# Dos peligrosas vulnerabilidades de correo electrónico que los propietarios de sitios WordPress deben abordar - Canonical: https://asgru.com/es/dos-peligrosas-vulnerabilidades-de-correo-electronico-que-los-propietarios-de-sitios-wordpress-deben-abordar/ - Language: es - Author: asgru - Published: 2025-05-14T06:31:31+02:00 - Updated: 2026-09-13T20:29:36+02:00 Durante las últimas semanas, me encontré personalmente con dos ataques relacionados con el correo electrónico que interrumpieron la comunicación y generaron riesgos reputacionales. No son casos raros: son habituales, especialmente en sitios WordPress con plugins populares de formularios de contacto y configuraciones de correo predeterminadas. Esta publicación está aquí para ayudarte a proteger tu sitio WordPress, evitar interrupciones en tu negocio y comprender cómo configurar correctamente tu infraestructura de correo electrónico. ### Ataque n.º 1: spam en formularios de contacto Qué está sucediendo: Tu formulario de contacto está recibiendo una avalancha de envíos de spam. Hay dos consecuencias importantes que debes tener en cuenta: - Tu canal de captación de leads se satura y empiezas a perder mensajes de clientes reales. - Si tienes activada una respuesta automática por correo electrónico («Gracias, hemos recibido tu solicitud…»), tu sitio empieza a enviar cientos de correos electrónicos a direcciones falsas aleatorias. ¿Cuál es el resultado? - Tu proveedor de SMTP puede suspender o limitar tu servicio de correo electrónico. - Terminas en bases de datos de listas negras de correo electrónico, lo que daña la reputación de tu dominio. - Y lo peor de todo: pierdes el contacto con clientes reales. ### Cómo protegerte: Para evitar perder leads y la funcionalidad del correo electrónico: Registra primero el envío del formulario: guárdalo en tu base de datos o CRM antes de enviar cualquier correo electrónico. Notifica a tu equipo por otro medio: duplica los envíos en Telegram o Slack mediante Webhooks. Protege el formulario con: - Google reCAPTCHA o hCaptcha - Límites de frecuencia por IP - Filtros de spam y honeypots ### Cómo proteger tus formularios de contacto de WordPress Según el plugin que utilices, así puedes reforzar la seguridad: ### Contact Form 7 - Activa Google reCAPTCHA v3 o v2. - Usa Flamingo para almacenar los envíos en la base de datos. - Añade Honeypot para un filtrado discreto de spam. - Opcional: usa WP Armour para protección basada en JavaScript. ### WPForms - reCAPTCHA, hCaptcha y filtrado inteligente de spam integrados. - Guarda las entradas en la administración de WP (sin necesidad de enviar correos electrónicos). - Intégralo con Slack, Telegram o herramientas de CRM mediante Webhooks. ### Fluent Forms - reCAPTCHA, hCaptcha y Honeypot: todo integrado. - Guarda en la base de datos y sincroniza con FluentCRM o CRM externos. - Integraciones nativas con Telegram y Slack. ### Gravity Forms - Usa Akismet, Honeypot y reCAPTCHA para filtrar spam. - Conéctalo a CRM y herramientas de terceros como Zapier o Make. - Filtra los envíos antes de enviarlos mediante gform_pre_submission_filter. Consejos profesionales: - Limita los envíos del formulario por tiempo o IP (p. ej., máximo 1 cada 30 segundos). - Desactiva las respuestas automáticas salvo que sean absolutamente necesarias. - Almacena las entradas en tu sitio o CRM en lugar de reenviarlas ciegamente por correo electrónico. ### Ataque n.º 2: suplantación de correo electrónico y phishing enviados desde tu dominio Este me afectó más recientemente, y es indignante. De repente, empezaron a aparecer correos electrónicos «de» mi dominio. Yo no los había enviado. Peor aún: contenían enlaces a sitios de phishing. Fue entonces cuando me di cuenta de que alguien estaba suplantando mi dominio para engañar a los destinatarios. Tu dominio puede utilizarse en campañas falsas de phishing sin que nadie acceda a tu servidor. ### ¿Cuál es el riesgo? - Daño reputacional: los clientes pierden la confianza. - Riesgo financiero: los usuarios pueden perder datos o dinero al creer que el mensaje proviene de ti. - Reclamaciones legales: las quejas por spam pueden señalarte a ti como remitente. ### Cómo proteger tu dominio en 2025 Si tienes un dominio, hoy debes configurar tres registros DNS: ### ✅ 1. SPF (Sender Policy Framework) Define qué servidores de correo tienen permiso para enviar correos electrónicos en nombre de tu dominio. Ejemplo: v=spf1 include:_spf.mydomain.com ~all ### ✅ 2. DKIM (DomainKeys Identified Mail) Firma digitalmente los correos electrónicos salientes, lo que permite a los destinatarios verificar que el mensaje no se ha manipulado. - Por lo general, se configura a través de tu proveedor de correo electrónico (Mailgun, SendGrid, Gmail). - Requiere publicar una clave pública en DNS. ### ✅ 3. DMARC (Domain-based Message Authentication, Reporting & Conformance) Coordina SPF y DKIM. Indica a los servidores de los destinatarios qué hacer con los correos electrónicos no autenticados y te envía informes sobre abusos. Ejemplo: v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com; Puedes elegir: - p=none — solo supervisar - p=quarantine — enviar a spam - p=reject — bloquear por completo los mensajes falsos ### Por qué es importante: - Obtienes visibilidad mediante los informes DMARC sobre cómo se utiliza tu dominio. - Puedes advertir a los usuarios en caso de campañas de phishing. - Los proveedores de correo rechazan los mensajes falsos antes de que lleguen a las bandejas de entrada. ### Configuración de correo electrónico para sitios WordPress No dependas de wp_mail() ni de la función nativa de correo de PHP. No configuran los encabezados ni las firmas adecuados. Usa uno de estos plugins para enviar correos electrónicos autenticados: - WP Mail SMTP — se integra con Gmail, SendGrid, Mailgun y Amazon SES. - Post SMTP — incluye registros de entrega y notificaciones por webhook. ### Lista de verificación final para propietarios de WordPress - Protege todos los formularios de contacto con CAPTCHA y herramientas antispam. - Almacena los envíos en una base de datos o CRM; evita depender solo del correo electrónico. - Configura SPF, DKIM y DMARC en el panel DNS de tu dominio. - Usa SMTP para todos los envíos de correo electrónico; nunca el correo PHP predeterminado. - Supervisa los informes DMARC para detectar suplantaciones o abusos. Si necesitas ayuda para configurar la seguridad del correo electrónico, la entrega por SMTP o la integración de tus formularios con CRM seguros o Telegram, no dudes en ponerte en contacto. Es mejor configurarlo antes de que algo falle. Mantengamos tu dominio confiable y tus formularios libres de spam.