Cómo saber si un correo electrónico de seguridad de WordPress es real o falso

En la era de las ciberamenazas, los correos electrónicos falsos que suplantan a WordPress están a la orden del día. Muchos administradores de sitios reciben supuestas advertencias de seguridad, solicitudes de actualización urgente o alertas de acceso que en realidad son intentos de phishing. Saber identificar un correo auténtico puede proteger tu sitio y tu información personal.

Aquí te mostramos cómo reconocer si un correo electrónico de seguridad de WordPress es legítimo o no.

1. Verifica la dirección del remitente

WordPress envía correos desde direcciones como:

• wordpress@tusitio.com (para notificaciones generadas por tu instalación)
• Notificaciones de servicios asociados como Jetpack, Wordfence o el hosting, desde sus dominios oficiales.

Señales de alerta:

• Correos desde direcciones genéricas como wordpressupdate@gmail.com o wp-security@outlook.com.
• Dominios mal escritos: wordpres.com, w0rdpress.net, etc.

2. Observa el contenido y estilo del mensaje

Los correos legítimos suelen ser claros, sin errores ortográficos, y con formato profesional. Contienen información específica como:

• El nombre del sitio web afectado.
• La acción que se requiere (por ejemplo, actualizar un plugin).
• Un enlace que apunta a tu panel de administración o a una URL oficial (como https://wordpress.org).

Sospecha si:

• Hay errores gramaticales o frases mal traducidas.
• El mensaje tiene un tono alarmista («¡Tu sitio será eliminado en 24 horas!»).
• Pide credenciales directamente por correo.

3. Inspecciona los enlaces antes de hacer clic

Coloca el cursor sobre los enlaces sin hacer clic. Deberías ver direcciones confiables como:

• https://tusitio.com/wp-admin/...
• https://jetpack.com/
• https://wordpress.org/

No confíes si:

• El enlace lleva a un sitio acortado (bit.ly, tinyurl) o a un dominio sospechoso.
• Te redirige a una página que imita el login de WordPress pero con un dominio diferente.

4. Confirma si usas el servicio que se menciona

Algunos correos fraudulentos dicen provenir de plugins como Wordfence, Jetpack o servicios de hosting.

Antes de actuar:

• Pregúntate: ¿realmente tengo instalado ese plugin?
• Entra directamente al panel de administración para verificar si hay alertas allí.

5. Consulta el historial de actividad en tu sitio

Muchos falsos correos alertan sobre «accesos sospechosos». Puedes verificar si algo inusual ha ocurrido usando plugins como:

• Wordfence: ofrece registros de actividad y alertas reales.
• Activity Log o WP Security Audit Log.

Si no hay registros coincidentes con lo que menciona el correo, probablemente es falso.

6. Nunca ingreses tus datos desde enlaces dudosos

Una regla de oro: nunca inicies sesión desde un enlace que llega por correo, a menos que estés 100% seguro de su legitimidad. Mejor, ve directamente a tusitio.com/wp-admin desde tu navegador.

7. Usa autenticación en dos pasos (2FA)

Aunque no evita los correos falsos, tener un segundo factor de autenticación añade una capa de seguridad si caes en una trampa.

Plugins recomendados:

• WP 2FA
• Google Authenticator – WordPress plugin
• Wordfence Login Security

¿Qué hacer si ya hiciste clic?

1. Cambia tu contraseña inmediatamente.
2. Activa escaneos de seguridad con plugins como Wordfence o Sucuri.
3. Revisa usuarios y accesos recientes.
4. Contacta al soporte de tu hosting, especialmente si crees que el sitio fue comprometido.