Abres tu web y te redirige a una página de apuestas. O un cliente te avisa de que Google muestra «Este sitio puede haber sido pirateado». O tu hosting te suspende la cuenta por enviar spam. Si te ha pasado, no estás solo: WordPress mueve buena parte de las webs del mundo y es el objetivo favorito de los ataques automatizados.
La buena noticia es que casi siempre tiene solución. La mala es que cada hora cuenta: cuanto más tiempo pasa, más páginas indexa Google con contenido basura y más difícil es recuperar el posicionamiento.
Señales de que tu web está infectada
- Redirecciones a webs de apuestas, farmacias o contenido para adultos (a veces solo desde el móvil o solo desde Google).
- Páginas en japonés o con productos que no vendes al buscar
site:tudominio.comen Google. - Usuarios administradores que no has creado.
- Aviso de Google Search Console o de Chrome (pantalla roja).
- El hosting te avisa de consumo de CPU disparado o de envío masivo de correo.
Qué hacer ya (y qué no)
- No borres nada todavía. Haz una copia completa (archivos y base de datos) del estado actual. Aunque esté infectada, la necesitarás para analizar por dónde entraron.
- Cambia todas las contraseñas: administradores de WordPress, FTP/SFTP, panel del hosting (cPanel o Plesk) y base de datos.
- Activa el modo mantenimiento para que tus visitantes no caigan en la redirección mientras lo arreglas.
- Localiza el origen. Lo habitual es un plugin o tema desactualizado, un plugin «nulled» (pirata) o una contraseña débil. Revisa también si hay más webs en el mismo hosting: una infectada contamina a las demás.
- Limpia a fondo. Reinstala el núcleo de WordPress, plugins y temas desde fuentes oficiales y revisa archivos sueltos en
/uploads,.htaccessy la base de datos (las inyecciones de spam SEO suelen esconderse ahí). - Pide a Google que revise la web desde Search Console una vez limpia.
Lo que no debes hacer: restaurar una copia antigua sin más y dar el asunto por cerrado. Si no cierras la puerta por la que entraron, volverán en días.
Cómo evitar que vuelva a pasar
Actualizaciones semanales de plugins y temas, copias de seguridad automáticas guardadas fuera del servidor, un firewall de aplicación, contraseñas únicas con doble factor y vigilancia de vulnerabilidades conocidas. Es exactamente lo que incluye un buen plan de mantenimiento.
¿Necesitas ayuda ahora?
En CodigoJS limpiamos webs WordPress infectadas desde 2014 y mantenemos más de 50 webs de empresas. Si tu web ha sido hackeada, escríbenos y la revisamos hoy mismo.
