Casi nunca se nota el día que pasa. Un WordPress hackeado no suele enseñar una calavera en la portada: sigue funcionando y, por detrás, envía spam, redirige a otras webs desde el móvil o esconde enlaces de publicidad. Por eso conviene saber qué señales mirar.
Señales de que tu web está comprometida
- Desde el móvil, o desde Google, tu web lleva a otra página que no es la tuya.
- En Google aparecen resultados de tu dominio con títulos en otros idiomas o de productos que no vendes.
- Google o el navegador avisan de que el sitio puede ser peligroso.
- Aparecen usuarios administradores que no has creado.
- El hosting te avisa de que tu web envía correo masivo o gasta demasiados recursos.
- La web va mucho más lenta sin motivo aparente.
Qué hacer en la primera hora
- No borres nada todavía. Los archivos modificados son la pista para saber por dónde entraron.
- Avisa a tu hosting. Muchos tienen herramientas para detectar archivos infectados y pueden aislar la web.
- Cambia todas las contraseñas: las de los administradores de WordPress, la del hosting, la del FTP y la de la base de datos. Desde otro ordenador, por si el problema estuviera en el tuyo.
- Revisa los usuarios y elimina los que no reconozcas.
- Busca una copia de seguridad limpia, de antes de las primeras señales. Si la tienes, restaurarla suele ser lo más rápido.
Limpiar y cerrar la puerta
Restaurar la copia no basta si no cierras el agujero por el que entraron, porque volverán por el mismo sitio en días. Lo habitual es un plugin o un tema sin actualizar con una vulnerabilidad conocida, una contraseña débil o un plugin descargado de una web pirata. Hay que actualizarlo todo, borrar lo que no se usa y pasar un escáner de seguridad.
Si Google marcó la web como peligrosa, cuando esté limpia pide la revisión desde Search Console. Puede tardar unos días en retirar el aviso.
Cómo evitar que pase
- Actualizaciones al día del núcleo, los plugins y el tema.
- Pocos plugins, y todos de fuentes oficiales.
- Contraseñas largas y verificación en dos pasos para los administradores.
- Limitar los intentos de acceso y cambiar la dirección de entrada al panel.
- Copias automáticas, guardadas fuera y probadas. Lo contamos en copias de seguridad en WordPress.
Los ataques a WordPress son automáticos: no te eligen a ti, rastrean internet buscando versiones viejas. Por eso el mantenimiento no es un lujo, es lo que te ahorra esta tarde. Y si tu web apenas va a cambiar, una web estática, sin panel ni plugins, elimina casi todo este riesgo de raíz.
