Me han hackeado la web de WordPress, ¿qué hago primero?

Lo primero que debes hacer es aislar la web: activa el modo mantenimiento o bloquea el acceso desde el panel del hosting. Después, cambia todas las contraseñas (WordPress, hosting, FTP, base de datos). Revisa qué archivos han modificado, restaura desde una copia de seguridad limpia anterior al hackeo, y actualiza todo. Si no tienes backup, toca limpiar a mano.

Actualizado el 2026-10-01

Paso 1: Aísla la web inmediatamente

Antes de tocar nada, corta el acceso público a la web. Cada minuto que pasa, el malware puede estar enviando spam, robando datos de tus visitantes o infectando a otros sitios del servidor. Tu prioridad es detener el daño.

Tienes varias opciones según tu nivel de acceso:

• → Desde el panel del hosting (cPanel, Plesk, hPanel): busca la opción «Suspender sitio» o activa la protección con contraseña del directorio raíz.
• → Renombrando el archivo .htaccess: conéctate por FTP y renombra .htaccess a .htaccess_backup. Esto romperá la web, pero también cortará cualquier redirección maliciosa.
• → Con un plugin de mantenimiento: si aún tienes acceso al admin, activa un plugin como WP Maintenance Mode. Es la opción más limpia.

La velocidad importa. Un sitio hackeado que sigue online puede acabar en la lista negra de Google en cuestión de horas.

Paso 2: Cambia todas las contraseñas

Cambia las contraseñas de todo lo relacionado con la web. No solo la de WordPress: también las del hosting, FTP, base de datos y cualquier cuenta de correo asociada. Los atacantes suelen dejar puertas traseras, y si mantienes las mismas credenciales, volverán a entrar.

Después de cambiar la contraseña de la base de datos, actualiza el archivo wp-config.php con la nueva. Si no lo haces, la web dejará de funcionar porque no podrá conectarse a la base de datos.

Paso 3: Identifica qué han tocado

Antes de limpiar, necesitas saber qué archivos han modificado. Esto te dirá si puedes restaurar un backup limpio o si vas a tener que hacer limpieza manual archivo por archivo.

Revisa estas ubicaciones habituales de malware:

• → /wp-content/uploads/ – busca archivos .php que no deberían estar ahí
• → /wp-includes/ – compara con una instalación limpia de WordPress
• → /wp-content/themes/ – revisa archivos modificados recientemente
• → /wp-content/plugins/ – plugins desconocidos o carpetas con nombres extraños
• → Archivos en la raíz: index.php, wp-config.php, .htaccess

Desde el administrador de archivos del hosting puedes ordenar por fecha de modificación. Cualquier archivo tocado después de tu última actualización legítima es sospechoso.

Busca patrones típicos de código malicioso:

• ✕ Funciones eval(), base64_decode(), gzinflate() ofuscadas
• ✕ Inclusiones de URLs externas desconocidas
• ✕ Código al principio de archivos PHP que no tiene sentido
• ✕ Usuarios administradores que tú no creaste

Paso 4: Restaura o limpia

Si tienes una copia de seguridad limpia anterior al hackeo, restaurarla es la opción más rápida y segura. Si no tienes backup, toca limpiar a mano. Ambas vías funcionan, pero la primera te ahorra horas de trabajo.

Opción A: Restaurar desde backup

Opción B: Limpieza manual

Sin backup, el proceso es más largo pero perfectamente viable:

• → Descarga una copia limpia de WordPress desde wordpress.org
• → Reemplaza las carpetas /wp-admin/ y /wp-includes/ completas con las limpias
• → Revisa /wp-content/ archivo por archivo
• → Elimina cualquier plugin o tema que no reconozcas
• → Reinstala plugins y temas desde fuentes oficiales
• → Limpia la base de datos: revisa las tablas wp_options y wp_posts buscando código inyectado

La limpieza manual puede llevar varias horas. Si la infección es profunda, a veces es más rápido montar WordPress de cero y migrar solo el contenido.

Paso 5: Blinda la web para que no vuelva a pasar

Una vez limpia la web, toca cerrar las puertas por las que entraron. La mayoría de hackeos en WordPress vienen por plugins desactualizados, contraseñas débiles o temas pirateados. Eliminar esas vulnerabilidades reduce drásticamente el riesgo.

• ✓ Actualiza todo: WordPress, plugins, temas. Configura actualizaciones automáticas para lo crítico.
• ✓ Elimina lo que no uses: plugins desactivados, temas inactivos. Si está ahí, puede ser explotado.
• ✓ Instala un plugin de seguridad: Wordfence, Sucuri o iThemes Security te dan firewall, escaneo de malware y protección de login.
• ✓ Limita intentos de login: bloquea IPs que fallen varias veces.
• ✓ Usa autenticación de dos factores: para todos los usuarios admin.
• ✓ Configura backups automáticos: diarios o semanales, almacenados fuera del hosting (Google Drive, Dropbox, Amazon S3).
• ✓ Cambia el prefijo de las tablas: si sigue siendo wp_, cámbialo a algo menos predecible.

Qué hacer si no funciona

Si has seguido todos los pasos y el malware vuelve a aparecer, probablemente queda una puerta trasera escondida. Esto pasa cuando el atacante dejó código en un lugar que no revisaste: una tabla de la base de datos, un archivo oculto o incluso en el propio hosting si compartías servidor con otros sitios infectados.

En ese caso, tienes dos opciones:

• → Contratar un servicio especializado en limpieza de malware: empresas como Sucuri o servicios de tu propio hosting ofrecen limpieza profesional. El coste varía según el proveedor.
• → Reinstalar desde cero: WordPress nuevo, plugins nuevos, tema nuevo. Migras solo el contenido (textos e imágenes) exportándolo con la herramienta nativa de WordPress o con WP All Export.

Si Google ya ha marcado tu web como peligrosa, necesitarás solicitar una revisión desde Google Search Console una vez esté limpia. El proceso de revisión suele tardar entre unos días y un par de semanas.

Herramientas útiles para detectar malware

Preguntas frecuentes

¿Cómo sé si mi WordPress ha sido hackeado?

Señales claras: redirecciones a webs extrañas, usuarios admin que no creaste, archivos modificados recientemente, alertas de seguridad de Google, correos de spam enviados desde tu servidor o caída brusca del tráfico orgánico.

¿Puedo limpiar la web yo mismo o necesito un profesional?

Si tienes acceso al hosting, conocimientos básicos de FTP y un backup limpio, puedes hacerlo tú. Si la infección persiste después de varios intentos o no te sientes cómodo tocando archivos, es mejor contar con ayuda profesional.

¿Cuánto tiempo tarda en limpiarse una web hackeada?

Restaurar desde backup limpio puede llevar menos de una hora. Limpieza manual de infección moderada, entre dos y seis horas. Infecciones profundas con puertas traseras pueden requerir varios días de trabajo.

¿Perderé el posicionamiento en Google?

Si actúas rápido, probablemente no. Google entiende que los hackeos ocurren. Lo importante es limpiar antes de que te marquen como sitio peligroso y solicitar revisión en Search Console una vez resuelto.

¿Por qué me han hackeado a mí?

Casi nunca es personal. Los bots escanean internet buscando instalaciones de WordPress con vulnerabilidades conocidas: plugins desactualizados, contraseñas débiles, temas pirateados. Cuando encuentran una, atacan automáticamente.

¿Cómo evito que vuelva a pasar?

Actualiza WordPress, plugins y temas siempre. Usa contraseñas fuertes y únicas. Elimina todo lo que no uses. Configura backups automáticos externos. Instala un plugin de seguridad con firewall. Y nunca instales plugins o temas pirateados.

¿Mi hosting tiene alguna responsabilidad?

Depende. Si el ataque vino por una vulnerabilidad en tu instalación, es responsabilidad tuya. Si el servidor compartido estaba comprometido, el hosting debería responder. Muchos proveedores ofrecen limpieza gratuita o restauración de backups incluidos en el plan.