¿Cuándo fue la última vez que revisaste los ajustes de tu WordPress uno por uno? Casi todos damos por hecho que la configuración de fábrica estará bien. Pero son ajustes genéricos: no saben qué tipo de web tienes, qué necesita tu negocio ni cómo quieres que funcione.
En el webinar “Configuras mal WordPress” entré en el panel de control de WordPress y repasé en directo los ajustes que trae de serie, antes de instalar ningún plugin. Esto es lo que mostré: cómo configurar bien WordPress desde el principio, qué cambiar para tu seguridad, tu SEO y la privacidad de tus usuarios, y qué no tocar nunca.
¿Prefieres leer los puntos clave? Sigue abajo.
Por qué los ajustes por defecto no son los tuyos
Hablamos mucho de rendimiento, de seguridad y de IA, pero muchas veces es una chorrada que tienes ahí en tu instalación de WordPress y que no tienes bien configurada. WordPress lleva casi 25 años funcionando, y eso nos lleva a fiarnos de que todo viene bien de fábrica.
Pero los ajustes por defecto tienen que valer para la generalidad, y ninguna web lo es. No es lo mismo un blog personal que una tienda o la web de un despacho de abogados.
Ajustes generales: qué tocar y qué dejar en paz
Título y descripción corta. WordPress pone “Mi WordPress” como título y no añade descripción. Sin plugin de SEO, esas dos cajas forman el título SEO por defecto de cada página, así que conviene definirlas antes de empezar.
Dirección de WordPress y del sitio. Son para romper la web, básicamente: si cambias una barra o pones otro dominio, deja de funcionar. Solo se tocan en una migración o en casos muy especiales. Para mí es la antesala del desastre: prohibido, prohibido, prohibido tocar.
Zona horaria. Parece un ajuste visual, pero afecta a la programación de entradas: con la zona mal elegida, algo que programas para las 9 puede salir con dos horas de diferencia. En un post da igual, en una oferta con precio no. Elige tu continente y tu ciudad, y el cambio entre horario de verano e invierno se hará solo.
Registro de usuarios y rol por defecto. Si activas “cualquiera puede registrarse”, pregúntate para qué. En una tienda no hace falta, porque WooCommerce tiene su propio registro. Y si la casilla está marcada sin necesidad, desmárcala: hay bots que se registran automáticamente para buscar vulnerabilidades. El perfil por defecto, salvo casos especiales, es siempre “suscriptor” (en una tienda, “cliente”).
Ajustes de escritura y lectura
En Ajustes de escritura, olvídate de todo lo que va de “publicar por correo electrónico” hacia abajo: es una cosa vieja, caduca e inútil. Lo único útil es la categoría por defecto de las entradas: si no eliges una, WordPress usa “Sin categoría”, que queda feo. Crea antes una categoría (por ejemplo “Noticias” o “Blog”) y selecciónala aquí.
En Ajustes de lectura decides qué muestra tu portada: tus últimas entradas o una página estática que diseñes tú. Si no tienes blog, no pongas nada como página de entradas. En los listados, máximo 10 entradas por página. Y en los feeds RSS, muestra como mucho cinco y elige “extracto” en lugar de “texto completo”: así quien te lea en una app externa tiene que entrar en tu web para seguir leyendo.
El ajuste que puede sacar tu web de Google
En Ajustes de lectura hay una casilla que pide a los motores de búsqueda que no indexen tu sitio. Dice que depende de ellos atender la petición, pero te lo aseguro: lo hacen, en la práctica el 99,9 % de las veces.
Lo demostré en directo. Al marcarla, el mapa del sitio desaparece, y en el código fuente de cualquier página aparece una etiqueta meta robots con noindex, que pide a cualquier bot, de buscadores o de IA, que no indexe esa URL. Si habías declarado tu mapa del sitio en Google Search Console, ya no lo encontrará. Es un problemón.
Sirve mientras diseñas la web con contenido de demostración. Lo que hay que recordar es quitarla en cuanto termines el diseño, sin esperar a tener cien entradas. Pasa muchísimo, y a veces quien te hizo la web se la deja marcada: revísala aunque tu web lleve tiempo online.
Ajustes de comentarios: la página con más trampas
Es de las pantallas más malentendidas de WordPress, y su configuración por defecto está mal, ya lo anticipo.
Pingbacks y trackbacks
Los dos primeros ajustes (avisar a los blogs enlazados y permitir avisos de otros blogs) son un sistema antiguo: una puerta abierta de salida y otra de entrada que, si no vigilas, deja entrar lo que no esperas. Mi consejo es desactivarlos en el 100 % de los casos. Esa puerta se llama XML-RPC; desmarcar estos ajustes no la apaga del todo, pero cierra una parte. La guía de primeros pasos de SiteGround recomienda lo mismo. Y si no vas a tener comentarios, desactívalos desde aquí en lugar de ir entrada por entrada.
Aunque los tengas activos, mi recomendación es no marcar nada que no estés seguro de necesitar. Los casos más claros: no obligues a rellenar nombre y correo (no sabes quién escribe, sabes quién dice que te escribe), quita los comentarios anidados y la paginación (genera una URL por cada 50 comentarios) salvo que tengas una comunidad, y desactiva los avatares, que son una consulta externa a Gravatar y un problema de privacidad. No pienses que porque viene activo por defecto es bueno. En webs de noticias, que caducan en días, cierra además los comentarios de las entradas antiguas: el tráfico que llega semanas después suele ser spam.
Aprobar los comentarios a mano
Para ahorrarte un plugin, marca “el comentario debe aprobarse manualmente”. Todos quedan pendientes y WordPress te avisa cuando hay alguno. No necesitas ningún sistema automático de comprobación ni llamadas externas a bases de datos de spammers: menos tareas programadas, menos correos, menos consultas, mejor rendimiento.
El comentario previamente aprobado
Este es casi lo más importante de la charla. El ajuste “el autor debe tener un comentario previamente aprobado” viene activado por defecto. Lo probé en directo: un usuario deja un primer comentario, queda pendiente, el administrador lo aprueba, y el siguiente comentario de ese usuario sale publicado sin moderación. Es el hueco que se aprovecha para colar scripts que comprometen tu seguridad.
Un último detalle: si exiges registro para comentar, permite también el registro en Ajustes generales. Lo comprobé en una ventana de incógnito: si no, el visitante ve que debe conectarse para comentar pero no tiene forma de registrarse.
Medios y enlaces permanentes
Tamaños de imagen. Cada vez que subes una imagen, WordPress genera varias copias: una de 2.560 píxeles si la original es mayor, y otras tres con los tamaños por defecto (grande, medio y miniatura). Ocupan espacio en tu hosting sin que lo sepas. Si solo usas el tamaño completo o el grande, pon a cero los que no uses y dejarán de crearse. Los temas y plugins como WooCommerce añaden además los suyos.
Enlaces permanentes. En una web en marcha, aquí no se toca: cambias cómo se forman todas las direcciones, y quien tuviera enlazada la URL anterior recibirá un error 404. Lo comprobé en directo añadiendo “.html” a la estructura. Deja “Nombre de la entrada”. Y si alguien te dice que otra estructura es mejor para el SEO: llevo 25 años en internet y no he visto ninguna web que gane a otra por haber cambiado la URL. Nadie lee las URLs; la gente hacemos clics, como mucho.
Privacidad y datos personales
Te recomiendo crear siempre la página de privacidad, aunque tu legislación no te obligue, y no usar la que viene por defecto. WordPress ya está preparado para exportar y borrar datos personales (en Herramientas), pero tienes que explicar en tu página de privacidad cómo pueden pedirlo tus usuarios. Si quieres repasar qué exige la normativa, tienes la guía para cumplir con el RGPD en WordPress.
Lo que WordPress no hace es registrar todos los consentimientos: cuando alguien acepta las cookies, no guarda qué aceptó exactamente. Para eso hace falta un plugin. Yo creé uno, “Registro de consentimientos“, gratuito, que guarda cada aceptación y el texto concreto aceptado. La barra de cookies también necesita un plugin sí o sí.
Además, cada vez que actives un plugin, pásate por la pestaña “Guía de la política de privacidad”: los que recopilan datos te sugieren el texto que debes añadir (le pasa, por ejemplo, a Akismet).
Usuarios: contraseñas, admin y nombre público
WordPress no te obliga a usar contraseñas fuertes: puedes poner cualquier cosa y confirmar que usas una débil. Refuérzalo con un plugin. Y al crear un usuario:
- Evita que se llame admin. Algunos hostings lo crean por defecto y así regalas la mitad de la información para entrar. En SiteGround no pasa. Hay más medidas en 5 pasos simples para mejorar la seguridad de WordPress.
- Elige un “nombre para mostrar públicamente” distinto del nombre de acceso, que no se puede cambiar. Si son iguales, la URL de publicaciones de ese usuario muestra su nombre de acceso.
Trucos del editor
Para terminar, mi parte favorita: el editor.
- Vista de lista: te mueve y selecciona bloques mucho más rápido y sin errores. En las preferencias puedes dejarla siempre abierta.
- Esquema: muestra caracteres, palabras, tiempo de lectura y la estructura de títulos. Antes de publicar, pasa por aquí: si saltas de un H2 a un H5, la estructura no es correcta.
- Vista de móvil: cambia la previsualización de escritorio a móvil para evitar el efecto ladrillo. Un párrafo que parece pequeño en escritorio es enorme en el móvil: separa en frases más cortas.
- Extracto: el resumen que muestra el tema en la portada y que usan WordPress, los buscadores y las IA. En el título se lo presentas y en el extracto le describes de qué va todo. Los plugins de SEO lo usan además para la meta descripción.
Preguntas durante el webinar
Hasta hace poco recomendaba otro, pero hoy recomiendo GDPR Cookie Compliance, de la agencia Moove: es, entre los plugins de cookies, el que más funciones ofrece gratis. Lo único que no incluye gratis es el registro de consentimientos, que se puede cubrir con un plugin gratuito como el mío.
Si la borras desde la biblioteca de medios, WordPress elimina todas las copias que él mismo creó. No borra las que genera un plugin, como las copias WebP de Speed Optimizer de SiteGround cuando activas esa opción: WordPress no sabe lo que has hecho con los plugins. Para eliminarlas, desmarca la casilla de WebP en los ajustes de Speed Optimizer, que las borra todas. Con otros plugins no puedo asegurártelo.
En Ajustes > Privacidad > Crear. Pero el texto que trae WordPress es muy incompleto, y copiar el de otra web tampoco vale, porque cada una usa plugins distintos. Lo importante es el concepto: cuenta qué información recopilas, dónde la guardas, qué haces con ella, con quién la compartes y cómo pueden ejercer sus derechos tus usuarios. No hace falta lenguaje legal, hace falta contar la verdad. Y no pidas datos que no necesites: si nunca vas a llamar por teléfono a quien te escribe, ¿para qué le pides el teléfono en un formulario? Añade también la fecha de la última modificación.
Porque WordPress guarda en la base de datos las estructuras anteriores y, a veces, crea redirecciones automáticas. Intenté mostrarlo en pantalla y no apareció, así que mi consejo es no fiarte: acostúmbrate a no cambiarlo.
Diez minutos para revisar tu WordPress hoy
- Ajustes > Generales: define título y descripción corta, y comprueba la zona horaria.
- Ajustes > Generales: no toques las direcciones y desmarca el registro abierto si no lo necesitas.
- Ajustes > Lectura: desmarca “no indexar” y pon los feeds en extracto.
- Ajustes > Comentarios: desmarca pingbacks y trackbacks y marca “aprobar manualmente”.
- Ajustes > Medios: pon a cero los tamaños que no uses.
- Ajustes > Enlaces permanentes: “Nombre de la entrada”, y no lo cambies si la web ya está en marcha.
- Ajustes > Privacidad: revisa tu página y la guía de la política.
- Usuarios: ningún admin y un nombre público distinto del de acceso.
En resumen
Los ajustes por defecto de WordPress valen para cualquiera, y por eso no valen del todo para ti. Dedicarles diez minutos evita quedarte sin tráfico por una casilla marcada, llenarte de spam o dejar puertas abiertas que nadie vigila.
Si quieres empezar con un buen punto de partida, SiteGround ofrece hosting WordPress con su plugin Speed Optimizer. Y si te interesa la seguridad con IA, tienes el post del webinar de seguridad de septiembre.
