Cómo recuperar un sitio WordPress hackeado: paso a paso

Descubrir que tu sitio WordPress ha sido hackeado es estresante, pero un plan claro lo hace manejable. El objetivo es contener el daño, eliminar el código malicioso, cerrar la brecha por la que entró el atacante y confirmar después que el sitio está limpio. Saltarse el tercer paso es la razón más común por la que los sitios vuelven a ser hackeados a los pocos días.

Señales de que tu sitio puede estar comprometido

• Los visitantes son redirigidos a sitios ajenos o sospechosos, sobre todo en móvil o desde los resultados de búsqueda.
• Los resultados de búsqueda muestran páginas de spam en japonés o de productos farmacéuticos bajo tu dominio.
• Tu navegador o Google advierten de que el sitio es peligroso.
• Hay nuevas cuentas de administrador que tú no creaste.
• Tu hosting suspende la cuenta o informa de envío de spam saliente.
• Archivos con nombres aleatorios o archivos modificados recientemente que tú no tocaste.

Algunas de estas señales tienen explicaciones inocentes, así que confirma antes de suponer lo peor, pero actúa rápido si encuentras pruebas reales.

Pasos inmediatos: copia y contención

Antes de cambiar nada, haz una copia completa de los archivos y de la base de datos, aunque esté infectada. Conserva pruebas para averiguar cómo entró el atacante y te da una alternativa si un paso de la limpieza sale mal. Guárdala sin conexión y no la restaures más tarde por accidente.

Contén el problema

Si el sitio está sirviendo malware o spam, coloca una página de mantenimiento sencilla o restringe el acceso mientras trabajas. Contacta con tu proveedor de hosting; a menudo puede ver lo que ocurre en el servidor y ayudar a aislar la cuenta. Al mismo tiempo, cambia las contraseñas que importan: el panel de control del hosting, las cuentas FTP o SFTP, el usuario de la base de datos y las cuentas de administrador de WordPress. Hazlo desde un ordenador limpio.

Restaurar o limpiar

Tienes dos opciones generales.

• Restaurar desde una copia de seguridad limpia. Si tienes una copia anterior al compromiso, normalmente es lo más rápido. Restaura y luego actualiza todo de inmediato y corrige el punto de entrada, o el atacante volverá.
• Limpiar manualmente. Si no existe una copia limpia, tendrás que eliminar archivos y entradas de la base de datos maliciosos a mano o con herramientas de análisis.

Ten cuidado con cuánto retroceder. A veces los atacantes permanecen en silencio durante semanas antes de actuar.

Checklist de limpieza manual

1. Reemplaza los archivos del núcleo de WordPress con una descarga nueva de la misma versión o de una más reciente. De momento, no toques wp-config.php ni wp-content.
2. Elimina todos los plugins y temas y luego reinstálalos desde fuentes de confianza. Descarta los que no necesites.
3. Inspecciona la carpeta wp-content/uploads. Debería contener archivos multimedia, no archivos PHP.
4. Revisa wp-config.php y .htaccess en busca de código que no reconozcas.
5. Revisa los usuarios y elimina los administradores desconocidos.
6. Busca en la base de datos scripts inyectados en entradas, opciones y widgets.
7. Genera nuevas claves secretas y salts en wp-config.php, lo que cierra la sesión de todos.
8. Revisa las tareas programadas en busca de entradas desconocidas, ya que los atacantes suelen usarlas para volver a infectar.

Encuentra el punto de entrada y verifica

Los puntos de entrada habituales son un plugin o tema desactualizado, una extensión pirata, una contraseña débil o reutilizada, u otro sitio comprometido en la misma cuenta. Revisa tus registros de acceso en busca de peticiones sospechosas en torno al momento del primer cambio. Actualiza todo, elimina lo abandonado y activa la autenticación en dos pasos. Si alojas varios sitios en una cuenta, revisa cada uno, porque el malware puede propagarse lateralmente.

Verifica y solicita revisiones

Vuelve a analizar el sitio con un escáner de malware, navega por él desde distintos dispositivos y comprueba que las redirecciones y las páginas de spam han desaparecido. Si Google o un navegador marcaron el sitio, usa Google Search Console para solicitar una revisión cuando estés seguro de que está limpio. Comprueba también que tu dominio de correo no se ha usado para enviar spam.

Refuerza para que no se repita

Recorre una lista de refuerzo: mantén el software actualizado, usa roles de mínimo privilegio, limita los intentos de acceso, desactiva la edición de archivos en el escritorio y conserva copias de seguridad probadas fuera del servidor. Nuestro checklist de refuerzo de seguridad de WordPress cubre cada uno de estos puntos. Considera también un firewall de aplicaciones web, ya que puede bloquear muchos intentos de explotación antes de que lleguen a WordPress.

Errores que evitar y cuándo pedir ayuda

• No te limites a borrar el síntoma visible y esperar. Las puertas traseras suelen estar ocultas en otro sitio.
• No reinstales encima de los archivos infectados sin eliminar antes los antiguos.
• No pagues a nadie que te contacte de repente ofreciendo arreglar tu sitio.
• No ignores los demás sitios de la misma cuenta de hosting.

Cuándo pedir ayuda profesional

Si el sitio es crítico para tu negocio, si manejas datos de clientes o si la limpieza sigue fallando, recurre a un profesional. Considera también si se expusieron datos personales; según dónde operes, puede haber obligaciones de notificación. Consulta la normativa que te aplica o pregunta a un asesor cualificado.

Tras la recuperación, vigila el sitio durante varias semanas. Fíjate en archivos nuevos, usuarios inesperados y tráfico extraño, y conserva tus registros. Las reinfecciones suelen aparecer en pocos días si se pasó por alto una puerta trasera, por lo que la monitorización temprana compensa.

Cómo podemos ayudarte

Un hosting con Plesk, CDN de Cloudflare y SSL gratuito te da un punto de partida más sólido, y nuestro equipo puede resolver tus dudas sobre cómo restaurar y proteger un sitio. Si necesitas empezar de cero con un sitio limpio, nuestro servicio de migración de WordPress puede trasladar gratis tu sitio ya limpio a un hosting WordPress.