La mayoría de los compromisos en WordPress no empiezan con un hack de película. Empiezan con un plugin que nadie recuerda haber instalado, un cambio de tema en una tienda en vivo o un editor que desactivó el plugin de seguridad “un momento”.
Si gestionas sitios de clientes — o una tienda que no puede caerse — quieres un aviso en el instante en que cambia la lista de plugins o el tema activo. El plugin de AlertHub ya trae presets para estos hooks. Sin PHP a medida.
Por qué es una alerta de seguridad de alto valor
- Instalar un plugin no autorizado suele preceder al malware. Puede que no mires los logs de FTP todo el día; sí verás un mensaje de Telegram.
- Desactivar Wordfence / un plugin WAF es un clásico de atacantes (o de un contratista despistado).
- Cambiar el tema en sitios WooCommerce rompe plantillas y checkout. Los minutos cuentan.
- Las agencias necesitan rastro: quién tocó producción y cuándo. AlertHub guarda un historial buscable aunque el mensaje de Slack se haya perdido.
Combínalo con alertas de login fallido y errores fatales PHP para un vigilante ligero que no sustituye un suite de seguridad: te avisa a ti primero.
Conecta el plugin
Sigue la configuración de WordPress: instala desde WordPress.org, pega la clave del proyecto en Herramientas → AlertHub y envía una alerta de prueba.
Luego conecta al menos un canal: Telegram para guardias; Slack para el canal de la agencia; WhatsApp en Pro si es donde vive el cliente.
Alerta A: Plugin activado
| Campo | Valor |
|---|---|
| Hook | activated_plugin (preset en el plugin) |
| Title | Plugin de WordPress activado: {{0}} |
| Description | Se activó el archivo de plugin **{{0}}**. Si no lo has hecho tú, investiga ahora. |
| Level | Warning |
{{0}} es la ruta del plugin (por ejemplo wordfence/wordfence.php o hello.php).
Alerta B: Plugin desactivado
A menudo es más importante que la activación. Los atacantes desactivan plugins de seguridad; los desarrolladores desactivan la caché “un momento” y se olvidan.
| Campo | Valor |
|---|---|
| Hook | deactivated_plugin |
| Title | Plugin de WordPress desactivado: {{0}} |
| Description | Se desactivó **{{0}}**. Confirma que fue intencional. |
| Level | Warning |
Alerta C: Cambio de tema
| Campo | Valor |
|---|---|
| Hook | theme_switched |
| Title | Tema de WordPress cambiado: {{0}} |
| Description | El tema activo pasó a **{{0}}**. Revisa portada y checkout. |
| Level | Warning |
Hooks extra que merecen la pena en producción
No todos están en el desplegable: escríbelos a mano. Cualquier action válida de WordPress funciona.
| Hook | Idea de título | Nivel |
|---|---|---|
delete_user | Usuario de WordPress borrado: ID {{0}} | Warning |
wp_update_user | (ruidoso — usa Info o omítelo) | Info |
upgrader_process_complete | Actualización de WordPress terminada | Info |
switch_theme | Alternativa a theme_switched | Warning |
delete_user es especialmente útil en membresías o LMS: un borrado inesperado merece vibración en el móvil.
Cómo lo usan las agencias
- Un proyecto de AlertHub por cliente (o por entorno: staging vs producción).
- Pon el nombre de origen del plugin al dominio del cliente (
cliente.com) para que el panel se lea bien. - Invita al account manager como miembro del proyecto. Ve el historial sin entrar en wp-admin.
- Deja Info para eventos ruidosos (updates de core) y Warning para activar/desactivar/tema/borrar usuario.
Puedes cambiar Slack ↔ Telegram después desde Connections en AlertHub. Nunca vuelves a abrir 40 escritorios de WordPress para pegar un webhook nuevo.
Qué no es esto
AlertHub no es un escáner de malware, un monitor de integridad de archivos ni un firewall. Mantén Wordfence, Patchstack o el WAF del hosting. Esta capa responde otra pregunta: ¿alguien cambió el sitio mientras yo no miraba?
Preguntas frecuentes
¿Las actualizaciones de tema/plugin me inundarán?
Las actualizaciones suelen disparar upgrader_process_complete, no activated_plugin. Las alertas de activación saltan cuando algo se enciende, que es más raro y más sospechoso.
¿Puedo ver quién lo hizo?
Los hooks por defecto pasan el archivo del plugin o el slug del tema, no el usuario actual. Revisa logs de actividad de WordPress (o un plugin de auditoría ligero) después de que AlertHub te diga cuándo mirar.
¿Funciona en WordPress.com / hostings gestionados?
Si puedes instalar plugins de WordPress.org, sí. Algunos hostings bloquean plugins custom: prueba con el botón Send Test Alert.
Siguientes pasos
Instala el plugin con la guía de WordPress, añade las tres alertas de arriba y enrútalas a Telegram. El próximo plugin sorpresa dejará de ser una sorpresa.
Relacionado: alertas de pedidos WooCommerce · alertas de usuarios y comentarios