Qué hacer si han hackeado tu WordPress

En resumen: confirma los síntomas, cambia las contraseñas del hosting y del correo, conserva las copias y los registros, no borres archivos al azar y limpia archivos y base de datos buscando también las puertas traseras. Después, cierra la vía de entrada y pide a Google que revise la web si la ha marcado.

1. Cómo saber si tu WordPress está hackeado

Estas son las señales más habituales:

• La web redirige, a veces solo desde el móvil o solo al llegar desde Google, a páginas de apuestas, farmacia o estafas.
• Google muestra «Este sitio puede haber sido pirateado» o el navegador avisa de «sitio peligroso».
• Al buscar site:tudominio.es en Google aparecen páginas en japonés o de productos que no vendes.
• Hay usuarios administradores que no has creado.
• El hosting ha suspendido la cuenta o avisa de envío masivo de correo.
• Hay archivos PHP con nombres raros en wp-content/uploads o código ofuscado (cadenas largas con base64_decode o eval).

Que la web vaya lenta o muestre un error crítico no indica por sí solo una infección; muchas veces es un fallo técnico. Si dudas, revisa nuestra guía sobre qué revisar cuando WordPress deja de funcionar.

2. Qué hacer en la primera hora

1. Cambia las contraseñas del panel del hosting, del FTP/SFTP, de la base de datos y del correo asociado. Hazlo desde un ordenador que sepas que está limpio.
2. Conserva lo que tengas: descarga una copia del estado actual (aunque esté infectado) y guarda las copias anteriores. Servirán para investigar y comparar.
3. Anota lo que sepas: desde cuándo ves el problema, qué plugins o temas se instalaron o actualizaron recientemente y quién tiene acceso.
4. Avisa a tu hosting si ha suspendido la cuenta: suelen indicar qué archivos han detectado.

3. Lo que conviene evitar

• Borrar archivos al azar. Puedes romper la web y eliminar las pistas de por dónde entraron.
• Restaurar una copia sin revisarla. Si la infección es anterior a esa copia, volverás al punto de partida.
• Limpiar solo lo visible. El malware suele dejar puertas traseras que lo reinstalan en horas o días.
• Instalar plugins piratas («nulled») para sustituir los de pago: son una vía de infección muy frecuente.

4. Cómo se limpia un WordPress infectado

Una limpieza completa suele seguir este orden:

1. Copia de seguridad del estado infectado.
2. Sustitución del núcleo de WordPress por una copia oficial y reinstalación de plugins y temas desde sus fuentes originales.
3. Revisión de wp-content, especialmente uploads, en busca de archivos ejecutables que no deberían estar ahí.
4. Revisión de la base de datos: usuarios, opciones con código inyectado, contenido con enlaces de spam y tareas programadas extrañas.
5. Revisión de .htaccess, wp-config.php y archivos en la raíz del alojamiento.
6. Cambio de las claves de seguridad (salts) de wp-config.php y de todas las contraseñas.

5. Después de limpiar

• Actualiza WordPress, plugins y tema, y elimina lo que no uses.
• Revisa Google Search Console: el informe de problemas de seguridad y las URLs de spam indexadas. Cuando la web esté limpia, solicita la revisión.
• Activa copias de seguridad externas y automáticas.
• Limita los administradores y activa la verificación en dos pasos.

Nadie puede garantizar que una web no vuelva a ser atacada, pero mantenerla actualizada y vigilada reduce mucho el riesgo.