WAF para WordPress: qué es, tipos y cómo elegir el tuyo

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Entre internet y tu WordPress debería haber un filtro que descarte el tráfico malicioso antes de que toque una sola línea de código PHP. Ese filtro es un WAF WordPress, o firewall de aplicaciones web. En esta guía, parte de nuestro pilar de seguridad y hardening de WordPress, explicamos qué es realmente un WAF, los tres tipos que existen, qué ataques detiene y —lo más importante— cómo elegir el tuyo sin comprar humo.

Qué es un WAF WordPress y qué hace de verdad

Un WAF WordPress es una capa que inspecciona cada petición HTTP que llega a tu web y decide si la deja pasar o la bloquea, según un conjunto de reglas. Mientras un firewall de red tradicional mira puertos e IPs, el WAF trabaja en la capa de aplicación: entiende que una petición contiene un intento de inyección SQL, un cross-site scripting o un intento de leer wp-config.php, y lo corta.

Su valor no es sustituir al parcheo, sino complementarlo. Cuando se publica una vulnerabilidad y todavía no has desplegado el parche, un WAF puede bloquear el patrón de explotación —el llamado virtual patching— y comprarte tiempo. El Learning Center de Wordfence documenta cómo esta cobertura frena campañas masivas contra fallos recién divulgados, muchos de los cuales aparecen a diario en el NVD del NIST.

Qué ataques bloquea un WAF

Un WAF bien configurado cubre buena parte del OWASP Top 10 y las técnicas más habituales contra WordPress:

• Inyección SQL: intentos de manipular consultas a la base de datos a través de parámetros.
• Cross-site scripting (XSS): inyección de scripts en campos y URLs.
• Inclusión de ficheros (LFI/RFI) y directory traversal: intentos de leer o ejecutar ficheros fuera de lo permitido.
• Fuerza bruta contra el login: oleadas de intentos contra wp-login.php y XML-RPC.
• Subida de ficheros maliciosos y explotación de vulnerabilidades conocidas de plugins.

El detalle de cómo se traducen estos ataques en reglas concretas lo desarrollamos en las reglas WAF esenciales contra las técnicas de ataque más comunes.

Los tres tipos de WAF y sus compromisos

WAF en la nube (basado en DNS)

Rediriges tu tráfico a través del proveedor cambiando los DNS; el WAF filtra en su red y solo el tráfico limpio llega a tu servidor. Es el modelo de mayor cobertura: filtra antes de tocar tu hosting, suele incluir mitigación de DDoS y CDN, y no consume recursos de tu servidor. A cambio, dependes de un tercero y hay que configurar bien el origen para que nadie salte el filtro atacando la IP directa.

WAF a nivel de servidor

Se instala en el propio servidor web (por ejemplo con ModSecurity y un conjunto de reglas como el Core Rule Set de OWASP). Da mucho control y no depende de un proveedor externo, pero requiere conocimientos de administración de sistemas para afinarlo y no protege frente a ataques volumétricos que saturan el ancho de banda antes de llegar.

WAF a nivel de aplicación (plugin)

Un plugin de seguridad que actúa como firewall dentro de WordPress. Es el más fácil de instalar y entiende el contexto de WordPress a la perfección, pero tiene una limitación estructural: el tráfico malicioso ya ha llegado a PHP cuando el plugin lo evalúa, así que ofrece menos protección frente a DDoS y consume recursos del propio sitio.

Cómo elegir el WAF adecuado

No hay un ganador universal; hay un ganador para tu caso. Estos criterios te orientan:

• Criticidad y datos: una tienda con datos de tarjeta o un entorno regulado justifica un WAF en la nube gestionado, con mitigación DDoS y virtual patching. Un blog puede empezar por un plugin sólido.
• Capacidad técnica: si no tienes quien administre reglas de ModSecurity, un servicio gestionado te evita un WAF mal configurado, que es casi peor que ninguno.
• Falsos positivos: un WAF demasiado agresivo bloquea a clientes legítimos. Prioriza los que permiten ajuste fino y modo de aprendizaje.
• Rendimiento: un WAF en la nube con CDN puede incluso acelerar la web; un plugin pesado puede ralentizarla. Y la velocidad importa para la seguridad y el SEO, como explicamos en web lenta = web en riesgo.

En PathSentinel desplegamos y afinamos WAF en entornos exigentes, incluidos banca y comercios con datos de tarjeta, donde un firewall mal ajustado no es una molestia sino un riesgo de cumplimiento.

El WAF no sustituye al hardening

Conviene decirlo claro: un WAF es una capa, no una coraza mágica. La documentación de Hardening WordPress deja claro que la seguridad es defensa en profundidad: contraseñas fuertes, permisos correctos, software actualizado y copias de seguridad. El WAF filtra lo que llega desde fuera; el hardening asegura que, si algo pasa, el daño sea mínimo. Juntos, no por separado.

Elegir bien el WAF es decidir dónde quieres poner tu filtro y cuánto control quieres mantener. Define primero tu nivel de riesgo, y el tipo adecuado casi se elige solo.