Descubrir que tu web ha sido hackeada es angustioso: puede redirigir a páginas de spam, mostrar avisos de peligro en Google o, directamente, dejar de funcionar. La buena noticia es que casi siempre tiene solución. Te explico cómo saber si tu WordPress está hackeado y qué hacer paso a paso.
Señales de que tu WordPress está hackeado
- La web redirige a páginas de casinos, farmacias o contenido para adultos, a veces solo desde el móvil o desde Google.
- Google muestra «Este sitio puede haber sido pirateado» o el navegador avisa de que la web es peligrosa.
- Aparecen en Google páginas tuyas con títulos en otros idiomas o de productos que no vendes.
- Hay usuarios administradores que no has creado.
- Tu hosting te avisa de envío masivo de correos o suspende la cuenta.
- La web va mucho más lenta sin motivo aparente.
Un truco rápido: busca en Google site:tudominio.es y revisa si aparecen páginas que no reconoces.
Qué hacer en las primeras horas
- No borres nada a ciegas. Necesitas saber por dónde entraron para cerrarlo.
- Cambia todas las contraseñas: WordPress, hosting, FTP, base de datos y correo.
- Revisa los usuarios y elimina los administradores que no reconozcas.
- Haz una copia de seguridad del estado actual, aunque esté infectado, para poder analizarlo.
- Avisa a tu hosting: pueden tener copias anteriores y registros de acceso.
- Pon la web en mantenimiento si está redirigiendo a tus visitantes a sitios peligrosos.
Cómo limpiar un WordPress hackeado
- Identifica el archivo o la vía de entrada: normalmente un plugin o tema desactualizado, una contraseña débil o un plugin descargado de fuentes no oficiales.
- Restaura una copia limpia si tienes una anterior a la infección. Ojo: muchas veces las copias también están infectadas.
- Reinstala el núcleo de WordPress, los plugins y el tema desde fuentes oficiales.
- Revisa la base de datos en busca de código inyectado en entradas, opciones y usuarios.
- Busca puertas traseras: archivos PHP en la carpeta de subidas, código ofuscado y tareas programadas extrañas.
- Actualiza todo y elimina plugins y temas que no uses.
- Solicita a Google una revisión desde Search Console si la web fue marcada como peligrosa.
Cómo evitar que vuelva a pasar
- Mantén WordPress, el tema y los plugins siempre actualizados.
- Usa los mínimos plugins imprescindibles y solo de fuentes oficiales.
- Contraseñas largas y únicas, y doble factor de autenticación para los administradores.
- Limita los intentos de acceso y protege la página de login.
- Instala un cortafuegos de aplicación web.
- Haz copias de seguridad automáticas guardadas fuera del servidor.
- Elige un hosting profesional con aislamiento entre cuentas.
Cuánto cuesta limpiar una web hackeada
Depende de la gravedad: no es lo mismo una infección reciente con una copia limpia disponible que una web en la que todas las copias están infectadas y hay que revisar archivo por archivo. Lo que siempre sale más barato es prevenir con un buen mantenimiento.
Conclusión
Si tu WordPress ha sido hackeado, actúa rápido pero con método: cambia contraseñas, analiza la vía de entrada, limpia desde fuentes oficiales y blinda la web para que no vuelva a pasar. Si prefieres que me encargue yo, puedo limpiar tu web y dejarla protegida con un plan de mantenimiento web en Valencia. Escríbeme y lo revisamos hoy mismo.
