Guía para principiantes para arreglar tu sitio de WordPress hackeado

Tu sitio de WordPress está hackeado. Los visitantes pueden ver advertencias, las páginas pueden redirigir a spam y tu negocio podría estar perdiendo tráfico y ventas a cada minuto que pasa.

La buena noticia es que puedes recuperarlo. La clave es seguir el orden correcto: contener la brecha, eliminar el malware, restaurar tu sitio y asegurarlo contra otro ataque.

Hemos ayudado a cientos de usuarios de WordPress a recuperar sitios hackeados, y también hemos lidiado con problemas de seguridad en nuestros propios sitios.

Hoy en día, los atacantes utilizan cada vez más la IA para encontrar y explotar vulnerabilidades recién parcheadas en plugins de WordPress, lo que hace que la acción rápida sea más importante que nunca.

En esta guía, te mostraremos cómo arreglar tu sitio de WordPress hackeado paso a paso, incluso si nunca antes has limpiado un hackeo.

Respuesta rápida: Primero contiene el daño desde fuera de WordPress, luego contrata un servicio de limpieza o borra el servidor y reconstruye con archivos limpios.

Aquí está la secuencia completa, con cada paso explicado a continuación:

Paso 1. Contener el daño

Antes de limpiar nada, evita que el sitio cause más daño a tus visitantes y a tu reputación.

Pon tu sitio detrás de una pantalla de "próximamente" desde fuera de WordPress. La forma más fácil es el Modo "Bajo Ataque" gratuito de Cloudflare, que desafía a cada visitante antes de que llegue a tu sitio.

También puedes usar el modo de mantenimiento del panel de control de tu host, o redirigir temporalmente tu DNS.

A continuación, cambie su contraseña de administrador de WordPress y la contraseña de su cuenta de hosting de inmediato. Si no puede iniciar sesión en absoluto, consulte nuestra guía sobre qué hacer cuando se ha bloqueado el acceso al administrador de WordPress.

Luego, póngase en contacto con su proveedor de hosting antes de eliminar archivos, restaurar una copia de seguridad o realizar otros cambios importantes en su sitio. Su proveedor de hosting puede mostrarle cómo accedió el atacante y escanear su sitio en busca de malware.

Hágales dos preguntas: "¿Cómo cree que el atacante accedió al sitio?" y "¿Tiene una copia de seguridad reciente y limpia?". La primera puede ayudarle a identificar la vulnerabilidad que necesita ser corregida, mientras que la segunda le indica si tiene un punto de restauración seguro en caso de que el sitio necesite ser revertido.

Finalmente, documente todo. Tome capturas de pantalla de los síntomas y anote la fecha, la hora y exactamente lo que ve.

Necesitará este registro para su host, para un experto en seguridad si contrata a uno y para confirmar que el mismo síntoma ha desaparecido después de la limpieza.

Paso 2. Decidir: ¿Limpiar un sitio hackeado tú mismo o contratar a un experto en seguridad?

No hay una respuesta incorrecta aquí.

Contratar a un profesional es la mejor opción si no se siente cómodo trabajando con archivos y bases de datos, o si desea que se haga bien a la primera. Los hackers ocultan puertas traseras, puntos de entrada secretos que les permiten volver más tarde, en lugares en los que los principiantes rara vez piensan buscar.

Una puerta trasera no detectada significa que el hackeo regresa.

Para una limpieza profesional, Wordfence y MalCare ofrecen servicios de limpieza sólidos. Otra opción que recomendamos es We Watch Your Website, que proporciona una limpieza exhaustiva de seguridad de WordPress.

Puede obtener más información en nuestra guía sobre cómo contratar a un experto en seguridad de WordPress.

Si decide limpiarlo usted mismo, siga el resto de esta guía.

Paso 3. Encontrar dónde se esconde el malware

Comience con un escaneo remoto gratuito de malware para identificar rápidamente archivos o código que puedan necesitar una inspección más detallada. Recomendamos el plugin gratuito Wordfence para esto, pero trate el escáner como un asistente, no como un veredicto.

Luego revise estos lugares comunes donde el malware de WordPress puede ocultarse:

• Archivos falsos que imitan el núcleo de WordPress. Un wp-something.php suelto en una carpeta donde no pertenece, o una segunda copia de wp-load.php.
• Archivos PHP dentro de /wp-content/uploads/. La carpeta de subidas se usa normalmente para imágenes, documentos y otros medios, por lo que los archivos PHP en este directorio merecen atención inmediata.
• Plugins obligatorios desconocidos en /wp-content/mu-plugins/. Estos plugins se cargan automáticamente con WordPress y no aparecen en la página normal de Plugins, lo que los convierte en un lugar atractivo para que los atacantes oculten código malicioso.
• Archivos modificados recientemente. Abra el administrador de archivos de su host y ordene por la fecha de última modificación. Preste especial atención a los archivos que se modificaron alrededor del momento en que comenzó el problema, especialmente si usted no realizó esos cambios.
• Código malicioso en la base de datos. Las filas inyectadas pueden causar redirecciones, páginas de spam e infecciones repetidas incluso después de que los archivos estén limpios.
• Un archivo .htaccess manipulado. Busca reglas de redirección que no hayas agregado.
• Usuarios administradores o FTP desconocidos. Elimina cualquier cuenta que no reconozcas. Una cuenta desconocida podría darle a un atacante otra forma de acceder a tu sitio después de que limpies los archivos.
• Plugins de utilidad que no instalaste. Plugins como WPCode, Code Snippets o File Manager son seguros por sí solos, pero los hackers a veces los instalan para inyectar código. Si un plugin apareció sin que lo hayas instalado, es una señal de alerta.
• Tareas programadas sospechosas. Los hackers usan los cron jobs de WordPress para reinfectar un sitio de forma programada.
• Tu cuenta de CDN. Muchos sitios almacenan sus claves API de CDN dentro de WordPress. Un hacker puede usar esas claves para cambiar archivos a nivel de CDN y agregar skimmers de tarjetas u otro código malicioso, así que revisa tu panel de CDN en busca de cambios que no hayas hecho.

Para una mirada más profunda al lugar de ocultación más común, consulta nuestra guía sobre cómo encontrar una puerta trasera en WordPress y solucionarla.

Paso 4. Hacer una copia de seguridad del sitio hackeado primero

Antes de empezar a eliminar archivos o hacer otros cambios, crea una copia de seguridad completa del sitio hackeado, incluyendo tanto sus archivos como su base de datos.

Esto puede parecer contradictorio, pero esta copia de seguridad te da una instantánea del sitio antes de que comience la limpieza. Si algo sale mal durante el proceso, puedes consultarla para identificar qué cambió. También puede proporcionar evidencia útil para tu proveedor de hosting, experto en seguridad o compañía de seguros si necesitas documentar el incidente.

Etiqueta claramente esta copia de seguridad como la copia infectada y mantenla separada de cualquier copia de seguridad limpia que planees restaurar. No deberías usarla para poner el sitio en línea nuevamente.

Tomar este paso adicional te da una red de seguridad antes de empezar a eliminar malware.

Paso 5. Limpiar el malware: Borrar todo y reconstruir limpio

La única limpieza confiable es un borrado completo. Elimina todo del servidor, es decir, todos los archivos de WordPress y cualquier otra cosa en la cuenta de hosting, luego reconstruye a partir de fuentes limpias conocidas.

Una reinstalación de WordPress solamente no es suficiente. La mayoría de las personas instalan WordPress en la carpeta principal de su cuenta de hosting, pero las puertas traseras a menudo viven completamente fuera de ella, en otra parte de la cuenta, en la raíz web o en un cron job.

Si reinstalas WordPress y dejas el resto del servidor intacto, esa puerta trasera reinfectará tu instalación nueva.

Reconstruye de la manera limpia:

• Descarga archivos nuevos del núcleo de WordPress desde WordPress.org.
• Descarga copias nuevas de tus plugins y tema de sus fuentes oficiales. Nunca reutilices los archivos antiguos.
• Crea un archivo wp-config.php nuevo desde cero.

Solo después del borrado completo deberías restaurar desde una copia de seguridad, y solo una que estés seguro que es anterior al hackeo. Aun así, restaura solo tu contenido y base de datos, no los archivos ejecutables antiguos.

Consulta nuestro tutorial sobre cómo restaurar WordPress desde una copia de seguridad para ver los detalles.

Trae tu contenido de vuelta con cuidado. Vuelve a agregar las subidas y los medios solo después de revisarlos en busca de archivos PHP extraños, y limpia manualmente cualquier fila inyectada si estás restaurando la base de datos.

La función de limpieza automática de un plugin de seguridad puede ayudar, y elimina bien las infecciones conocidas a nivel de WordPress. Pero puede que no detecte una puerta trasera a nivel de servidor que esté fuera de WordPress, por eso la opción de borrar y reconstruir es la opción segura por defecto.

No ejecutes un escáner y creas que ya está hecho.

Paso 6. Restablecer todas las contraseñas, claves y tokens de API

Sí, cambiaste tus contraseñas en el Paso 1. Ahora que el sitio está limpio, hazlo de nuevo, y amplía el alcance, porque el hacker pudo haber visto todo lo que escribiste mientras el sitio aún estaba infectado.

Restablece todas las contraseñas: cuentas de administrador de WordPress, hosting, FTP o SFTP, la base de datos y cualquier cuenta de correo electrónico conectada al sitio. Usa un gestor de contraseñas para que cada una de ellas sea fuerte y única.

Nuestra guía sobre la mejor manera de gestionar contraseñas puede ayudarte. Si tu sitio tiene muchos usuarios, puedes forzar un restablecimiento de contraseña para todos ellos.

A continuación, regenera tus claves secretas de WordPress. Estas claves, también llamadas sales, se encuentran en wp-config.php y protegen las cookies de inicio de sesión.

Restablecerlas cierra la sesión de cualquiera que todavía tenga una cookie secuestrada, incluso después de cambiar las contraseñas. Genera un nuevo conjunto de claves y pégalas en tu wp-config.php, y nuestro artículo sobre claves de seguridad de WordPress explica dónde se encuentran.

Finalmente, rota todas las claves API y tokens que usa el sitio. Esto asegura que las credenciales que el atacante pudo haber accedido ya no se puedan usar para conectarse a tus servicios.

Paso 7. Eliminar las advertencias de "Este sitio puede estar hackeado"

Tu sitio está limpio, pero Google aún puede estar advirtiendo a la gente que se aleje de él. Esa advertencia no desaparece por sí sola rápidamente, así que necesitas solicitar una revisión.

Abre Google Search Console y ve al informe de Problemas de Seguridad. Una vez que corrijas todos los problemas señalados, selecciona los problemas y haz clic en el botón Solicitar revisión.

Describe qué estaba mal y qué hiciste para solucionarlo. Las revisiones suelen tardar unos días y, a veces, más.

Mientras esperas, revisa tu sitio en Google Safe Browsing para ver su estado actual, y mantén el sitio en línea y limpio. Las solicitudes de revisión repetidas con un sitio infectado ralentizan el proceso.

Paso 8. Fortalecer WordPress para que nunca vuelva a suceder

Ahora toma algunas medidas adicionales para evitar que el hacker vuelva a entrar en tu sitio. Hazlas en orden, comenzando con las medidas que bloquean algunas de las formas más comunes en que los atacantes recuperan el acceso.

1. Deshabilita el editor de archivos integrado. Agrega esta línea a tu wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Esto evita que cualquiera con acceso al panel de administración de WordPress edite archivos de temas y plugins directamente. Eso añade una capa importante de protección si alguna vez se compromete una cuenta de administrador.

También puedes seguir nuestra guía sobre cómo deshabilitar los editores de temas y plugins en WordPress.

2. Evita que PHP se ejecute en tu carpeta de subidas. Incluso si un hacker introduce un archivo .php malicioso en /wp-content/uploads/, esta regla hace que el servidor se niegue a ejecutarlo.

En Apache, agrega esto a un nuevo archivo .htaccess dentro de la carpeta de subidas:

<Files *.php>
deny from all
</Files>

En Nginx, pídele a tu proveedor de hosting que agregue la regla de ubicación correspondiente. Nuestro tutorial sobre cómo deshabilitar la ejecución de PHP en ciertos directorios de WordPress te guía a través del proceso.

3. Elimina las instalaciones de plugins del panel de control por completo. Este es el control avanzado que usamos en nuestros propios sitios.

Si tus cambios pasan por un pipeline de implementación como Git, no necesitas instalar plugins desde wp-admin en absoluto. Bloquéalo agregando define('DISALLOW_FILE_MODS', true); a wp-config.php y envía todos los cambios de código a través del pipeline.

Luego, finaliza la lista:

• Configura copias de seguridad automatizadas y externas con un plugin como Duplicator. Si tuvieras una copia de seguridad limpia en el Paso 5, la reconstrucción habría tomado minutos en lugar de días, así que configura esto hoy. Aquí te mostramos cómo hacer una copia de seguridad de tu sitio de WordPress.
• Instala un firewall o un plugin de seguridad con escaneo continuo de malware.
• Activa contraseñas seguras y autenticación de dos factores para cada cuenta.
• Limita los intentos de inicio de sesión y protege tu área de wp-admin.
• Establece los permisos correctos de archivos y carpetas.
• Actualiza el núcleo de WordPress, los plugins y los temas en el orden de actualización adecuado, y elimina todo lo que no estés usando.
• Solo ejecuta plugins y temas de fuentes confiables. Nunca uses versiones nulled o pirateadas, ya que a menudo vienen con malware oculto en su interior.

Preguntas Frecuentes

¿Cómo sé si mi sitio de WordPress fue hackeado?

Las señales comunes son una advertencia del navegador o de Google en tu sitio, tu sitio redirigiendo a los visitantes a sitios web extraños, enlaces o páginas de spam que no creaste, usuarios administradores que no reconoces, una caída repentina del tráfico o que tu host suspenda la cuenta.

¿Cómo puedo limpiar mi sitio de WordPress?

Primero haz una copia de seguridad del sitio infectado, luego elimina todo en la cuenta de hosting, no solo la carpeta de WordPress. Reconstruye con archivos nuevos del núcleo, plugins y temas de WordPress de fuentes oficiales más un nuevo wp-config.php, y restaura solo el contenido de una copia de seguridad que sea anterior al hackeo.

¿Wordfence elimina malware?

El plugin gratuito Wordfence escanea en busca de malware y puede reparar archivos del núcleo modificados, y el servicio de pago incluye limpieza práctica. Como todos los escáneres, funciona a nivel de WordPress, por lo que una puerta trasera en otro lugar del servidor puede sobrevivirle, y es por eso que todavía recomendamos una limpieza completa para infecciones graves.

Esperamos que esta guía te haya ayudado a arreglar tu sitio de WordPress hackeado y a asegurarlo de forma permanente. Para seguir construyendo sobre esto, consulta nuestra guía completa de seguridad de WordPress, o si la limpieza parece demasiado, aquí tienes nuestros consejos sobre cómo contratar a un experto en seguridad de WordPress.