Ver una alerta de seguridad, redirecciones de spam o usuarios administradores extraños en WordPress se siente como un golpe en el estómago. Respira. El pánico lleva a decisiones precipitadas: borrar archivos equivocados, destruir la única copia limpia o compartir contraseñas en un ticket público. Puedes estabilizar la situación con una secuencia clara.
Este artículo es para dueños de negocio, no para desarrolladores. Verás cómo confirmar un compromiso, qué hacer de inmediato, qué no hacer, cómo suele ser una limpieza (visión general) y cómo reforzar el sitio después. Si el sitio acepta pagos o guarda datos de clientes, trátalo como continuidad del negocio — no como un experimento casero.
No entres en pánico — el primer paso es el control
Los objetivos en la primera hora son simples: detener el daño, preservar evidencias y recuperar un sitio de confianza. Anota lo que notaste (hora, texto del aviso, URLs raras). Haz capturas de mensajes de Google, del hosting o de clientes. Ese registro ayuda a los equipos de soporte y al hosting a actuar más rápido.
Si vendes en línea, considera una página temporal de mantenimiento cuando confirmes un ataque activo: es mejor una pausa corta que clientes aterrizando en malware. Alinea al equipo para que nadie “arregle” en direcciones opuestas.
Cómo confirmar que realmente fue un hack
No todo fallo es malware. Los conflictos de plugins rompen diseños. Errores de DNS envían tráfico al lugar equivocado. Aun así, trata estas señales como graves hasta prueba en contrario:
Avisos del navegador o de Google Safe Browsing; redirecciones inesperadas; nuevos administradores que no creaste; contenido que no publicaste; spam de SEO en Search Console; avisos del hosting sobre phishing o abuso; picos extraños de CPU o spam saliendo del servidor.
Entra en WordPress preferiblemente desde un dispositivo limpio. Si tu ordenador podría estar infectado, usa otra máquina y cambia contraseñas después de aislar el sitio.
Qué hacer de inmediato
1. Contacta al hosting. Pide análisis de malware, revisión de logs de acceso y, si hace falta, restricción temporal del acceso público. Muchos hostings aíslan el sitio más rápido de lo que puedes solo.
2. Cambia contraseñas críticas — con cuidado. Tras iniciar el aislamiento, rota las contraseñas de administración de WordPress, panel de hosting, FTP/SFTP, base de datos y correos asociados. Activa autenticación en dos factores donde exista. Fuerza el cierre de otras sesiones de WordPress si tu plugin de seguridad lo permite.
3. Conserva copias de seguridad antes de sobrescribir. Descarga un backup completo y guarda una copia fuera de línea. No restaures el backup más reciente a ciegas: puede contener ya malware. Identifica el último backup conocido como bueno, anterior a los síntomas.
4. Inventaría plugins y usuarios. Lista plugins/temas instalados y todos los usuarios con derechos de administrador. Elimina extraños obvios después de tener instantáneas.
5. Informa a las partes relevantes. Si pueden estar implicados datos de clientes, cumple obligaciones legales y de pagos. Si dudas, pide orientación: adivinar mal sale caro.
Qué NO hacer
No borres archivos al azar esperando que el problema desaparezca. No instales cinco plugins de seguridad de golpe en un sitio infectado en producción. No ignores el asunto porque “ya se ve normal”. No reutilices las mismas contraseñas tras un compromiso. No restaures un backup y te saltes el análisis de malware: la reinfección es común cuando la puerta de entrada sigue abierta.
Evita también compartir de más. No publiques credenciales de la base de datos o contenidos de wp-config en grupos públicos pidiendo ayuda.
Cómo suele ser la limpieza (visión general)
Una limpieza profesional combina análisis, eliminación de archivos y entradas maliciosas en la base de datos, restablecimiento de credenciales, corrección de la puerta de entrada (a menudo un plugin desactualizado o una contraseña débil) y verificación de que redirecciones y páginas de spam han desaparecido. Después, el sitio se monitoriza para evitar la reinfección.
Puedes intentar una limpieza con herramientas reputadas si la infección es leve y tienes buenos backups. Para tiendas, sitios con miembros o reinfecciones repetidas, pide ayuda experta. Limpiezas parciales que dejan una puerta trasera gastan más tiempo que empezar con un especialista.
Cómo reducir la probabilidad de que vuelva a ocurrir
Aplica actualizaciones con calendario y backups primero. Elimina plugins y temas no usados. Limita administradores. Usa contraseñas únicas y autenticación en dos factores. Mantén backups automáticos fuera del servidor. Añade monitorización de disponibilidad y seguridad para enterarte por alertas — no por clientes. Revisa permisos de archivos y aislamiento en el hosting.
El mantenimiento es el sistema aburrido que evita la tarde dramática. Después de un hack, ese sistema deja de ser opcional.
Tras la limpieza, programa un periodo de vigilancia de 30 días: revisa usuarios administradores semanalmente, confirma que los backups se completaron y vigila Search Console por nuevos problemas de seguridad. Si Google marcó el sitio como inseguro, solicita reconsideración solo cuando tengas confianza de que el malware se ha ido — pedirlo demasiado pronto retrasa la recuperación.
Documenta qué salió mal para tu propia guía: qué plugin estaba desactualizado, qué contraseña se reutilizaba, qué alerta falló. Ese post-mortem breve vale más que otro PDF genérico de “checklist de seguridad” que nunca vuelves a abrir.
Cuándo merece la pena la ayuda profesional
Pide ayuda si aceptas pagos, si la reinfección continúa, si Google sigue marcando el sitio tras tus intentos, o si simplemente no puedes vivir días de incertidumbre. Un plan de mantenimiento con monitorización y soporte por tickets suele salir más barato que limpiezas de emergencia repetidas.
SupportWP ayuda a pequeños negocios con mantenimiento WordPress, copias de seguridad y monitorización 24/7 — y un camino de soporte cuando algo sale mal. Si estás lidiando con un sitio comprometido o quieres reforzar antes del próximo susto, mira los planes y elige la cobertura adecuada a lo crítica que es tu web para la facturación diaria.