Si tu web WordPress ha sido hackeada, lo primero es no borrar nada a ciegas: aísla la web, cambia todas las contraseñas, haz una copia del estado actual y avisa a quien gestiona tu web. Después hay que limpiar el código malicioso, cerrar la vía de entrada, restaurar desde una copia limpia si existe y pedir a Google que vuelva a revisar el sitio. Estas son las primeras 24 horas, paso a paso.
Señales de que tu web está hackeada
- La web redirige a páginas de apuestas, farmacia o contenido para adultos, a veces solo desde el móvil o desde Google.
- Google muestra el aviso «Este sitio puede haber sido pirateado» o resultados con títulos extraños.
- Aparecen usuarios administradores que nadie ha creado.
- Tu hosting te ha suspendido la cuenta o te avisa de envío masivo de correo.
- La web va mucho más lenta o muestra contenido que no has publicado.
Primeras 2 horas: contener el daño
1. No entres en pánico ni borres archivos
Borrar a ciegas suele eliminar pistas de cómo entraron y, a veces, partes legítimas de la web. Primero, contener; después, limpiar.
2. Activa el modo mantenimiento
Si la web redirige a tus visitantes a páginas maliciosas, muestra una página de mantenimiento para protegerlos mientras se trabaja.
3. Cambia todas las contraseñas
Usuarios de WordPress, hosting, FTP/SFTP, base de datos y correo asociado. Revisa la lista de usuarios y elimina cualquier administrador que no reconozcas.
4. Haz una copia del estado actual
Aunque esté infectada. Sirve para analizar el ataque y para no perder contenidos recientes que no estén en copias anteriores.
De 2 a 12 horas: limpiar y cerrar la puerta
5. Busca la última copia de seguridad limpia
Si hay una copia anterior al ataque, restaurarla es la vía más rápida. Pero no basta con restaurar: si no se cierra la vía de entrada, volverán a entrar.
6. Escanea y limpia
Revisa archivos del núcleo, temas, plugins, la carpeta de subidas y la base de datos. Reinstala WordPress, el tema y los plugins desde sus fuentes oficiales para sustituir cualquier archivo modificado.
7. Identifica cómo entraron
Las causas más habituales son un plugin o tema sin actualizar, un plugin abandonado o pirateado, y contraseñas débiles o reutilizadas. Actualiza todo y elimina lo que no se use.
De 12 a 24 horas: recuperar la confianza
8. Pide a Google que revise tu web
Si Google ha marcado el sitio, desde Search Console puedes revisar los problemas de seguridad detectados y solicitar una revisión una vez la web esté limpia.
9. Valora tus obligaciones de protección de datos
Si la web guarda datos personales (formularios de contacto, área de clientes, newsletter) y ha podido haber acceso a ellos, el RGPD puede obligar a notificar la brecha a la autoridad de control en un plazo de 72 horas. En un despacho profesional, consulta con tu responsable de protección de datos.
10. Refuerza la seguridad
Cortafuegos de aplicación, doble factor en el acceso al panel, copias automáticas fuera del servidor y monitorización. Es exactamente lo que incluye un buen plan de mantenimiento.
Preguntas frecuentes
¿Mi hosting me limpia la web?
Algunos lo ofrecen como servicio adicional, pero la mayoría se limita a avisarte o suspender la cuenta. La limpieza de WordPress suele quedar fuera del hosting.
¿Puede volver a pasar?
Sí, si no se corrige la causa. Una web limpiada pero sin actualizaciones ni vigilancia vuelve a ser vulnerable en pocas semanas.
¿Te han hackeado la web? Te ayudamos
En ETL Digital limpiamos webs WordPress comprometidas, cerramos la vía de entrada y dejamos la web protegida con un plan de mantenimiento para que no vuelva a pasar. Contáctanos o conoce nuestros planes de mantenimiento.
