanales, externos | Diarios, externos |
| Restauración de prueba | Semestral | Trimestral |
| Revisión de actualizaciones | Semanal | Semanal, con entorno de pruebas |
| Firewall de aplicación | Recomendado | Sí |
| Documento de seguridad y protocolo | Sí | Sí |
Cuánto cuesta cumplir y cuánto cuesta no hacerlo
La mayoría de estas medidas se puede aplicar con herramientas gratuitas o de bajo costo y unas horas de trabajo al mes. El costo real está en la disciplina: alguien tiene que revisar actualizaciones, probar backups y actualizar el documento.
No hacerlo también tiene precio. La escala de multas está en el artículo 39 de la Ley 29733 y se calcula en UIT; con la UIT de 2026 en S/ 5,500, una infracción leve va de S/ 2,750 a S/ 27,500 y una grave, como no notificar un incidente cuando corresponde, de más de S/ 27,500 a S/ 275,000. La multa no puede superar el 10 % de los ingresos brutos del ejercicio anterior. A eso se suma lo que no aparece en ninguna resolución: la confianza de los clientes cuyos datos se filtraron.
Si quieres una web que cumpla desde el inicio
Cuando construimos una web en KOM partimos de usuarios nominales, HTTPS, formularios con consentimiento según la normativa peruana y backups configurados. Los planes de diseño web de KOM empiezan en S/ 1,250 + IGV (Plan Profesional) e incluyen hosting, dominio .com, SSL y correos corporativos el primer año; la renovación anual publicada es de S/ 450. Si ya tienes una web en WordPress y no sabes en qué estado está, podemos revisarla contigo.
Y si el problema ya ocurrió, revisa el protocolo de emergencia cuando hackean tu WordPress.
Preguntas frecuentes
¿Un plugin de seguridad basta para cumplir la Ley 29733?
No. Un plugin como Wordfence o similar cubre parte de las medidas técnicas, como el firewall, el límite de intentos de acceso o el escaneo de archivos, pero el reglamento también pide gestión de accesos revisada, registros por dos años, backups verificados, un documento de seguridad y un protocolo de incidentes. Son procesos que alguien tiene que ejecutar y documentar, no solo un software instalado.
¿Tengo que inscribir mi web ante la Autoridad de Protección de Datos?
Lo que se inscribe no es la web, sino los bancos de datos que gestiona, como el de clientes o contactos y el de postulantes si recibes currículums. Según el reglamento, la inscripción en el Registro Nacional de Protección de Datos Personales es gratuita y de aprobación automática. La seguridad del WordPress es una obligación aparte que aplica tengas o no la inscripción al día.
¿Si uso un hosting extranjero estoy incumpliendo la ley?
No necesariamente. Alojar la web fuera del Perú es legal, pero implica un flujo transfronterizo de datos personales que debes informar en tu política de privacidad y considerar en tus registros. Conviene elegir proveedores con medidas de seguridad documentadas y contar con condiciones contractuales sobre confidencialidad y aviso de incidentes. Lo que importa es que sepas dónde están tus datos y lo declares.
¿Cada cuánto debo cambiar las contraseñas de WordPress?
Más importante que cambiarlas por calendario es que sean únicas, largas y estén protegidas con doble factor. Cámbialas de inmediato cuando alguien deja el equipo, cuando termina el trabajo de un proveedor o cuando sospechas de un acceso indebido. Usa un gestor de contraseñas en lugar de guardarlas en notas del celular o en el navegador de una computadora compartida.
¿Qué hago si mi agencia anterior todavía tiene acceso a mi web?
Retíraselo hoy mismo. Elimina o degrada sus usuarios de WordPress, cambia las contraseñas del hosting, del FTP y de la base de datos, y revisa que el dominio esté a tu nombre. Luego verifica en el registro de actividad que no haya cambios recientes que no reconozcas. Si la agencia administraba tus datos, pídele por escrito que confirme que no conserva copias.
Este contenido es informativo y no reemplaza la asesoría legal o tributaria.
