Abres tu web y te redirige a otra página, aparecen anuncios raros, Google te avisa de que «este sitio puede estar pirateado» o tu hosting te ha suspendido la cuenta. Respira: tiene solución. Lo importante es actuar rápido y en orden.
Señales de que tu web puede estar hackeada
- Redirige a otras webs (a veces solo desde el móvil o solo si vienes de Google).
- Aparecen enlaces, textos o páginas que no has creado.
- Google muestra un aviso en los resultados o el navegador te bloquea la entrada.
- Search Console te avisa de problemas de seguridad.
- Aparecen usuarios administradores que no conoces.
- El hosting te avisa de archivos maliciosos o suspende la cuenta.
- La web va mucho más lenta sin motivo.
Qué hacer primero
1. No borres nada todavía. Te hará falta para saber por dónde entraron.
2. Cambia las contraseñas: la de WordPress (de todos los administradores), la del hosting, la del FTP y la de la base de datos. Desde un ordenador que sepas que está limpio.
3. Avisa a tu hosting. Muchos tienen herramientas para detectar archivos infectados y pueden ayudarte o decirte qué han encontrado.
4. Mira si tienes una copia de seguridad limpia, de antes del ataque. Si la tienes, es el camino más rápido.
Cómo limpiar la web
Si tienes copia limpia: restáurala y, antes de volver a abrir, actualiza WordPress, el tema y todos los plugins. Si no, volverán a entrar por el mismo sitio.
Si no tienes copia: toca limpiar a mano o con ayuda.
- Escanea la web con un plugin de seguridad (como Wordfence) o con la herramienta de tu hosting.
- Reinstala WordPress desde los archivos oficiales.
- Borra los plugins y temas que no uses y reinstala los que sí desde su fuente oficial.
- Revisa los usuarios y borra los que no reconozcas.
- Revisa los archivos que el escáner marque como sospechosos.
Si no te manejas con archivos y bases de datos, aquí es mejor parar y pedir ayuda: una limpieza a medias deja puertas abiertas.
Después de limpiar
- Si Google marcó la web como peligrosa, pide una revisión desde Search Console → Seguridad y acciones manuales cuando esté limpia.
- Revisa que los formularios y la tienda funcionen.
- Vigila la web unos días por si reaparece algo.
Cómo evitar que vuelva a pasar
Muchos ataques a webs pequeñas son automáticos: programas que buscan webs con plugins sin actualizar. Por eso:
- Actualiza WordPress, tema y plugins con regularidad (con copia previa).
- Copias de seguridad automáticas guardadas fuera del servidor.
- Contraseñas fuertes y verificación en dos pasos.
- Un cortafuegos o plugin de seguridad.
- Fuera plugins y temas que no uses, y nunca uses versiones «gratis» de plugins de pago descargadas de webs raras.
Tienes la lista completa en qué incluye el mantenimiento de WordPress.
Si te ha pasado y necesitas ayuda ya, como especialista WordPress resuelvo urgencias. Y para que no vuelva a pasar, tienes mi mantenimiento web mensual.
