Una auditoría de seguridad WordPress en un sitio es una lista. En un parque es la lista de admins que no creó, logins fallidos y constantes de endurecimiento que nunca se pusieron. Esa es la primera pasada. «MCP security», como se busca, habla a menudo del protocolo. Aquí también significa: el modelo no escribe.
El admin inesperado
Nombra las cuentas que reconoce. Cualquier otro administrador es gravedad alta. Una lista vacía solo dice «este sitio tiene cuatro admins» — no enseña nada. Llena, dice «cmspanel no es suyo».
Qué puede ver MCP
El inventario y el último informe guardado. Ni contraseña. Ni escritura. Si hay que quitar la cuenta, confirma en el dashboard. El diario guarda la acción.
Constantes que ya deberían estar
DISALLOW_FILE_EDIT como mínimo. DISALLOW_FILE_MODS si el hosting lo permite. Una auditoría de seguridad WordPress que no lee wp-config escanea síntomas, no la puerta.
