Cómo recuperar un sitio WordPress hackeado paso a paso

Si sospechas que han hackeado tu WordPress, no borres archivos ni restaures una copia al azar. Primero registra lo que ocurre y conserva una copia del estado actual. Después elige entre volver a una copia anterior al ataque o pedir una limpieza técnica. Por último, protege los accesos, corrige la causa y comprueba que no quedan avisos de seguridad.

¿Cómo saber si han hackeado tu WordPress?

Estas señales pueden indicar una intrusión:

Un error 500, una pantalla en blanco o no poder iniciar sesión no demuestran por sí solos que hayan hackeado el sitio. También pueden deberse a una actualización fallida, una incidencia del hosting o un problema de configuración. La guía de WordPress.org sobre sitios hackeados recomienda identificar y documentar las señales antes de decidir cómo actuar.

1. Documenta el problema y limita la exposición

Antes de modificar la web, anota:

• El dominio y las URL afectadas.
• El mensaje exacto y quién lo muestra: el navegador, el proveedor, Google u otro servicio.
• Cuándo detectaste el problema y la zona horaria, si la conoces.
• Si ves el aviso como administrador, como visitante o en ambos casos.
• Los cambios recientes: actualizaciones, instalaciones de plugins, cambios de contraseña o modificaciones de archivos.
• Cualquier aviso recibido de tu proveedor de hosting.

Si hay una redirección a una página fraudulenta o se está mostrando malware, contacta cuanto antes con tu proveedor. Pregunta si puede limitar temporalmente el acceso público mientras se revisa la web y conservar los registros. Si la cuenta ya está en cuarentena, coordina con su equipo antes de descargar o restaurar archivos.

No intentes sortear una advertencia del navegador para visitar una página marcada como peligrosa. Si recibiste un aviso de Google, consulta Search Console y sus URL de ejemplo.

2. Guarda una copia antes de limpiar o restaurar

Conserva una copia de los archivos y de la base de datos tal como están ahora, aunque sospeches que contienen malware. Puede ayudar a investigar la causa y evita perder el registro disponible de la incidencia. Guárdala fuera de la carpeta pública de la web y limita quién puede acceder a ella.

Una restauración completa puede reemplazar archivos y base de datos. En WordPress, la base de datos puede contener páginas, usuarios, comentarios y, si tienes una tienda, pedidos. Una copia anterior podría hacerte perder cambios posteriores a su fecha. Si el sitio recibe pedidos, reservas o registros, pide ayuda antes de restaurar.

Consulta la guía de miHosting para hacer una copia y restaurar WordPress. Comprueba las copias disponibles, su fecha y la política de retención de tu servicio; no des por hecho que existe una copia anterior a la intrusión.

3. Elige una vía de recuperación

Si tienes una copia anterior al ataque

Usa una copia cuya fecha sea anterior a la primera señal de intrusión. La copia más reciente no siempre es la más segura: podría haberse generado cuando el sitio ya estaba infectado.

Antes de restaurar:

1. Confirma que la copia incluye los archivos y la base de datos correspondientes.
2. Guarda el estado actual por separado.
3. Si la web es una tienda o recibe reservas, conserva los pedidos y registros posteriores a la copia o pide ayuda para recuperarlos.
4. Si puedes, prueba la restauración en un entorno separado antes de reemplazar la web pública.

Después de restaurar, corrige la vulnerabilidad que permitió el acceso y actualiza WordPress, los plugins y los temas antes de volver a publicar. Restaurar una copia no elimina por sí solo la causa de la intrusión; si el punto de entrada sigue abierto, la web podría volver a infectarse.

Si no tienes una copia fiable

No restaures una copia sin conocer su fecha ni elimines archivos solo porque su nombre te resulte extraño. Una limpieza completa puede requerir revisar el núcleo de WordPress, los plugins y temas, los usuarios, la base de datos, las redirecciones y los archivos del servidor.

También conviene revisar las extensiones que se cargan automáticamente, las carpetas de subidas y otras instalaciones de WordPress accesibles desde la misma cuenta. Un escáner puede encontrar indicios, pero hay que revisar sus hallazgos y comprobar que no quedan accesos ocultos.

Si no puedes revisar esos elementos con seguridad, pide ayuda antes de borrar o reemplazar archivos. Una eliminación incorrecta puede dejar la web rota o perder datos que no estaban en la copia. Puedes solicitar la restauración garantizada de tu WordPress por 169 USD. Si no conseguimos restaurar tu sitio, te devolvemos el dinero. El servicio está disponible también para webs alojadas con otros proveedores.

4. Cierra los accesos que pudo usar el atacante

Desde un dispositivo actualizado y de confianza, cambia las contraseñas de las cuentas relacionadas con la web:

• Las cuentas de administrador de WordPress.
• El área de cliente y el panel del hosting.
• FTP, SFTP o SSH, si los utilizas.
• Las cuentas de correo que permiten restablecer contraseñas.
• La base de datos, si puedes actualizar también la contraseña correspondiente en la configuración de WordPress.

En el escritorio de WordPress, revisa Usuarios > Todos los usuarios y comprueba si hay administradores que no reconoces. Antes de quitar una cuenta, confirma que conservas al menos una cuenta legítima con permisos de administración.

Usa contraseñas nuevas y únicas y activa la verificación en dos pasos cuando sea posible. Si las cambiaste mientras la web aún podía capturarlas, cámbialas de nuevo después de limpiarla. También puedes pedir que regeneren las claves de seguridad de WordPress para cerrar sesiones abiertas.

Si cambias la contraseña de la base de datos, también debes actualizar la configuración de WordPress que la utiliza. Si no sabes cómo hacerlo, pide ayuda antes de modificarla para evitar que la web pierda la conexión.

5. Comprueba que la web está limpia

Cuando la limpieza o restauración haya terminado:

1. Revisa que no haya usuarios, plugins, páginas ni redirecciones desconocidos.
2. Ejecuta un análisis de seguridad y revisa cualquier archivo señalado antes de eliminarlo o repararlo.
3. Si el navegador muestra un aviso, no lo ignores. Usa Search Console para revisar el informe y las URL afectadas.
4. Si Google detectó el problema, espera a que las páginas afectadas estén limpias y solicita una revisión desde Problemas de seguridad.

Google indica que la lista de URL de ejemplo puede ser solo una muestra, así que revisa el sitio completo. La revisión debe pedirse después de resolver el problema. Si el aviso procede de otro navegador o antivirus, sigue el proceso de revisión de ese servicio. Consulta también la guía de miHosting sobre el aviso «Sitio peligroso» en Chrome.

6. Reduce el riesgo de otra intrusión

Una vez recuperada la web:

• Mantén WordPress, los plugins y los temas actualizados y elimina los que no uses.
• Instala extensiones y temas desde fuentes de confianza.
• Usa contraseñas únicas y verificación en dos pasos para las cuentas de administración.
• Mantén copias propias además de las del hosting y comprueba que puedes restaurarlas.
• Si la infección reaparece, pide que revisen el origen del acceso y otras instalaciones de WordPress de la misma cuenta.

Cuándo pedir ayuda

Pide ayuda si no puedes confirmar que una copia está limpia, no tienes acceso al panel, la infección vuelve después de restaurar o no sabes revisar la base de datos y los archivos.

Prepara el dominio, la URL afectada, el mensaje exacto, la hora y zona horaria, los avisos recibidos y los pasos que ya realizaste. No envíes contraseñas, claves privadas ni datos de acceso.

Si quieres que un técnico revise la incidencia, consulta el rescate WordPress de miHosting. Si solo necesitas soporte sobre el servicio de alojamiento, puedes contactar con el equipo de soporte.