ModSecurity es un cortafuegos que muchos hostings activan. A veces confunde una acción legítima del panel de WordPress (guardar una página con código, subir un archivo) con un ataque y devuelve un error 403 o 406. El objetivo es crear una excepción puntual, no apagar la protección.
Cómo reconocer el problema
- El error aparece al guardar un contenido, subir un archivo o ejecutar una acción concreta.
- Es repetible: siempre ocurre con la misma acción.
- El mensaje indica «Forbidden» o «Not Acceptable».
- Desactivar plugins no lo soluciona.
Cómo identificar la regla responsable
- Pide al hosting el registro de auditoría de ModSecurity del momento exacto del error.
- Localiza el identificador de la regla que se activó.
- Anota la URL y el parámetro que provocó el bloqueo.
- Solicita al hosting una excepción para esa regla en esa URL.
Qué no hacer
- Pedir que desactiven ModSecurity para todo el sitio.
- Ignorar el aviso y reintentar muchas veces.
- Compartir el sitio sin el firewall por comodidad.
Una excepción acotada mantiene la protección en el resto del sitio.
Alternativas
A veces el contenido que bloquea la regla puede cambiarse: por ejemplo, evitar pegar ciertos fragmentos de código en el editor o mover scripts a un archivo del tema. Documenta la solución para el cliente. Si usas un firewall en la nube, revisa también sus reglas; consulta configurar Cloudflare para un WordPress de cliente.
En resumen
- Cómo reconocer el problema: El error aparece al guardar un contenido, subir un archivo o ejecutar una acción concreta.; Es repetible: siempre ocurre con la misma acción.
- Cómo identificar la regla responsable: Pide al hosting el registro de auditoría de ModSecurity del momento exacto del error.; Localiza el identificador de la regla que se activó.
- Qué no hacer: Una excepción acotada mantiene la protección en el resto del sitio.
- Alternativas: A veces el contenido que bloquea la regla puede cambiarse: por ejemplo, evitar pegar ciertos fragmentos de código en el editor o mover scripts a un archivo del tema.
Preguntas frecuentes
¿ModSecurity es lo mismo que un plugin de seguridad?
No: funciona a nivel de servidor, antes de que WordPress procese la solicitud.
¿Por qué no puedo cambiarlo desde WordPress?
Porque lo gestiona el hosting; solo el proveedor puede ajustar sus reglas.
¿Cuánto tarda el hosting en responder?
Depende del proveedor; conviene incluir la ventana de espera en el SLA con tu cliente.