Cómo instalar WordPress en un hosting o VPS paso a paso

La forma más sencilla de instalar WordPress es usar el instalador de tu hosting; si necesitas controlar archivos y base de datos, haz una instalación manual; y si administras un VPS con el stack ya preparado, usa WP-CLI. Las tres rutas terminan en el mismo punto: WordPress dentro del document root correcto, conectado a una base de datos dedicada y accesible por HTTPS. La guía oficial de instalación de WordPress resume el flujo base: descargar, crear la base de datos, preparar la configuración, subir los archivos y ejecutar el instalador.

No empieces copiando archivos. Primero decide dónde vivirá el sitio, comprueba DNS y HTTPS, y prepara un respaldo con una forma concreta de volver atrás si el dominio ya muestra contenido. Esa preparación evita los fallos más comunes: instalar en una carpeta equivocada, sobrescribir una web activa o publicar credenciales.

Qué método elegir para instalar WordPress

Comparación de las tres rutas de instalación

Para una primera web o un negocio pequeño, el hosting con panel suele reducir trabajo operativo. Un VPS aporta control, pero no instala ni mantiene por sí solo PHP, el servidor web, la base de datos o los certificados. Si todavía estás comparando planes, revisa cómo elegir un hosting web según los límites y responsabilidades del proyecto.

Requisitos y preparación antes de instalar

Comprueba versiones, HTTPS y acceso al panel

Al corte del 11 de agosto de 2026, la página oficial de descarga ofrece WordPress 7.0.3. Es una referencia fechada, no una versión que deba quedar escrita para siempre: comprueba la estable actual el día de la instalación.

La base recomendada es PHP 8.3 o superior, MariaDB 10.11 o superior o MySQL 8.0 o superior, y HTTPS. WordPress puede seguir funcionando con software heredado, pero una versión que ya llegó a fin de vida carece de mantenimiento y no es una base recomendable. Contrasta siempre el servidor con los requisitos oficiales vigentes de WordPress. Apache y Nginx son opciones válidas cuando están configurados para servir la aplicación y sus enlaces permanentes.

• Confirma el dominio y el subdominio exactos, por ejemplo example.com y, si lo usarás, www.example.com.
• Identifica el document root asignado por el panel o el virtual host. Puede llamarse public_html, htdocs o tener una ruta propia; no lo adivines.
• Comprueba que puedes administrar archivos, bases de datos, DNS y certificados, o que sabes quién se ocupa de cada parte.
• Usa SFTP, SSH o el File Manager del panel. No envíes credenciales mediante FTP sin cifrar.

Decide si irá en la raíz o en un subdirectorio

Instala en la raíz si WordPress debe abrirse al visitar https://example.com/. Usa un subdirectorio solo si quieres una URL como https://example.com/blog/. En un instalador, dejar vacío el campo “directorio” normalmente significa raíz, pero la interfaz varía: revisa la URL de destino que muestra el resumen antes de confirmar. En una instalación manual, el archivo index.php debe quedar directamente dentro del document root o del subdirectorio elegido, no atrapado en una carpeta adicional llamada wordpress.

Haz backup y define el rollback

Si el dominio ya tiene una web, correo asociado o una base de datos en uso, detente antes de reemplazar nada. Conserva una copia independiente de los archivos actuales, exporta su base de datos y anota la configuración de DNS, versión de PHP, document root y redirecciones. Verifica que el backup se puede leer y que cuentas con credenciales para restaurarlo. La documentación de backups de WordPress distingue los archivos de la base de datos: necesitas ambos para recuperar un sitio completo.

Escribe el rollback en una frase operativa: “restaurar los archivos anteriores, importar la base anterior, reponer la configuración y devolver DNS al destino previo”. Si no puedes ejecutar esa frase o no conoces el tiempo de restauración, todavía no tienes un rollback.

Prepara una base de datos y cuentas separadas

Crea una base de datos exclusiva para el sitio y un usuario que solo tenga los privilegios necesarios sobre esa base, no privilegios globales sobre todas las bases del servidor. Guarda nombre, usuario, host y contraseña en un gestor de secretos. La guía oficial explica cómo crear la base de datos para WordPress en distintos paneles y clientes.

La cuenta administrativa de WordPress es distinta de la cuenta de la base de datos. Elige un nombre no obvio —no admin, el dominio ni tu correo completo—, una contraseña única y un email que controles. No compartas la cuenta principal: crea usuarios nominales y asigna a cada persona el rol mínimo que necesite.

Método 1: instalar WordPress desde el hosting o DirectAdmin

Esta es la ruta adecuada si el proveedor ofrece un instalador de aplicaciones. DirectAdmin no incluye Softaculous de forma universal: úsalo si tu plan lo incluye. El nombre de los menús y el orden de los campos pueden cambiar según el proveedor o la versión del panel.

1. Abre el dominio correcto. Entra al panel, selecciona el dominio y confirma su document root. Si hay contenido, completa primero el backup y el plan de rollback.
2. Prepara DNS y certificado. El dominio debe apuntar al hosting para emitir o validar el certificado. Si aún no ha propagado, algunos paneles permiten instalar primero, pero no des por terminado HTTPS.
3. Busca el instalador. Puede aparecer como aplicaciones, WordPress Manager o Softaculous. Si no está disponible, pasa al método manual; no descargues un instalador de terceros.
4. Elige protocolo, dominio y carpeta. Selecciona https:// cuando el certificado esté activo. Deja el directorio vacío para la raíz únicamente después de verificar la URL de destino; escribe blog si quieres /blog/.
5. Configura el sitio y el administrador. Introduce nombre, idioma, email y una cuenta administrativa no obvia. Genera la contraseña en un gestor y no la envíes por chat o correo.
6. Revisa base de datos, backups y actualizaciones. El instalador puede crear la base automáticamente. Comprueba que sea dedicada, conoce dónde se guardan los respaldos y decide qué actualizaciones automatizar según tu capacidad de probar y recuperar.
7. Lee el resumen antes de ejecutar. Confirma URL final, ruta y que no se sobrescribirá otra aplicación. Guarda el registro de la operación sin copiar contraseñas.

Cuando termine, abre la portada y /wp-admin/ en una ventana privada. Si el panel muestra éxito pero ves otro sitio, una lista de archivos o un error de certificado, no repitas la instalación: revisa document root, DNS y HTTPS en las secciones de diagnóstico.

Método 2: instalar WordPress manualmente en un hosting

1. Descarga WordPress desde su sitio oficial. Obtén el paquete desde wordpress.org; evita copias, “packs” o instaladores alojados por terceros.
2. Sube el paquete de forma segura. Usa el File Manager o SFTP y colócalo en una carpeta temporal dentro de tu cuenta. Extraer en el servidor suele ser más fiable que subir miles de archivos sueltos.
3. Coloca el contenido en el document root. Mueve el contenido de la carpeta extraída, no necesariamente la carpeta contenedora. Comprueba que wp-admin, wp-content, wp-includes e index.php quedan en el destino previsto.
4. Crea la base y el usuario dedicado. Hazlo desde la sección MySQL/MariaDB del panel y concede acceso solo a esa base. Copia los valores desde el gestor de secretos cuando el instalador los solicite.
5. Abre la URL final por HTTPS. El asistente pedirá idioma, datos de la base, título, cuenta administrativa y email. Si el servidor puede escribir wp-config.php, lo creará; si no, sigue la instrucción que muestra el propio asistente y elimina cualquier copia temporal que contenga secretos.
6. Retira el archivo comprimido. Una vez verificada la instalación, borra el paquete y los duplicados de extracción que hayan quedado dentro de una ruta pública.

No soluciones un error de escritura asignando permisos 777. Averigua qué usuario ejecuta PHP y qué propietario exige el hosting. La guía oficial de hardening recomienda limitar el acceso de escritura y proteger archivos sensibles; el modelo exacto de propietarios y permisos depende de la configuración del servidor.

Método 3: instalar WordPress en un VPS con WP-CLI

Esta ruta no instala el stack del VPS. Continúa solo si ya funcionan el virtual host de Apache o Nginx, PHP y sus extensiones necesarias, MariaDB o MySQL, DNS, TLS, el document root, los propietarios de archivos y una instalación operativa de WP-CLI. También debes haber creado la base y su usuario dedicado. Si alguna pieza falta, termina primero la preparación del servidor o usa un hosting con panel.

Conéctate por SSH y ejecuta WP-CLI como el usuario propietario del sitio, no como root. Sustituye la ruta y los datos de ejemplo por los de tu virtual host. El comando oficial wp core download obtiene los archivos de WordPress:

cd /var/www/example.com/public
wp core download --locale=es_ES

Comprueba que la descarga quedó en el document root vacío y con el propietario esperado. Después crea wp-config.php. wp config create acepta un prompt para la contraseña de la base; así el secreto no aparece como argumento en el historial:

wp config create --dbname=wp_example --dbuser=wp_example --dbhost=localhost --prompt=dbpass

Si la conexión falla, no añadas la contraseña directamente a la línea de comandos. Revisa nombre, usuario, host, permisos y que el servicio de base de datos escuche en la ubicación esperada. Cuando la configuración responda correctamente, ejecuta la instalación. El comando wp core install también puede pedir la contraseña administrativa de forma interactiva:

wp core install --url='https://example.com' --title='Sitio de ejemplo' --admin_user='site_manager' --admin_email='[email protected]' --locale=es_ES --prompt=admin_password

Reemplaza todos los valores de ejemplo. Confirma después que home y siteurl usan el dominio definitivo y https://, que PHP sirve la portada y que el servidor web aplica las reglas de enlaces permanentes. No copies una clave privada, contraseña o token en el historial, en tickets ni en capturas.

Configurar DNS y HTTPS sin publicar a medias

El registro A debe dirigir el dominio a la IPv4 del hosting o VPS; si publicas un registro AAAA, su IPv6 también debe llegar al servidor correcto. Configura www según la variante elegida y evita mantener dos destinos distintos por accidente. Si necesitas repasar registros, propagación y TTL, consulta qué es DNS y cómo funciona.

Comprueba la resolución desde más de una red y espera el TTL aplicable antes de diagnosticar como fallo de WordPress lo que todavía es caché DNS. Durante una migración, baja el TTL con antelación cuando tengas autoridad para hacerlo; no elimina cachés existentes, pero puede acortar cambios posteriores.

Emite el certificado para cada nombre que servirá el sitio y valida HTTPS antes de forzar redirecciones. Después fija las URL de WordPress en https:// y aplica una única redirección coherente de HTTP a HTTPS. La documentación oficial sobre HTTPS en WordPress explica por qué tanto el servidor como las URL de la aplicación deben estar alineados. Si activas una redirección antes de que el certificado o el proxy estén bien configurados, puedes provocar bucles o perder acceso al administrador.

Antes del lanzamiento, mantén cualquier entorno de prueba protegido y fuera de indexación. Al publicar, prueba el dominio canónico, la variante www, HTTP, HTTPS y varias rutas internas. Corrige recursos mixtos en su origen; no desactives TLS para ocultar el aviso.

Verificación y configuración inicial

Una pantalla de acceso no basta para considerar terminada la instalación. Recorre esta lista desde una sesión sin caché:

• La portada, una página interna, /wp-admin/ y el cierre de sesión responden en el dominio canónico.
• El navegador muestra un certificado válido y no carga imágenes, fuentes o scripts por HTTP.
• En Ajustes, revisa título, idioma, zona horaria, email administrativo y formato de enlaces permanentes. Guarda y vuelve a probar una URL interna.
• Envía un correo de prueba de forma controlada. Que WordPress indique “enviado” no demuestra entrega; confirma recepción y revisa la solución de correo del dominio.
• Elimina contenido de ejemplo que no usarás y desinstala temas o plugins innecesarios. Instala extensiones solo desde fuentes confiables y mantenidas.
• Crea un usuario nominal para el trabajo diario y reserva la cuenta con privilegios completos para tareas administrativas.
• Activa backups de archivos y base de datos en una ubicación distinta del sitio, define retención y realiza una restauración de prueba.
• Revisa Salud del sitio, actualizaciones disponibles, tareas programadas y logs de PHP/servidor sin exponerlos públicamente.

Mide una línea base antes de añadir constructores, temas y plugins. Si la web se degrada después, sigue una secuencia de diagnóstico como la de estas comprobaciones para acelerar un WordPress lento, en lugar de cambiar varias cosas a la vez.

Errores frecuentes al instalar WordPress

Diagnóstico seguro de fallos comunes de instalación

Rollback, seguridad y mantenimiento

Si sustituiste un sitio y la validación falla, detén nuevos cambios y ejecuta el rollback acordado: conserva evidencia del fallo, retira o aísla la instalación incompleta, restaura archivos y base de datos como un conjunto, repón la configuración del servidor y devuelve DNS solo si había cambiado. Valida el sitio anterior antes de cerrar. No mezcles una base nueva con archivos antiguos salvo que tu plan de recuperación lo contemple expresamente.

Para una instalación nueva sin contenido, el rollback puede consistir en retirar los archivos del document root, eliminar la base y su usuario dedicados, y deshacer el virtual host o DNS creados. Verifica dos veces nombres y rutas antes de borrar; un recurso compartido no pertenece al rollback.

Después del lanzamiento, asigna responsables. El proveedor mantiene la infraestructura solo dentro del alcance contratado; el propietario del sitio sigue siendo responsable de usuarios, contenido, plugins, temas y decisiones de actualización, salvo que el servicio indique expresamente otra cosa. En un VPS autoadministrado también te corresponden sistema operativo, firewall, stack web, base de datos, TLS, logs y recuperación.

• Antes de cada cambio relevante: backup reciente, prueba disponible y criterio para volver atrás.
• De forma periódica: actualiza core, temas y plugins después de revisar compatibilidad; elimina componentes abandonados.
• Revisa usuarios y roles, intentos de acceso, integridad de archivos, vencimiento del certificado y espacio disponible.
• Prueba restauraciones, no solo la creación de copias. Conserva al menos una copia fuera de la cuenta que aloja el sitio.

La guía de hardening de WordPress deja claro que la seguridad se construye por capas. HTTPS, una contraseña fuerte o un plugin por separado no sustituyen las actualizaciones, el mínimo privilegio, los backups recuperables y una configuración segura del servidor.

Preguntas frecuentes

¿Es mejor instalar WordPress en la raíz o en una carpeta?

En la raíz si será el sitio principal del dominio; en una carpeta si necesitas una sección con URL propia, como /blog/. La decisión debe tomarse antes de instalar para evitar mover archivos y cambiar URL después.

¿Puedo instalar WordPress en un VPS sin panel?

Sí, pero primero debes disponer de servidor web, PHP, base de datos, DNS, TLS, permisos y backups. WP-CLI automatiza la descarga y la configuración de WordPress; no reemplaza la administración del stack.

¿Por qué WordPress funciona con una versión antigua de PHP si no se recomienda?

Compatibilidad y mantenimiento no son lo mismo. Una rama heredada puede ejecutar WordPress, pero si está en fin de vida ya no recibe el soporte de seguridad esperado. Migra a una versión recomendada y compatible después de probar el sitio.

¿Debo usar FTP para subir WordPress?

No uses FTP sin cifrar. El File Manager del panel, SFTP o SSH protegen las credenciales y el contenido durante la transferencia. Limita después el acceso y elimina paquetes que hayan quedado en rutas públicas.

Instala, verifica y conserva una salida

Elige el instalador del hosting para reducir complejidad, la ruta manual para controlar el despliegue dentro de un panel o WP-CLI cuando ya administras un VPS preparado. En cualquier caso, la instalación solo termina cuando DNS, HTTPS, rutas, correo, backups, actualizaciones y recuperación están verificados. Documenta qué cambiaste y cómo volver al estado anterior: esa salida convierte un asistente que “terminó” en una puesta en marcha realmente utilizable.