WordPress hackeado: qué hacer, paso a paso (2026)

Reconocer un WordPress hackeado antes de que lo haga Google

En la mayoría de los casos, el propietario se entera de la infección por otra persona. Estas señales permiten detectarla antes.

Los síntomas que no engañan

Un hackeo rara vez se manifiesta con una página de inicio desfigurada. Los ataques modernos buscan la discreción: cuanto más invisible permanece la infección, más rentable resulta. Las señales a vigilar son, por tanto, indirectas. Los resultados de Google de tu sitio muestran títulos en japonés, en ruso o palabras como “casino”, “viagra”, “cripto”, aunque tus páginas no han cambiado. Algunos visitantes te avisan de una redirección hacia un sitio de apuestas o de citas, a veces solo desde el teléfono, nunca desde el ordenador. Search Console envía un mensaje de “Problemas de seguridad detectados”. Tu proveedor de hosting bloquea el envío de correos porque el servidor está enviando spam. Un antivirus bloquea tu página. En wp-admin aparece un administrador que nunca creaste en la lista de usuarios, o se ha instalado solo un plugin desconocido. El sitio se vuelve lento sin motivo, o la cuota de disco se dispara por culpa de miles de archivos HTML generados en una subcarpeta. Cada una de estas señales, por separado, puede tener otra explicación; pero dos de ellas juntas ya bastan para considerar el sitio como un WordPress hackeado y pasar a la verificación sin esperar. El peor escenario es aquel en el que nadie se da cuenta: la infección persiste durante meses, Google va degradando el posicionamiento página a página, y el problema se descubre cuando la facturación ya ha caído.

WordPress hackeado o falso positivo: verificar en diez minutos

Antes de tocar nada, confirma el diagnóstico desde fuera. Escribe en Google site:votredomaine.fr y revisa los resultados: páginas que nunca escribiste delatan una inyección SEO. Abre tu sitio desde un teléfono, en modo incógnito, accediendo a través de un resultado de Google en lugar de escribir la dirección directamente, ya que muchas redirecciones solo se activan en ese caso. Consulta Search Console, pestaña de Seguridad y acciones manuales. Pasa la dirección por un escáner externo como Sucuri SiteCheck o VirusTotal. En el servidor, revisa la fecha de modificación de los archivos: un wp-config.php, un index.php o un .htaccess modificado recientemente sin intervención por tu parte está casi con total seguridad afectado. Haz una lista de los usuarios administradores y los plugins activos, y compárala con lo que conoces. Anota todo en un documento: fechas, archivos, síntomas, capturas de pantalla. Este registro servirá para tres cosas: demostrar el incidente a tu proveedor de hosting, solicitar la reconsideración a Google tras la limpieza, y entender por dónde entraron para cerrar esa puerta. En esta fase, no borres nada, no lances ninguna actualización, no cambies de tema: podrías borrar pistas útiles para la limpieza.

Los seis pasos para reparar un WordPress hackeado

El orden importa. Limpiar antes de bloquear el acceso es limpiar dos veces.

Paso 1 y 2: aislar y luego guardar el estado infectado

La primera acción consiste en cortar el acceso a los atacantes mientras trabajas. Activa un modo de mantenimiento a nivel de servidor, no mediante un plugin de WordPress que podría estar comprometido a su vez. Cambia de inmediato todas las contraseñas: cuentas de administrador de WordPress, FTP o SFTP, base de datos, panel de hosting, y la dirección de correo vinculada a la cuenta de administrador. Si tu proveedor de hosting ofrece un bloqueo temporal de la cuenta, utilízalo. Segunda acción, contraintuitiva: guarda el sitio tal como está, infectado. Archivos y base de datos, en un archivo comprimido con fecha, guardado fuera del servidor. Esta copia no está destinada a restaurarse; sirve para volver atrás si la limpieza rompe algo, y para comparar los archivos antes y después. A continuación, recupera las copias de seguridad anteriores: las de tu proveedor de hosting, las de tu plugin de copias de seguridad, e identifica la última versión de la que estés seguro de que estaba limpia. Ten cuidado, en un WordPress hackeado desde hace varias semanas, la mayoría de las copias de seguridad automáticas ya contienen la infección. Una copia de seguridad limpia de hace tres meses vale más que una contaminada de ayer, siempre que puedas volver a incorporar el contenido publicado entre medias.

Paso 3: limpiar los archivos y la base de datos

La limpieza más fiable no consiste en cazar el archivo sospechoso, sino en reemplazarlo todo. Descarga una versión nueva de WordPress desde wordpress.org y sustituye por completo las carpetas wp-admin y wp-includes, así como todos los archivos de la raíz excepto wp-config.php y .htaccess, que debes revisar línea por línea. Haz lo mismo con cada plugin y cada tema: elimina la carpeta y reinstala desde la fuente oficial. Lo que no tenga una fuente oficial, o que ya no uses, elimínalo. Queda entonces wp-content/uploads, que no debería contener ningún archivo PHP: búscalos y elimínalos, comprobando antes de que no se trate de un archivo de caché legítimo de algún plugin. La siguiente tabla resume los lugares donde las infecciones se esconden con más frecuencia.

Ubicación	Qué se encuentra ahí	Acción
`wp-content/uploads/*.php`	Puertas traseras colocadas a través de un fallo de subida de archivos	Eliminar y, después, prohibir la ejecución de PHP en esta carpeta
`wp-content/mu-plugins`	Plugins cargados automáticamente, invisibles en la lista clásica	Revisar cada archivo y conservar solo los conocidos
`.htaccess` y `index.php`	Redirecciones condicionales hacia sitios de spam	Sustituir por la versión original
Tabla `wp_options`	Scripts inyectados en las opciones del tema o de los widgets	Buscar `<script`, `eval(`, `base64`
Tabla `wp_posts`	Miles de artículos de spam, iframes en los contenidos	Eliminar en masa por fecha y autor
Tabla `wp_users`	Administradores creados por el atacante	Eliminar y reasignar los contenidos

Pasos 4 a 6: cerrar la puerta, verificar y solicitar la reconsideración

Un WordPress hackeado que se limpia sin corregir la causa se reinfecta en 48 horas, porque el bot que lo encontró vuelve a pasar. Identifica la puerta de entrada con ayuda de los registros de acceso del servidor en torno a la fecha del primer archivo sospechoso: una solicitud POST hacia un archivo de plugin justo antes de que aparezca la puerta trasera señala al culpable. Actualiza WordPress, todos los plugins y el tema. Elimina las cuentas desconocidas. Regenera las claves de seguridad en wp-config.php para invalidar todas las sesiones abiertas. A continuación, verifica: vuelve a lanzar el escáner externo, comprueba los resultados site:, prueba la redirección desde un teléfono, vigila los archivos modificados durante una semana. Si Google había marcado el sitio, solicita la reconsideración desde Search Console describiendo lo que se ha hecho; el levantamiento tarda entre unas horas y unos días. Si tu proveedor de hosting había suspendido la cuenta, envíale el registro de la limpieza. Por último, avisa a tus visitantes si se han podido filtrar datos personales: en Europa, una notificación a la autoridad de protección de datos puede ser obligatoria en un plazo de 72 horas. Esta lista de control final evita el olvido más frecuente: el de las contraseñas reutilizadas en otros sitios.

Todas las contraseñas cambiadas, incluida la de la base de datos
Claves de seguridad regeneradas, sesiones invalidadas
Escáner externo limpio, resultados de Google sin páginas desconocidas
Reconsideración solicitada, proveedor de hosting informado
Vigilancia de archivos activa durante los próximos 30 días

Qué hace que un sitio se hackee, y cómo evitarlo

Entender la causa es la única forma de no revivir la misma semana dentro de seis meses.

WordPress hackeado: las causas reales, con datos que lo respaldan

Nadie apunta a tu sitio en particular. Los ataques los llevan a cabo programas que escanean millones de direcciones, detectan una versión de plugin vulnerable y explotan el fallo en cuestión de segundos, para luego vender el acceso. Los informes anuales de las empresas de limpieza coinciden: más de la mitad de las infecciones se producen a través de un plugin o un tema sin actualizar, en torno a una quinta parte por una contraseña débil o robada en una filtración de datos, una décima parte por un hosting compartido donde un sitio abandonado contamina a sus vecinos, y el resto por temas de pago descargados de sitios de contenido pirata, que vienen con una puerta trasera integrada de serie. Los fallos del núcleo de WordPress en sí son poco frecuentes y se corrigen en cuestión de horas. Dicho de otro modo, un WordPress hackeado es casi siempre un sitio que llevaba meses sin actualizarse, o cuya cuenta usaba la misma contraseña que un servicio hackeado en otro sitio. La buena noticia es que ambas causas se corrigen sin necesidad de conocimientos técnicos: una actualización semanal y un gestor de contraseñas sacan al sitio de la lista de objetivos fáciles. Los bots no insisten; pasan al siguiente.

La rutina que protege de verdad

Una buena protección se basa en unos pocos hábitos regulares, más que en un plugin de seguridad pesado. Esta es la rutina mínima para un sitio de empresa.

Actualizaciones cada semana: núcleo, plugins, tema. Activa las actualizaciones automáticas para todo lo que no sea crítico, y prueba las demás en una copia.
Eliminación de lo innecesario: cada plugin desactivado pero que sigue presente es una puerta potencial.
Cuentas limpias: un administrador por persona, contraseñas únicas, doble factor de autenticación, ninguna cuenta “admin”.
Endurecimiento básico: edición de archivos desactivada en wp-admin, PHP prohibido en uploads, XML-RPC desactivado si no se usa.
Copias de seguridad probadas: diarias, guardadas fuera del servidor, y restauradas una vez por trimestre para comprobar que funcionan.
Vigilancia: alerta ante cualquier archivo PHP nuevo o modificado, ante cualquier nuevo administrador, ante cualquier cambio en wp-config.php.

El último punto marca toda la diferencia entre un WordPress hackeado descubierto en una hora y una infección descubierta por Google tres meses después. También es el que casi nadie pone en marcha, porque requiere una herramienta que revise el sitio todos los días.

WordPress hackeado: cuándo recurrir a un profesional

La limpieza descrita más arriba está al alcance de cualquier persona que se maneje con un cliente FTP y phpMyAdmin, para un sitio sencillo. Deja de estarlo en varias situaciones: una tienda WooCommerce con pedidos que preservar, un sitio multilingüe de varios cientos de páginas, una infección que reaparece después de cada limpieza, o un hosting en el que no tienes acceso a los registros. En estos casos, el coste de una intervención profesional, generalmente entre 150 y 600 euros según el tamaño del sitio, es inferior al coste de una semana de pruebas a ciegas y un sitio fuera de línea. Antes de contratar, pregunta qué incluye el servicio: identificación de la causa, limpieza de los archivos y de la base de datos, corrección del fallo, solicitud de reconsideración a Google, y garantía en caso de reinfección en el plazo de un mes. Desconfía de las ofertas que se limitan a lanzar un escáner y eliminar lo que detecta; un escáner no detecta las cuentas de administrador añadidas ni las opciones modificadas. Si gestionas varios sitios, la verdadera ventaja no está en la intervención puntual, sino en la vigilancia continua: una herramienta que compara cada día los archivos con una huella conocida, enumera los administradores inesperados y despliega las actualizaciones en todo el parque convierte una emergencia en una notificación de rutina.

Preguntas frecuentes

¿Hay que restaurar una copia de seguridad o limpiar? Restaurar es más rápido si tienes una copia de seguridad con total certeza de que está limpia y poco contenido publicado desde entonces. Si no, limpiar sustituyendo los archivos sigue siendo el método más fiable, y en ambos casos hay que corregir la causa.

¿Un plugin de seguridad habría evitado el hackeo? Probablemente habría bloqueado los intentos de inicio de sesión, pero no la explotación de un plugin obsoleto. Las actualizaciones protegen más que el cortafuegos.

¿Cuánto tiempo lleva una limpieza completa? Desde dos horas para un sitio informativo hasta dos días para una tienda con la base de datos contaminada, sin contar el plazo de reconsideración por parte de Google.

¿Va a penalizar Google el sitio de forma duradera? No, si la limpieza es completa y se solicita la reconsideración. El posicionamiento suele recuperarse en pocas semanas.