Auditoría de Seguridad WordPress en Barcelona

#La web que sigue en producción desde la última Mobile World Congress

En Barcelona conviven corporaciones industriales, startups del 22@, estudios de diseño en Poblenou y operadores logísticos ligados al puerto. Muchos comparten el mismo patrón: el WordPress se montó para una campaña, una feria o un portal de leads, se entregó con prisa y desde entonces solo recibe parches cuando algo se rompe visiblemente. Los plugins quedan congelados entre ediciones del Mobile World Congress. Las integraciones con CRM o ERP heredan permisos de administrador. Los accesos del estudio que rediseñó la home en 2022 siguen activos porque nadie pidió un inventario de cuentas.

Una auditoría de seguridad recupera el control de ese activo olvidado. No sustituye un escaneo automatizado: lo usa como una entrada más y verifica cada hallazgo a mano, lo contrasta con su operación real en Cataluña y lo ordena por riesgo efectivo. Para equipos en Barcelona alineamos el informe con el lenguaje que ya usan responsables de TI y compliance: recomendaciones de la Agència de Ciberseguretat de Catalunya, obligaciones RGPD ante la AEPD y, cuando el cliente lo necesita, requisitos que bajan por contratos con operadores portuarios o multinacionales del distrito tecnológico.

#22@, MWC y una superficie de ataque que crece más rápido que el presupuesto de IT

El ecosistema del 22@ y los eventos como el Mobile World Congress aceleran ciclos de marketing digital. Cada edición trae microsites, landings de patrocinio, formularios de registro y plugins experimentales que luego nadie retira. La Agència de Ciberseguretat de Catalunya insiste en inventario, gestión de vulnerabilidades y respuesta coordinada. Una auditoría WordPress traduce eso a hechos concretos: qué plugins siguen activos tras la feria, qué subdominios apuntan a instalaciones sin mantenimiento, qué cuentas externas conservan acceso al multisite que montaron para un patrocinador.

En la capa de aplicación seguimos OWASP Testing Guide. En la capa de gobierno el informe habla de identificar activos, proteger, detectar, responder y recuperar, vocabulario que encaja tanto con guías catalanas como con expectativas de clientes europeos que auditan a sus proveedores tras NIS2. La lección repetida en Barcelona: hay firewall y plugin de seguridad, pero pocos equipos revisan logs de login tras un fin de semana con picos de tráfico de campaña.

#RGPD y 72 horas: el formulario de registro que nadie contabilizó

Los formularios de leads de ferias, las áreas de descarga de documentación técnica y las tiendas B2B con catálogo por login tratan datos personales. Un WordPress comprometido deja de ser un ticket para sysadmin y pasa a ser posible brecha de seguridad. El plazo de 72 horas ante la AEPD no perdona la falta de inventario: hay que explicar categorías de datos, volumen afectado y medidas. Sin logs centralizados y sin mapa de plugins, la notificación se convierte en una lista de «desconocido».

Cada hallazgo de nuestra auditoría incluye una línea de privacidad: ¿afecta a personas identificables? ¿Una explotación razonable activaría notificación? Un endpoint REST que expone usuarios y una copia de seguridad descargable sin autenticación pueden parecer iguales en un informe automático, pero no lo son para el responsable del tratamiento que debe documentar la decisión en su registro de actividades.

#NIS2 y exigencias en la cadena catalana

La transposición de NIS2 amplía obligaciones hacia más sectores y empuja a grandes clientes a exigir evidencias a proveedores medianos. En Barcelona eso se nota en anexos de contratos logísticos, cláusulas de startups del 22@ que venden a corporaciones y pliegos de subcontratación tras eventos en Fira. No siempre piden auditoría formal, pero sí preguntan por gestión de vulnerabilidades, accesos y respuesta a incidentes. Quien responde con una captura de Wordfence pierde frente a quien adjunta informe con hallazgos cerrados, fechas y valoración RGPD.

Para equipos técnicos el informe traduce OWASP a controles comprensibles para dirección: inventario de plugins activos, cuentas con admin, logs revisables, copias restauradas en prueba, plan de respuesta si el sitio cae un lunes de campaña MWC. Esa traducción es lo que cierra due diligence de un inversor o homologación de un operador portuario sin exigir aún un SOC completo.

#B2B portuario y logística: cuando tu cliente es más exigente que la ley

Barcelona concentra empresas de transporte, forwarding y servicios al puerto cuyos clientes piden evidencias de ciberseguridad en anexos contractuales. No siempre exigen una auditoría formal, pero sí preguntas sobre gestión de accesos, copias de seguridad y respuesta a incidentes. Quien responde con capturas de un plugin genérico pierde frente a quien entrega un informe con hallazgos cerrados y fechas.

La auditoría se convierte en activo comercial para pymes del sector logístico en Zona Franca o el corredor del Llobregat: demuestra que el CMS que alimenta pedidos, tracking o documentación no es el eslabón débil de la cadena. Eso importa cuando compite con operadores más grandes que ya tienen SOC interno o contratos con MSSP.

#Agència de Ciberseguretat de Catalunya como lenguaje común

Las empresas barcelonesas con clientes institucionales o internacionales no necesitan inventar vocabulario de ciberseguridad. La Agència de Ciberseguretat de Catalunya publica guías sobre inventario de activos, gestión de vulnerabilidades, concienciación y respuesta. Una auditoría WordPress traduce esas categorías a controles verificables: sabe usted qué plugins están activos, quién puede modificar producción, hay logs que mostrarían un acceso anómalo la noche después de un evento en Fira Barcelona, existen copias restauradas en prueba. El informe usa ese marco para que dirección y técnicos hablen el mismo idioma en una reunión con compliance o con un cliente del área portuaria que pide anexo de seguridad.

En la capa de aplicación el referente sigue siendo OWASP. La combinación funciona porque ACC habla de procesos y OWASP de pruebas concretas en formularios, REST, subidas de ficheros y autenticación. La observación recurrente en Cataluña: buena protección perimetral, detección casi inexistente. Hay plugin de seguridad, pero nadie revisa intentos de login tras una campaña de registro masivo.

#Herencia de agencias en Poblenou y el 22@

El riesgo organizativo pesa tanto como el técnico. Un sitio típico del 22@ ha pasado por estudio de branding, freelance de WordPress y agencia de performance que «solo iba a optimizar la conversión». Cada handoff deja cuentas admin, claves de Mailchimp o HubSpot en opciones, licencias de Divi o Elementor en correos personales, DNS en manos de un tercero sin SLA. Lo llamamos herencia de agencias. La auditoría lo cartografía: quién puede entrar al panel, quién controla el dominio, quién puede publicar código en producción un viernes tarde sin que nadie en su empresa lo sepa.

En una revisión reciente el único contacto con acceso al registrador era una cuenta de agencia cerrada hace tres años; el cliente descubrió el problema al intentar migrar hosting durante un incidente. Perder ese hilo en pleno evento MWC multiplica horas de inactividad y coste reputacional.

#Qué vemos en instalaciones barcelonesas

Los patrones se repiten con variante mediterránea. Plugins de eventos y registro masivo sin actualizar desde la última edición MWC. Multisites donde el subdominio del patrocinador quedó con admin compartido. Integraciones con herramientas de email marketing que guardan claves API en la tabla de opciones sin cifrar. xmlrpc abierto en hosting compartido de proveedores locales muy usados en Cataluña. Temas premium con constructores visuales que cargan scripts de terceros sin revisión de integridad.

También encontramos restos de agencias: cuentas de estudios en Gràcia o Poblenou con acceso activo años después de cerrar el proyecto, licencias de page builder registradas en correos personales del account manager, DNS gestionado por un tercero sin contrato vigente. La auditoría los saca a la luz antes de que un incidente los convierta en crisis de continuidad.

Priorizamos hallazgos distinguiendo explotación real en su configuración de riesgo teórico, y separando lo que toca datos personales de lo que solo afecta disponibilidad. Un escáner pinta todo igual; una auditoría ordena el trabajo de remediación para que su equipo no paralice la campaña corrigiendo teóricos mientras deja abierto el FTP del puerto.

#Tres historias de auditorías en Barcelona

Casos anonimizados con textura local.

El operador logístico del puerto y el FTP olvidado: una empresa B2B con portal de clientes para documentación aduanera tenía un usuario FTP creado para una migración en 2020, aún activo, con permisos de escritura en todo el árbol web. No había malware visible. El riesgo era exfiltración silenciosa de PDF con datos comerciales sensibles. Cerrar el acceso llevó minutos; descubrirlo sin auditoría habría requerido suerte.

La startup del 22@ y el asistente de IA con MCP: tras una ronda de financiación instalaron un plugin que exponía ejecución de PHP vía endpoint MCP para automatizar informes internos. Patchstack no marcaba nada: no había CVE. Lo tratamos como riesgo de ejecución remota documentada, igual que en nuestra auditoría de seguridad WordPress: inventario de conectores IA, autenticación del endpoint, ubicación de secretos y recomendación de no usarlo en producción sin lista blanca de IP.

La agencia de turismo MICE con inyección SEO: un sitio de congresos mostraba en Google enlaces a farmacias falsas. El tema no se actualizaba desde 2019 y había contenido spam visible solo para rastreadores. El registro de asistentes vivía en la misma base. No hubo prueba de exfiltración, pero la organización no podía demostrar lo contrario. La lección: datos de eventos no deberían compartir instalación con microsites desechables sin mantenimiento.

#Qué entrega la auditoría y qué no es

La entrega es un informe con lista priorizada: cada hallazgo verificado manualmente, ordenado por explotabilidad e impacto en su entorno barcelonés, con remedio recomendado y esfuerzo estimado. Los críticos se comunican en el momento. La valoración RGPD va por hallazgo para alimentar el registro de actividades y preparar una posible notificación AEPD dentro de 72 horas. Cerramos con sesión donde dirección y técnico preguntan sin filtro.

No es volcado de WPScan, no es teatro del miedo con vulnerabilidades teóricas, y no es documento de venta encubierta. El informe no depende de que encargue remediación con nosotros. Si necesita mantenimiento continuo tras corregir, es otro alcance con presupuesto propio.

#Endurecimiento adaptado a campañas y entornos B2B

Tras la auditoría muchos equipos en Barcelona piden una lista corta de cambios con impacto real. Desactivamos edición de ficheros desde el panel en producción, forzamos HTTPS en admin, rotamos salts y application passwords huérfanas, bloqueamos xmlrpc cuando no hay integración legítima, y movemos secretos de CRM o TPV fuera de la tabla de opciones. En clientes con tráfico estacional MWC aplicamos reglas temporales de WAF durante el pico y las retiramos documentadas después, para no dejar reglas olvidadas seis meses.

Para portales con documentación logística revisamos permisos de descarga: un PDF de tarifa o un manifiesto no debería estar en uploads sin control de acceso aunque la URL no esté enlazada en el menú. Ese detalle aparece a menudo en auditorías del corredor del Llobregat y cuesta poco corregir.

Constantes en wp-config, rotación de salts, application passwords revocadas, doble factor en cuentas que gestionan campañas MWC y reglas WAF temporales documentadas completan el paquete de endurecimiento que recomendamos tras la auditoría. No sustituye la revisión manual inicial, pero evita que los mismos hallazgos vuelvan en la edición siguiente del congreso.

#Entregable, límites y cuándo ahorrarse la auditoría completa

Entregamos lista priorizada con evidencias, remedio concreto y estimación de esfuerzo, más valoración de privacidad por hallazgo y sesión de revisión con su equipo. No entregamos volcado de herramienta, no inflamos el informe con teóricos y no condicionamos la remediación a contratar más servicios.

No necesita auditoría completa si la instalación tiene menos de un año, mantenimiento profesional, doble factor y copia restaurada en prueba, o si es un folleto estático sin datos personales. Sí la necesita si procesa leads B2B sensibles, ha acumulado microsites de campaña, no sabe quién tiene acceso, o un cliente del puerto o del 22@ pide documentación en pliego. Una conversación inicial de quince minutos suele bastar para clasificar el caso y evitar pagar una auditoría completa cuando basta un diagnóstico acotado.

#Colaboración con empresas barcelonesas

Una auditoría exige confianza porque abre lo más sensible de su operación digital. El marco es formal desde el primer día: acuerdo de alcance, confidencialidad, contrato de encargo de tratamiento cuando proceda, cuentas propias con caducidad eliminadas al entregar. Todo queda registrado, no tocamos producción sin acuerdo, no hay pruebas destructivas. España y Polonia comparten huso horario; coordinación con equipos en Barcelona, remoto o presencial en 22@ o Zona Franca, sin fricción horaria.

Presupuesto individual cerrado tras definir alcance. Después usted elige quién ejecuta cambios. La primera conversación aclara si necesita auditoría completa o un diagnóstico ligero antes del próximo pico MWC o campaña portuaria. También decimos con honestidad cuando aún no nos necesita. España y Polonia comparten huso horario; la coordinación no arrastra retrasos por franjas horarias.

Última actualización: 30 de agosto de 2026