Cómo configurar un registro de auditoría en WordPress en menos de 10 minutos

Te conectas a WordPress y algo no va bien.

Hay un plugin activo que no has instalado. Se ha editado una entrada a las 2 de la madrugada. Se ha cambiado el rol de un usuario y nadie de tu equipo lo ha hecho.

Buscas respuestas y no encuentras nada. Ni un registro. Ni un rastro. No hay forma de saber qué pasó ni quién lo hizo.

Ese es el estado predeterminado de todos los sitios de WordPress. WordPress no registra las acciones de los usuarios. Nunca lo ha hecho.

No hay ningún registro integrado que indique quién publicó qué, quién modificó una configuración, quién inició sesión desde dónde o quién eliminó algo. Si surge algún problema en tu sitio web, tendrás que empezar desde cero, a menos que hayas configurado un registro antes de que se produjera el problema.

De eso trata este tutorial. Te guiaré paso a paso en la configuración de un registro de auditoría completo de WordPress.

Al final, sabrás exactamente qué está pasando en tu sitio web, quién lo está haciendo y qué hacer si algo parece ir mal.

He aquí las principales conclusiones:

• WordPress no cuenta con un registro de auditoría integrado. De forma predeterminada no se registra nada, lo que significa que, si no hay un plugin activo antes de que surja algún problema, ese historial no existe.
• El registro solo recoge los eventos a partir del momento de su activación. Si lo configuras después de que se haya producido un incidente, el registro no recuperará lo que ocurrió antes de instalarlo.
• El registro de actividades de Duplicator etiqueta cada evento con un nivel de gravedad (Crítico, Alto, Medio, Bajo o Informativo), para que puedas priorizar lo que realmente importa en lugar de tener que desplazarte por cientos de entradas rutinarias.
• El registro de actividades de Pairing de Duplicator, junto con Duplicator Pro, te ofrece dos niveles de protección: un registro para comprender lo que ha ocurrido y una copia de seguridad desde la que restaurar los datos si necesitas tomar medidas al respecto.

Índice

WordPress no mantiene un registro de auditoría de forma predeterminada

La mayoría de los propietarios de sitios web dan por sentado que WordPress realiza un seguimiento de los cambios en segundo plano. Pero no es así.

El núcleo de WordPress no incluye un registro nativo de las acciones de los usuarios. No hay constancia de quién ha editado una entrada, quién ha instalado un plugin, quién ha cambiado la dirección de correo electrónico de administración de tu sitio web o quién ha iniciado sesión desde una dirección IP que no reconoces.

Cuando algo sale mal, esa información se pierde, a menos que un complemento ya la estuviera recopilando.

Un registro de auditoría cubre esa laguna. Se trata de un registro con marca de tiempo de todas las acciones realizadas en tu sitio web, vinculado a una cuenta de usuario y una dirección IP específicas.

Piensa en ello como una cámara de seguridad para tu panel de administración de WordPress. No evita los problemas, pero te dice exactamente qué ha pasado y quién ha sido el responsable.

Un registro de auditoría completo abarca las siguientes categorías de actividad:

• Inicios y cierres de sesión de los usuarios, incluidos los intentos fallidos de inicio de sesión y las sesiones cerradas desde ubicaciones desconocidas
• Cambios en el contenido, incluyendo modificaciones de publicaciones, cambios de estado y eliminaciones
• Actividad relacionada con plugins y temas, incluyendo instalaciones, activaciones, desactivaciones y actualizaciones
• Cambios en la configuración de WordPress, incluyendo modificaciones en la URL de tu sitio web, el correo electrónico del administrador, la estructura de enlaces permanentes y la configuración de registro de usuarios
• Cambios en las cuentas de usuario, incluyendo registros de nuevos usuarios, modificaciones de roles y restablecimientos de contraseñas
• Actividad en la biblioteca multimedia, incluyendo subidas, ediciones y eliminaciones

Una cosa que debes saber antes de empezar: un registro solo recoge los eventos a partir del momento en que se activa. Si ocurrió algo en tu sitio web antes de instalar un plugin de registro, ese historial no se puede recuperar a partir del registro. El objetivo es precisamente configurarlo ahora, antes de que surja algún problema.

Cómo configurar un registro de auditoría en WordPress

Configurar un registro de auditoría en WordPress lleva menos de diez minutos. Este es el proceso completo:

• Paso 1: Instala Activity Log by Duplicator: pon en marcha el plugin en tu sitio web; te llevará menos de dos minutos y no requiere conocimientos de programación.
• Paso 2: Revisa la configuración predeterminada de los eventos: comprueba que las categorías de actividad adecuadas estén habilitadas para tu tipo de sitio, aunque la configuración predeterminada cubre la mayoría de los sitios.
• Paso 3: Configurar las notificaciones por correo electrónico: Configura alertas para los incidentes de gravedad «Crítica» y «Alta», de modo que te enteres de los problemas de inmediato, en lugar de descubrirlos días después al revisar manualmente los registros.
• Paso 4: Lee tu primera entrada del registro: descubre qué contiene cada entrada, qué significa la codificación por colores de gravedad y cómo filtrar el registro para poder encontrar rápidamente un evento concreto en un sitio activo.
• Paso 5: Responder ante un incidente sospechoso: un registro de auditoría no sirve de nada si no se puede revertir una actividad sospechosa. Restaura una copia de seguridad limpia con un solo clic utilizando Duplicator Pro (que se integra con Activity Log).

Paso 1: Instala Activity Log de Duplicator

Activity Log by Duplicator es un plugin de WordPress que registra en tiempo real todas las acciones relevantes que se producen en tu sitio web. Realiza un seguimiento de más de 60 tipos de eventos repartidos en nueve categorías:

• Usuarios
• Contenido
• Medios de comunicación
• Plugins
• Temas
• Configuración básica de WordPress
• Apariencia
• Taxonomías
• Configuración del sitio

Cada evento lleva asignado un nivel de gravedad (Crítico, Alto, Medio, Bajo o Informativo), lo que te permite priorizar lo que realmente importa en lugar de tener que desplazarte por una lista de cientos de entradas.

El complemento también oculta automáticamente los datos confidenciales. Si en un evento registrado aparece una contraseña o una clave API, ese valor se oculta en el registro. De este modo, se obtiene el registro de auditoría sin revelar las credenciales.

Para instalarlo, adquiere Activity Log, cuyo precio parte de 29 $ al año. También puedes obtenerlo de forma gratuita con el plan Duplicator Elite, que incluye WP Media Cleanup y Duplicator Pro.

Descarga el plugin y súbelo a WordPress.

Activa tu clave de licencia en «Registro de actividad» » «Configuración». Una vez activada, aparecerá una marca de verificación verde. Esa es la confirmación de que el complemento está en funcionamiento.

¡Ya empieza el registro!

Paso 2: Revisa la configuración predeterminada de los eventos

El registro de actividades de Duplicator realiza un seguimiento de más de 60 tipos de eventos. Es posible que algunos sitios web no necesiten tener todas las categorías activadas, así que dedica unos minutos a comprobar qué está habilitado antes de empezar a utilizar el registro.

En la barra lateral, ve a Registro de actividad » Configuración y, a continuación, haz clic en la pestaña Eventos.

Verás una lista con las nueve categorías de seguimiento: Usuario, Contenido, Archivos multimedia, Complementos, Tema, WordPress, Apariencia, Taxonomía y Ajustes. Cada categoría se puede activar o desactivar.

Si quieres ver qué incluye cada categoría, desplázate hacia abajo hasta la sección «Tipos de eventos registrados». Haz clic en la categoría sobre la que tengas dudas.

En un sitio web típico, los ajustes predeterminados cubren las actividades más importantes. Los inicios de sesión, los cambios en el contenido, las instalaciones de plugins y los cambios en la configuración se registran de forma predeterminada.

Si gestionas un sitio web con varios autores, un sitio de membresía o cualquier sitio en el que varias personas tengan acceso de administrador o editor, abre la categoría «Usuarios» y asegúrate de que esté totalmente habilitada.

El registro de actividades registrará los cambios de rol, los restablecimientos de contraseña y los registros de nuevos usuarios. Es necesario supervisar estos eventos para detectar posibles problemas con las cuentas.

En un sitio web con mucho tráfico, un registro con todas las funciones activadas crece rápidamente. Podrías plantearte desactivar las categorías que contienen principalmente eventos de baja gravedad, como «Apariencia» o «Taxonomía».

Cuando abras el registro, empezarás a ver entradas a los pocos minutos de que se produzca la actividad habitual del sitio.

Paso 3: Configurar las notificaciones por correo electrónico

El registro solo es útil si lo consultas. Revisarlo manualmente todos los días no es viable, por eso son importantes las notificaciones por correo electrónico.

Recibirás alertas en cuanto se produzca un incidente de alta gravedad, por lo que te enterarás de inmediato de cualquier inicio de sesión sospechoso o de la instalación inesperada de un complemento.

En la barra lateral, ve a Registro de actividad » Ajustes y haz clic en la pestaña Notificaciones. Activa las notificaciones por correo electrónico e introduce la dirección a la que deseas que se envíen las alertas.

Verás una lista de tipos de eventos, cada uno con un interruptor para activar los correos electrónicos. Te recomiendo que actives las notificaciones para los eventos de gravedad «Crítica» y «Alta». Estos abarcan las acciones que tienen repercusiones reales en la seguridad: picos de intentos fallidos de inicio de sesión, cambios en los roles de administrador, instalaciones de plugins y modificaciones en la configuración del núcleo.

Por ahora, deja los eventos de gravedad «Info», «Medium» y «Low» configurados solo para registro. Esas categorías abarcan actividades rutinarias relacionadas con el contenido, como actualizaciones de publicaciones, adición de etiquetas y subidas de archivos multimedia.

Activar todas las alertas por correo electrónico genera una avalancha de mensajes que te lleva a ignorar tu bandeja de entrada, lo que va en contra del objetivo. No obstante, esto depende totalmente de ti y de tus preferencias.

Una breve nota sobre el significado de los niveles de gravedad:

• «Crítico» se refiere a acciones con un impacto significativo en todo el sitio.
• High abarca los cambios relevantes para la seguridad que requieren una atención inmediata: usuarios eliminados, intentos fallidos de inicio de sesión o cambios en los roles de los usuarios
• Medium cubre la actividad editorial habitual: eliminaciones de páginas o desactivaciones de complementos
• El nivel «Bajo» abarca cambios menores o de carácter estético: establecer imágenes destacadas, actualizar entradas o aprobar comentarios.
• La información incluye actividades habituales, como los inicios y cierres de sesión.

Para comprobar que las notificaciones funcionan, cierra sesión e introduce datos de acceso falsos. Un intento fallido de inicio de sesión se considera un evento de gravedad alta. Si recibes el correo electrónico de notificación en uno o dos minutos, la configuración es correcta.

Paso 4: Lee tu primera entrada del registro

Saber interpretar una entrada del registro de eventos convierte el registro de auditoría de un simple conjunto de datos en algo útil.

Cada fila del registro representa un único evento. De izquierda a derecha, verás el indicador del nivel de gravedad, la marca de tiempo, la descripción del evento, el usuario que lo provocó, la dirección IP desde la que se realizó la acción y la fuente.

Los niveles de gravedad están codificados por colores para facilitar su consulta rápida.

• 🔴 Alto
• 🡡 Medio
• 🟔 Bajo

En un sitio web en buen estado, la mayoría de las entradas serán de color amarillo y azul. Las entradas en rojo merecen la pena leerlas cada vez que las veas.

Para filtrar el registro, utiliza los controles de la parte superior. Puedes filtrar por categoría, nivel de gravedad o intervalo de fechas.

En un sitio activo con varios usuarios, el filtrado es la forma de encontrar cualquier cosa rápidamente. Empieza por el nivel de gravedad y, a continuación, limita el intervalo de fechas al periodo que te interese.

A qué se parece la actividad normal: inicios de sesión desde tu dirección IP habitual, actualizaciones de contenido desde cuentas de autores conocidos y actualizaciones de plugins durante tu horario habitual de mantenimiento. Tras una semana revisando el registro, te harás una idea clara de cuál es el comportamiento habitual de tu sitio web. Cualquier cosa que se salga de ese patrón merece una segunda mirada.

Paso 5: Reaccionar ante un incidente sospechoso

Encontrar algo sospechoso en el registro solo sirve de algo si sabes qué hacer a continuación. El registro de auditoría te indica lo que ha ocurrido. Duplicator Pro te permite revertirlo.

Antes de tomar ninguna medida, registre todos los detalles del incidente: la fecha y hora, la cuenta de usuario, la dirección IP y exactamente qué se modificó. Exporte la entrada del registro como un archivo CSV o JSON utilizando el botón de exportación situado en la parte superior de la pantalla del Registro de actividad.

Si utilizas Duplicator, busca tu copia de seguridad limpia más reciente. Es importante que sepas exactamente de qué dispones antes de empezar a realizar cambios. Una copia de seguridad limpia anterior al incidente sospechoso te servirá de respaldo en todos los casos que se describen a continuación.

A continuación se presentan las cuatro situaciones más habituales en las que se detectan actividades sospechosas en WordPress y qué hacer en cada caso.

Un inicio de sesión desde una dirección IP desconocida

Comprueba si la cuenta de usuario pertenece a un miembro real del equipo y pídele que confirme el inicio de sesión. Si no puede confirmarlo, ve a Usuarios » Todos los usuarios, abre el perfil de ese usuario y desplázate hasta la parte inferior.

Haz clic en «Cerrar sesión en todas partes» para cerrar todas las sesiones activas de esa cuenta. A continuación, fuerza un restablecimiento de la contraseña. Si existe la posibilidad de que se hayan compartido o reutilizado las credenciales en todo el sitio, cambia también la contraseña de administrador.

Comprueba el registro en busca de otros eventos relacionados con esa misma dirección IP durante ese mismo intervalo de tiempo. Es poco probable que un inicio de sesión sea lo único que haga una cuenta comprometida.

Se ha instalado un complemento que tú no has instalado

Desactiva y elimina el complemento inmediatamente, a menos que alguien de tu equipo pueda confirmar que lo instaló a propósito. A continuación, revisa el registro en busca de otros eventos relacionados con el mismo usuario o dirección IP durante ese mismo intervalo de tiempo.

La instalación de un complemento rara vez se produce por sí sola. Busca cambios en la configuración, modificaciones en los roles de usuario o ediciones en los archivos que hayan tenido lugar antes y después de la instalación.

Si el registro indica que el complemento estuvo activo durante más de unas pocas horas antes de que lo detectaras, considera que el sitio web podría haber sido modificado.

Revocar manualmente todos los cambios que pueda haber realizado un plugin malicioso no es una opción viable. Es mucho más fácil realizar una restauración completa a partir de una copia de seguridad que se sabe que está limpia.

Abre Duplicator Pro, ve a «Copias de seguridad» e identifica la copia de seguridad más reciente anterior a la instalación. Restaura esa copia de seguridad con un solo clic.

Apareció un cambio en la configuración que nadie reclama

La entrada del registro mostrará el parámetro concreto que se ha modificado y, en muchos casos, el valor al que se ha cambiado. Compara el valor actual con el que debería tener.

Si se trata de un solo cambio, puedes revertirlo manualmente. Ve a la pantalla de configuración correspondiente y restablece el valor correcto.

Si el registro muestra que se han modificado varios ajustes en un breve intervalo de tiempo, no intentes reconstruirlos uno por uno. Abre Duplicator Pro, busca una copia de seguridad anterior a ese intervalo y restaura los ajustes.

Cambiar un solo parámetro es cuestión de cinco minutos. Una serie de cambios coordinados supone un trabajo de recuperación, y Duplicator Pro lo lleva a cabo con unos pocos clics.

Tras la restauración, comprueba la fecha de la copia de seguridad en el panel de control de Duplicator Pro y compara los datos con el registro de actividad para asegurarte de que la versión restaurada es anterior a todas las entradas sospechosas.

Se amplió el nivel de privilegios de un usuario sin dar ninguna explicación

Los cambios de rol son incidentes de gravedad alta. Si no has realizado tú el cambio, considera que la cuenta podría estar comprometida.

Para revertir el rol inmediatamente, ve a Usuarios » Todos los usuarios, haz clic en la cuenta en cuestión y cambia el rol en el menú desplegable «Rol ».

A continuación, revisa el registro de actividades completo de esa cuenta de usuario desde el momento en que se amplió el rol. Busca cualquier acción que los permisos ampliados hubieran permitido realizar: instalaciones de complementos, cambios en la configuración, creación de nuevos usuarios o modificaciones de archivos.

Si esas acciones aparecen en el registro, utiliza Duplicator Pro para restaurar una copia de seguridad anterior al cambio de rol. Es más rápido y fiable que tener que localizar cada uno de los cambios que pueda haber realizado una cuenta con privilegios elevados.

Preguntas más frecuentes (FAQ)

Tu sitio web ya tiene memoria

Antes de instalar Activity Log by Duplicator, tu sitio de WordPress no guardaba ningún registro. Cada inicio de sesión, cada cambio en la configuración y cada instalación de un plugin se producía y desaparecía sin dejar rastro. Si algo salía mal, solo podías hacer conjeturas.

Ya no es así. Dispones de un registro actualizado de todas las acciones relevantes que se realizan en tu sitio web, clasificadas por usuario, fecha y hora, dirección IP y nivel de gravedad.

Sabes cómo leer una entrada, cómo filtrar lo que te interesa y qué hacer cuando algo parece estar mal. Eso supone un cambio significativo en el control que tienes sobre tu propio sitio web.

De ahora en adelante, haz que la revisión de los registros se convierta en un hábito. Revisa el registro de actividad una vez a la semana, presta atención primero a las entradas de nivel «Alto» y «Crítico», e investiga cualquier cosa que se salga de la pauta habitual de tu sitio.

La mayoría de las veces no será nada. De vez en cuando será justo lo que necesitabas detectar a tiempo.

Cada acción no registrada en tu sitio web es un punto ciego. Se instala un complemento, se modifica una configuración, se compromete una cuenta y, sin un registro de auditoría, te enteras semanas más tarde, si es que te enteras. El registro no evita los problemas, pero sí garantiza que nunca te quedes con la duda de qué ha pasado o quién lo ha hecho.

Más de 1,5 millones de profesionales de WordPress utilizan Duplicator para proteger sus sitios web. El registro de actividad de Duplicator te ofrece un historial completo y con función de búsqueda de todo lo que ocurre en tu sitio web, con clasificación por gravedad, alertas por correo electrónico y ocultación de datos confidenciales integradas.

Si combinas Activity Log con Duplicator Pro, dispondrás de un registro que te permitirá comprender lo que ha ocurrido y de una copia de seguridad desde la que restaurar los datos en caso de que sea necesario tomar medidas.

Si este tutorial te ha resultado útil, también te recomiendo leer estas guías.

• La mayoría de los plugins de registro de actividad de WordPress te indican qué ha fallado; uno te ayuda a solucionarlo
• Lista de comprobación de seguridad de WordPress: Guía paso a paso para proteger su sitio web
• Lista de comprobación para el mantenimiento de WordPress: 20 tareas esenciales (2026)
• Cómo crear un sitio de pruebas de WordPress (para realizar pruebas de forma segura)
• No te quedes sin acceso a WordPress: la guía de prevención que me hubiera gustado tener
• WordPress no realiza un seguimiento de la actividad de forma predeterminada: esto es lo que hago al respecto.
• Cómo realizar un seguimiento de TODOS los cambios en tu sitio de WordPress (antes de que se estropee)