Seguridad de tu tienda online antes de Black Friday: WordPress, pasarelas de pago y cuentas de Google
Cuando se acerca Black Friday, la mayoría de las tiendas online concentra sus esfuerzos en preparar descuentos, campañas publicitarias y nuevos productos. Sin embargo, hay un aspecto que no debería quedar para el último momento: la seguridad.
Una web comprometida puede dejar de funcionar, mostrar contenido malicioso, enviar correos no autorizados o utilizar recursos del servidor sin que el propietario lo detecte inmediatamente.
Y el problema no afecta únicamente a las ventas. Una incidencia de seguridad puede comprometer la confianza de los clientes, alterar el funcionamiento de la tienda y generar costes de recuperación importantes.
Durante 2026 hemos tenido nuevos recordatorios de la importancia del mantenimiento preventivo, como la vulnerabilidad crítica conocida como wp2shell en WordPress. Además, Google ha anunciado nuevas medidas de protección para determinadas acciones sensibles en Merchant Center.
Veamos qué ha ocurrido y qué deberías revisar antes de las próximas campañas comerciales.
Una tienda online desactualizada puede convertirse en un problema de seguridad
WordPress, WooCommerce y PrestaShop son plataformas que evolucionan continuamente.
Sus actualizaciones no incorporan únicamente mejoras visuales o nuevas funcionalidades. También corrigen errores y vulnerabilidades que podrían permitir accesos no autorizados.
Cuando una tienda acumula versiones antiguas del sistema, módulos o plugins, aumenta el riesgo de que un atacante aproveche alguno de esos fallos.
Durante campañas comerciales, además, las consecuencias de una incidencia pueden ser especialmente perjudiciales: una interrupción del proceso de compra significa pedidos que no llegan a completarse justo cuando has invertido tiempo y presupuesto en atraer clientes.
Esto no significa que todos los ataques se produzcan durante Black Friday, sino que el impacto económico de una caída puede ser mayor en los días de máxima actividad.
¿Qué es wp2shell y por qué ha afectado a WordPress?
En julio de 2026 se dieron a conocer dos vulnerabilidades en el núcleo de WordPress que, utilizadas conjuntamente, podían permitir comprometer una instalación sin necesidad de iniciar sesión.
Esta cadena de explotación recibió el nombre de wp2shell y se relaciona con las vulnerabilidades CVE-2026-63030 y CVE-2026-60137.
El problema se corrigió mediante actualizaciones de seguridad de WordPress.
Entre las ramas afectadas se encontraban versiones anteriores a:
- WordPress 6.8.6.
- WordPress 6.9.5.
- WordPress 7.0.2.
También existieron versiones de desarrollo afectadas.
Por tanto, si tu tienda utilizaba una de las versiones vulnerables durante el periodo de exposición, conviene revisar su historial, incluso aunque actualmente esté actualizada.
¿Es suficiente con actualizar WordPress?
No siempre.
Una actualización elimina la vulnerabilidad conocida de la versión anterior, pero no necesariamente revierte los cambios realizados por un atacante que ya haya conseguido acceder.
Por ejemplo, si se ha creado una cuenta de administrador no autorizada, se han modificado archivos o se ha instalado código malicioso, actualizar el núcleo de WordPress no garantiza por sí solo que todos esos elementos desaparezcan.
Si sospechas que tu tienda ha podido verse afectada, es recomendable realizar una revisión de seguridad que incluya los archivos del servidor, los usuarios, la base de datos y los registros disponibles.
Cinco señales de que tu tienda online podría estar comprometida
No siempre aparece un aviso evidente cuando una web ha sido atacada.
Algunas incidencias se manifiestan mediante cambios relativamente discretos.
1. La tienda consume demasiados recursos
Un aumento inesperado del uso de CPU, memoria o procesos del servidor puede ser una señal de actividad anómala.
En ocasiones, los atacantes utilizan servidores comprometidos para ejecutar procesos ajenos al funcionamiento de la web.
2. Aparecen usuarios administradores desconocidos
Revisa periódicamente las cuentas con permisos elevados.
Si encuentras usuarios que no reconoces, especialmente administradores, conviene investigar su origen antes de realizar otros cambios.
3. La web redirige a páginas extrañas
Las redirecciones no autorizadas pueden afectar a visitantes, buscadores o determinados dispositivos.
Esto puede provocar pérdida de confianza, advertencias de seguridad y problemas de posicionamiento.
4. Se modifican archivos sin explicación
La presencia de archivos PHP inesperados, cambios en configuraciones o modificaciones ajenas a una actualización legítima puede requerir una investigación.
5. Tu proveedor de hosting detecta actividad sospechosa
Algunos ataques se identifican primero desde el servidor mediante alertas de consumo, envío de spam, procesos no autorizados o intentos de acceso.
No conviene ignorar estas advertencias, aunque la tienda parezca funcionar correctamente desde el navegador.
Google Merchant Center refuerza la seguridad con passkeys
Otra novedad anunciada durante octubre de 2026 afecta a la gestión de Google Merchant Center.
Google ha comunicado que, a partir del 29 de octubre, podrá exigir una passkey para determinadas acciones sensibles, como añadir usuarios o modificar permisos.
Esto no significa que todas las personas deban utilizar una passkey obligatoriamente para iniciar sesión de forma habitual. La medida se centra en proteger operaciones que podrían permitir a un tercero gestionar accesos a una cuenta comercial.
Si utilizas Merchant Center para sincronizar productos de tu tienda, es recomendable comprobar qué usuarios tienen acceso, qué permisos necesitan y si las cuentas de Google están correctamente protegidas.
También puedes configurar una passkey con antelación para evitar interrupciones al realizar cambios administrativos.
Cómo proteger los accesos a tu ecommerce
Una tienda online no depende de una sola contraseña. Habitualmente intervienen varios servicios: administración de WordPress o PrestaShop, hosting, dominio, pasarelas de pago, cuentas de Google, herramientas de email marketing y sistemas externos de facturación.
Si uno de esos accesos se ve comprometido, podría afectar al funcionamiento de otros servicios.
Activa la autenticación en dos pasos
Siempre que esté disponible, utiliza autenticación multifactor en las cuentas administrativas.
Especialmente en:
- Panel de administración de la tienda.
- Hosting y panel de control del servidor.
- Cuentas de Google con permisos sobre Merchant Center o Analytics.
- Pasarelas de pago.
- Herramientas que pueden modificar archivos, pedidos o configuraciones.
Utiliza cuentas individuales
Evita compartir una misma cuenta de administrador entre varias personas.
Cada colaborador debería disponer de sus propias credenciales y únicamente de los permisos necesarios para realizar su trabajo.
Así será más fácil revocar accesos cuando termine una colaboración e identificar cambios administrativos.
Revisa los dispositivos desde los que administras la tienda
La seguridad del servidor es importante, pero también lo es la de los ordenadores utilizados para acceder.
Un dispositivo infectado puede comprometer credenciales incluso cuando la web está actualizada.
Por eso conviene mantener los equipos protegidos, actualizar sus sistemas y evitar almacenar contraseñas sin medidas de seguridad adecuadas.
Checklist de seguridad: diez minutos para revisar tu tienda
Antes de Black Friday, dedica unos minutos a realizar estas comprobaciones básicas:
- Comprueba que WordPress, WooCommerce o PrestaShop están actualizados.
- Revisa las actualizaciones pendientes de plugins, módulos y temas.
- Confirma que existe una copia de seguridad reciente.
- Comprueba cuándo se probó por última vez una restauración.
- Revisa las cuentas con permisos de administrador.
- Activa el segundo factor de autenticación donde sea posible.
- Comprueba los usuarios autorizados en Merchant Center.
- Revisa los accesos a la pasarela de pago.
- Comprueba que existen alertas ante caídas o problemas del servidor.
- Verifica que conoces el procedimiento para contactar con soporte técnico.
Esta revisión rápida no sustituye una auditoría de seguridad, pero puede ayudarte a detectar problemas evidentes antes de que se conviertan en incidencias mayores.
¿Por qué es importante mantener tu tienda online durante todo el año?
El mantenimiento no debería consistir únicamente en actualizar plugins cuando aparece un aviso en WordPress.
Una tienda necesita supervisión de actualizaciones, copias de seguridad, compatibilidades, errores del servidor y funcionamiento de sus servicios esenciales.
En un ecommerce, además, hay que prestar atención a las integraciones con métodos de pago, transporte, sistemas de facturación y herramientas de marketing.
Una actualización aparentemente pequeña puede generar incompatibilidades si no se comprueba correctamente.
Por eso, cuando se trabaja con una tienda que genera pedidos de forma habitual, es preferible contar con un procedimiento de mantenimiento preventivo antes que depender exclusivamente de intervenciones urgentes.
¿Y si tu tienda ya ha sufrido un ataque?
Si sospechas que tu ecommerce está comprometido, lo importante es contener el problema y determinar qué ha ocurrido.
Puede ser necesario restringir temporalmente determinados accesos, conservar registros para la investigación, revisar los archivos afectados y cambiar las credenciales que podrían estar expuestas.
En los casos en los que existan datos personales comprometidos, también deberán evaluarse las obligaciones de protección de datos que correspondan.
No es recomendable limitarse a borrar un archivo sospechoso y dar el problema por solucionado sin investigar la vía de entrada.
Una desinfección incompleta puede permitir que el atacante recupere el acceso.
Prepara tu tienda para vender, no para resolver incidencias
Black Friday debería ser una oportunidad comercial, no una semana dedicada a solucionar errores evitables.
Una tienda actualizada, con accesos protegidos, copias de seguridad verificadas y un mantenimiento adecuado parte de una posición mucho más segura.
En Diseño Tienda Online ofrezco servicios de mantenimiento y revisión técnica para tiendas WordPress, WooCommerce y PrestaShop, con el objetivo de prevenir problemas y mantener las plataformas en condiciones adecuadas de funcionamiento.
Si no sabes cuándo se revisó por última vez la seguridad de tu ecommerce, puede ser un buen momento para comprobarlo.
Contacta conmigo para revisar la seguridad y el mantenimiento de tu tienda online antes de las próximas campañas.
Hablemos de tu proyecto
Cuéntame qué necesitas y te propondré la solución que tenga sentido para tu negocio.
Cuéntame tu proyecto →
