Las redirecciones inesperadas, las páginas de spam o las cuentas que no reconoces pueden indicar que alguien ha modificado tu WordPress sin permiso. Contrasta lo que ocurre en la web con Search Console, el panel de WordPress y un análisis de seguridad. Ninguna comprobación por sí sola puede certificar que todo el sitio esté limpio.
Señales que conviene revisar
- Redirecciones o ventanas emergentes que no esperabas. Anota si aparecen solo en móvil, al llegar desde Google o cuando no has iniciado sesión. Puede haber código malicioso, aunque también conviene revisar anuncios y otros recursos externos que carga la web.
- Páginas, entradas o enlaces que no has publicado. Busca productos, apuestas, préstamos u otros temas ajenos a tu sitio. También pueden aparecer URL extrañas en los resultados de búsqueda aunque no las encuentres en el panel.
- Cuentas o cambios que no reconoces. Revisa si hay administradores nuevos, cambios de correo, plugins o temas que no instalaste. Confirma primero que no los haya añadido otra persona autorizada.
- Avisos de seguridad. Una advertencia de Search Console, Chrome o del proveedor de hosting merece atención. Google puede señalar contenido pirateado, malware, phishing o recursos externos engañosos.
- Archivos modificados o avisos sobre spam. Una notificación del proveedor sobre archivos sospechosos, correos no solicitados o actividad inusual es otro indicio que conviene contrastar.
La documentación de WordPress.org sobre sitios hackeados y la ayuda de Google sobre Problemas de seguridad describen indicadores y tipos de incidencias que pueden aparecer en un sitio comprometido.
Cómo comprobar los indicios
1. Reproduce el problema en otro entorno
Si ves una redirección o un aviso, abre la misma URL en una ventana privada con las extensiones desactivadas y, si puedes, en otro dispositivo. Si solo sucede en un navegador, revisa también sus extensiones y el dispositivo. Que no puedas reproducirlo en otro equipo no descarta que la web afecte a algunos visitantes.
2. Revisa Search Console
Si tienes acceso a la propiedad verificada del sitio, abre el informe Problemas de seguridad. Comprueba la categoría del aviso, la fecha y las URL de ejemplo.
Google indica que esas URL pueden ser solo una muestra, así que revisa también páginas relacionadas. Si el informe no muestra problemas, significa que no aparecen incidencias detectadas allí; no equivale a un análisis completo de todos los archivos y datos del sitio.
3. Consulta Navegación segura y los resultados de búsqueda
Si no tienes Search Console, puedes introducir el dominio en el informe público de Navegación segura de Google. También puedes buscar el dominio junto a un término que no debería aparecer en tu web, como la palabra «casino».
Estas comprobaciones ayudan a encontrar alertas o páginas indexadas; no inspeccionan por sí solas todos los archivos de WordPress.
4. Revisa el panel de WordPress
En Usuarios > Todos los usuarios, comprueba quién tiene el rol de administrador y si reconoces cada cuenta. Revisa también los plugins instalados, los temas y el contenido reciente. Un nombre desconocido es motivo para investigar, pero confirma antes con tu equipo o proveedor quién tiene acceso.
No elimines cuentas ni plugins mientras solo estás recopilando indicios.
5. Ejecuta un análisis de seguridad si ya tienes un plugin instalado
Por ejemplo, en Wordfence puedes abrir Wordfence > Scan > Start New Scan; las etiquetas pueden variar según el idioma o la versión. El escáner revisa archivos y patrones de malware conocidos. Un aviso requiere revisar el archivo señalado: un cambio puede ser legítimo y no ser malware. Un resultado limpio tampoco cubre todas las posibles alteraciones. Consulta la ayuda de análisis de Wordfence.
6. Pide una revisión de archivos y registros si quedan dudas
El panel de WordPress no muestra todos los archivos, la base de datos ni los registros del servidor. Esa revisión requiere acceso al hosting y conocimientos técnicos. Facilita las URL afectadas, la fecha y hora, los mensajes recibidos y los últimos cambios realizados.
Cómo interpretar los resultados
| Lo que observas | Cómo interpretarlo |
|---|---|
| Search Console señala páginas pirateadas, malware o phishing que no reconoces | Es un aviso importante. Revisa la categoría y las URL de ejemplo; el problema también podría afectar recursos externos incrustados. |
| Hay un administrador desconocido, contenido ajeno o una redirección repetible | Son indicios sólidos si confirmas que ningún colaborador autorizado los añadió. |
| La web está lenta o muestra un error 500 aislado | Por sí solo, no demuestra un hackeo. También puede deberse a un plugin, PHP o un problema del servidor. |
| Search Console no muestra avisos y el escáner no encuentra malware | Es un resultado favorable en esas comprobaciones, pero no garantiza que no haya cambios ocultos. |
Si encuentras indicios
Guarda la URL exacta, el mensaje o aviso, la hora y zona horaria, el dispositivo desde el que lo viste y cualquier captura. Anota también las actualizaciones o cambios recientes. No envíes contraseñas ni el contenido del archivo de configuración de WordPress al pedir ayuda.
No borres archivos ni desactives plugins al azar: podrías eliminar contenido legítimo o dejar activa una puerta de entrada. Antes de iniciar una limpieza o restauración, conserva una copia de los archivos y de la base de datos si es posible.
Si necesitas actuar antes de limpiar, sigue los primeros pasos tras detectar un WordPress hackeado. Si quieres ver opciones de recuperación, consulta cómo recuperar un WordPress hackeado.
¿Prefieres que un técnico se encargue de la recuperación? Solicita la restauración garantizada de WordPress de miHosting por 169 USD. Si no conseguimos restaurar tu sitio, te devolvemos el dinero. El servicio está disponible aunque uses otro hosting.
De la idea a tu primera web.
Prueba el hosting gratis durante 6 meses. Cuando necesites más recursos y soporte, compara nuestros planes profesionales. El dominio se contrata por separado.