WP installer accesible en WordPress

Que es el instalador de WordPress y que valida este criterio

El instalador de WordPress es el proceso inicial que configura una nueva instalación. En condiciones normales, solo debe ser accesible durante el alta inicial del sitio.

En un WordPress ya entregado y en producción, el instalador no debería mostrarse como accesible públicamente. Su exposición suele indicar que la instalación no está cerrada correctamente o que existen incoherencias en la configuración del entorno.

El criterio valida si el instalador está expuesto de forma accesible en un sitio que debería estar operativo, lo que se considera un riesgo básico de seguridad y de integridad del proyecto.

Por que es un estandar en una entrega profesional

Una entrega profesional implica que la instalación está completada, estable y cerrada. El acceso al instalador en un entorno publicado suele reflejar un estado técnico incorrecto.

Además del riesgo, este tipo de exposición genera desconfianza inmediata. Si un usuario o cliente encuentra un proceso de instalación, la percepción es de sitio inacabado o mal configurado.

Verificar que el instalador no está accesible forma parte del control mínimo de seguridad y de consistencia técnica en cualquier entrega WordPress.

Que ocurre cuando el instalador esta accesible

La exposición del instalador puede indicar un problema de base en el estado del sitio o en su configuración. Aunque no siempre implique un ataque directo, sí representa una señal de riesgo que debe revisarse.

• Percepción de sitio incompleto o no entregado correctamente.
• Riesgo de configuración no cerrada en entornos públicos.
• Posibles incoherencias entre archivos, base de datos y estado de la instalación.
• Superficie de exposición innecesaria desde el punto de vista de seguridad.
• Indicador de fallos tras migraciones o despliegues.

En proyectos WordPress, este tipo de situación suele estar asociada a despliegues incompletos o a estados intermedios que no deberían existir en producción.

Que considera PreFlight como correcto

PreFlight considera correcto que el instalador no sea accesible en un sitio publicado y operativo.

• Condicion que se valida: el instalador no aparece como accesible públicamente.
• Que no se acepta: acceso visible al flujo de instalación en un sitio en producción.
• Que se considera riesgo: señales de instalación incompleta o inconsistencias tras migraciones.

El criterio no evalúa medidas avanzadas de hardening. Se limita a detectar una condición básica que no debería estar presente en una entrega profesional.

Recomendaciones generales

• Verificar que el sitio no expone procesos de instalación tras publicar.
• Revisar este punto después de migraciones o despliegues.
• Incluir la comprobación en el checklist técnico de entrega.
• Evitar que entornos intermedios se confundan con producción.
• No dar por finalizada una entrega sin validar condiciones básicas de seguridad.