Cómo arreglar un sitio WordPress hackeado: paso a paso

Descubrir que hackearon su sitio es un golpe en el estómago — los anuncios emergentes que no son suyos, el aviso de “es posible que este sitio haya sido hackeado” en Google, las redirecciones raras, el acceso que ya no funciona. Respire. Saber cómo arreglar un sitio WordPress hackeado es sobre todo cuestión de seguir los pasos en el orden correcto y no saltarse los aburridos. Esta guía le lleva con calma por el proceso y le dice con honestidad cuándo es momento de dejárselo a alguien que hace esto todo el día.

Primero, confirme que de verdad es un hackeo

No todo fallo es un ataque. Antes de ponerse a limpiar, busque las señales delatoras: contenido o enlaces que no agregó, páginas de spam en los resultados de Google de su sitio, redirecciones inesperadas a otros sitios, usuarios administradores nuevos que no reconoce, un aumento repentino del tráfico o del uso de recursos, o un aviso de su proveedor o de su navegador. Si varias de esas cosas son ciertas, trátelo como un hackeo y siga adelante.

Paso 1: conténgalo antes de limpiarlo

El instinto es empezar a borrar cosas. No lo haga, todavía no. Primero limite el daño:

• Ponga el sitio en modo de mantenimiento o desconéctelo por un tiempo si está sirviendo malware a los visitantes — no quiere extender el problema ni recibir más castigo de Google.
• Cambie sus contraseñas — la de administrador de WordPress, la de la cuenta de hosting, la de la base de datos y la del acceso a archivos (FTP/SFTP). Use contraseñas nuevas, fuertes y únicas.
• Avísele a su proveedor. Sobre todo en un hosting compartido, puede que ya lo sepan, y pueden decirle si el problema se limita a su sitio.

Paso 2: haga una copia de seguridad del sitio hackeado

Suena al revés — ¿por qué hacer copia de seguridad de un sitio infectado? Porque es una prueba y un seguro. Si algún paso de la limpieza sale mal, puede volver al punto de partida. Y una copia de los archivos comprometidos le ayuda (a usted o a un profesional) a averiguar cómo entró el atacante. Márquela claramente como infectada para que nadie la restaure por error más adelante.

Paso 3: analice para encontrar la infección

No puede limpiar lo que no ve. Use un buscador de malware confiable para localizar el código malicioso. Vea en los escondites habituales: archivos de WordPress modificados hace poco, la carpeta de archivos subidos (que nunca debería contener archivos de código PHP), carpetas de plugins falsas y los archivos wp-config.php (el archivo principal de configuración de WordPress) y .htaccess (un archivo de ajustes del servidor). Anote todo lo que se marque antes de empezar a borrar — los atacantes casi nunca dejan un solo archivo.

Decidir si lo limpia usted o pide ayuda es una bifurcación real, y comparamos los dos caminos con detalle en eliminación de malware en WordPress: hacerlo usted o con profesionales. La versión corta: analizar es fácil, y terminar de verdad el trabajo es la parte difícil.

Paso 4: límpielo

Con el mapa que le dio el análisis, elimine la infección:

• Reemplace los archivos propios de WordPress por copias nuevas de WordPress.org. Eso borra de un solo golpe cualquier manipulación del propio WordPress.
• Reinstale los plugins y los temas desde fuentes limpias. Borre directamente todo lo que no reconozca — a los atacantes les encanta disfrazar el malware de una carpeta de plugin que parece legítima.
• Limpie su carpeta de archivos subidos de cualquier archivo ejecutable que no deba estar ahí.
• Revise la base de datos en busca de contenido inyectado, enlaces de spam y usuarios administradores falsos, y quítelos.
• Inspeccione wp-config.php y .htaccess en busca de redirecciones inyectadas o reglas maliciosas.

Si tiene una copia de seguridad buena conocida de antes del hackeo, restaurarla puede ser más rápido y más limpio que operar a mano — siempre que esté seguro de que es anterior a la infección.

Paso 5: cierre la puerta por la que entraron

Limpiar el sitio arregla el hoy. Cerrar el agujero arregla el mañana. Sáltese este paso y la semana que viene estará haciendo todo lo anterior otra vez. En 2026, los investigadores de seguridad calculan una y otra vez que alrededor del 56% de los hackeos de WordPress vienen de plugins y temas vulnerables — así que la puerta de entrada muchas veces es algo desactualizado. Ahora:

• Actualice todo — WordPress, todos los plugins, todos los temas — a sus últimas versiones.
• Borre por completo los plugins y temas que no use. Inactivo no significa inofensivo; significa sin vigilancia.
• Vuelva a cambiar todas las contraseñas ahora que el sitio está limpio, y active una protección fuerte del inicio de sesión.
• Genere de nuevo las claves y las sales de seguridad en wp-config.php para invalidar cualquier sesión robada.

Paso 6: recupere su reputación

Si Google o su navegador marcaron el sitio, pida una revisión cuando esté limpio — en Google Search Console puede pedir una revisión de seguridad para que se quiten los avisos. Después vigile las cosas durante las dos semanas siguientes. Las reinfecciones son comunes justo cuando alguien limpia el desorden visible pero se le escapa una puerta trasera escondida.

Cuándo dejárselo a un proveedor administrado

Esta es la parte honesta. Limpiarlo usted mismo funciona cuando la infección es sencilla y se siente cómodo con archivos y bases de datos. Pero los hackeos de WordPress muchas veces no son sencillos. Los atacantes plantan puertas traseras — formas escondidas de volver a entrar — y una sola que se le escape significa que toda la limpieza fue temporal. Si alguna de estas cosas es cierta, vale la pena dejarlo en otras manos:

• El sitio se vuelve a infectar una y otra vez después de limpiarlo.
• No se siente seguro hurgando en la base de datos o en los archivos del servidor.
• Es una tienda o un sitio que le está dando dinero, y cada hora caído le cuesta.
• Simplemente no tiene las horas que esto merece.

Un proveedor administrado hace esto como rutina, con las herramientas y el ojo entrenado para encontrar las puertas traseras que alguien que limpia de vez en cuando no encontrará. Para ser claros con usted: solo reparamos los sitios que alojamos. Así que la oferta es mudar su sitio con nosotros; lo limpiamos como parte de la mudanza y lo mantenemos limpio, por el precio fijo al mes. Una vez que un sitio vive con nosotros, toda esta situación se vuelve mucho menos probable, porque la prevención viene incluida.

El mejor arreglo es no necesitarlo

Todo lo anterior es reactivo. La verdadera victoria es una configuración donde el ataque casi nunca llega a dar en el blanco: actualizaciones automáticas y verificadas que cierran rápido las vulnerabilidades, un firewall por capas y una lista viva de atacantes conocidos frenando el tráfico malicioso antes de que llegue, protección del inicio de sesión contra contraseñas filtradas, búsqueda de malware continua y copias de seguridad externas 3 veces al día para que incluso un mal día sea solo una restauración. Esa es la protección permanente que describimos en qué debe incluir el hosting de WordPress administrado.

Si está limpiando un hackeo ahora mismo, siga los pasos de arriba en orden y no se salte cerrar el agujero. Y si prefiere que esto nunca vuelva a ser su sábado, eche un vistazo a nuestros planes de WordPress administrado — la protección viene incluida, y el soporte está ahí a cualquier hora cuando algo no le parezca bien.