Si sospechas que tu WordPress está infectado, evita borrar archivos o restaurar una copia sin investigar qué ha ocurrido. Si hay riesgo activo para los visitantes, coordina de inmediato la contención con tu proveedor de alojamiento mientras preservas una copia del estado actual. Después identifica la vía de entrada, recupera una versión fiable y comprueba que el problema no vuelve. La secuencia exacta depende del incidente y del acceso que conserves.
Señales de que tu WordPress podría estar comprometido
Redirecciones inesperadas, páginas de spam, usuarios administradores desconocidos, cambios que nadie reconoce, correos enviados desde el sitio o avisos del alojamiento o de Search Console son motivos para investigar. Un fallo aislado no confirma malware: un escaneo y el informe de Problemas de seguridad de Google Search Console aportan pistas, pero ningún resultado aislado certifica que todos los archivos y datos estén limpios.
WordPress también puede verse afectado por credenciales robadas, extensiones vulnerables, cambios en el servidor o compromisos de otros sitios del mismo alojamiento. La guía de WordPress para sitios comprometidos recomienda comprobar el alcance y contactar con el proveedor.
Qué hacer primero si la web está infectada
- Documenta y conserva evidencia. Guarda las URLs afectadas, capturas de avisos, fechas aproximadas y registros disponibles. Pide una copia de archivos y base de datos del estado actual, aunque esté infectado, y consérvala separada: sirve para investigar y recuperar información. No la uses como versión limpia.
- Reduce la exposición con el alojamiento. Si hay redirecciones peligrosas, descargas maliciosas o riesgo para clientes, acuerda con el hosting la restricción temporal de acceso o una página de aviso. La medida debe adaptarse a la incidencia; poner “modo mantenimiento” por sí solo no elimina malware ni garantiza que Google deje de mostrar alertas.
- Protege las cuentas desde un dispositivo fiable. Revisa usuarios administradores y cambia las credenciales de WordPress, alojamiento, SFTP, base de datos y servicios relacionados que puedan estar comprometidos. Revoca sesiones y accesos sospechosos; activa segundo factor donde sea posible. Si sospechas infección en el ordenador desde el que administras la web, límpialo o utiliza otro antes de introducir nuevas claves.
- Involucra a quien administra el servidor. Pide revisar registros, alcance de otras webs alojadas, copias disponibles y medidas de contención. Si la tienda recoge datos personales o pagos, coordina también la respuesta con los responsables técnicos y de privacidad del negocio.
Una copia de seguridad de WordPress es útil, pero debe ser anterior al compromiso y verificarse antes de darla por fiable.
Cómo limpiar un WordPress infectado sin dejar una puerta abierta
La investigación debe abarcar archivos, base de datos, usuarios y servidor. Revisa los plugins y temas activos e inactivos, el núcleo de WordPress, subidas de archivos, tareas programadas, contenido y enlaces inyectados, redirecciones y cuentas nuevas. Compara con fuentes oficiales y copias conocidas, y comprueba si el ataque afectó a otras instalaciones del mismo alojamiento. Un antivirus o plugin de seguridad puede ayudar a localizar indicios, pero no sustituye este análisis ni demuestra por sí mismo que la web ya sea segura.
Con la vía de entrada identificada, elige una recuperación apropiada: restaurar una copia previa que hayas comprobado o reconstruir los componentes desde fuentes oficiales y recuperar el contenido limpio. La copia restaurada también puede contener la vulnerabilidad original; actualiza los componentes, retira los que no se usan y corrige accesos y configuración. No elimines archivos solo por su fecha ni sustituyas carpetas de forma indiscriminada: podrías perder contenido o dejar persistencia maliciosa en la base de datos y otros lugares.
Una vez limpia y verificada la instalación, vuelve a cambiar las contraseñas y renueva las claves de seguridad de WordPress para cerrar sesiones anteriores, con ayuda técnica si la necesitas.
WordPress ofrece recomendaciones de seguridad sobre actualizaciones, plugins, copias y registros. Si no puedes determinar cómo entró el atacante o no tienes una copia comprobada, busca apoyo especializado antes de volver a abrir el sitio.
Cómo comprobar que la limpieza ha funcionado
- Prueba la web desde móvil y escritorio, con sesión iniciada y sin ella, incluidas las URLs que mostraban spam o redirecciones.
- Comprueba usuarios, permisos, extensiones, tareas, archivos, base de datos y registros del servidor. Verifica formularios, pedidos y correos, si existen.
- Repite las comprobaciones en los días siguientes: la reaparición de cambios puede indicar que la vía de entrada sigue abierta.
- Si Search Console muestra una incidencia en Problemas de seguridad, solicita la revisión después de corregirla y verificarla. Si no existe ese aviso, no hay que pedir una revisión de seguridad como trámite general.
Para reducir la probabilidad de repetición, mantén WordPress, temas y plugins actualizados, limita los accesos, prueba las copias y revisa alertas. Consulta también nuestra guía de plugins de seguridad para WordPress, recordando que ninguna herramienta reemplaza un mantenimiento responsable.
¿Cuándo pedir ayuda profesional?
Si la web procesa datos de clientes, genera ventas, tiene varias instalaciones en el mismo servidor, no conservas acceso de administrador o reaparece la infección, conviene una revisión técnica completa. En Inboost podemos evaluar el alcance y proponerte un plan de recuperación. Nuestro servicio de mantenimiento WordPress puede ayudarte después a reducir riesgos recurrentes; el trabajo de desinfección se define según el estado real del sitio.
