Me hackearon el WordPress: qué hacer, paso a paso
Contenido de esta guía
Si hackearon tu WordPress, actúa en orden: primero contén el daño y cambia todas las contraseñas; luego restaura un respaldo limpio o reinstala WordPress, plugins y temas desde fuentes oficiales; y al final cierra la vía por la que entraron. Limpiar sin corregir la causa casi siempre termina en una nueva infección.
Primero: no entres en pánico ni borres a ciegas
Borrar archivos al azar puede romper el sitio y eliminar pistas sobre cómo entraron. Antes de limpiar, conviene saber qué tienes: una copia del estado actual, la fecha aproximada en que empezó el problema y una lista de lo que cambió en esos días.
El proceso completo, paso a paso
Contén el daño
Si el sitio redirige a otros sitios o distribuye contenido malicioso, actívale una página de mantenimiento desde tu hosting o pide al soporte que lo aísle. Avisa a tu equipo para que nadie siga editando.
Haz una copia del estado actual
Respalda archivos y base de datos tal como están. Sirve para analizar qué pasó y para no perder contenido reciente si tienes que restaurar algo anterior.
Cambia todas las contraseñas
Cambia las del panel del hosting, FTP o SSH, la base de datos (y actualiza
wp-config.php), el correo del administrador y todos los usuarios administradores de WordPress.Restaura un respaldo limpio si lo tienes
Si tienes un respaldo de antes del hackeo, restáuralo. Es la vía más rápida y confiable. Después sigue con los pasos de cierre, porque la vulnerabilidad que usaron sigue ahí.
Si no hay respaldo, reinstala y revisa
Reinstala los archivos de WordPress desde Escritorio › Actualizaciones, borra y vuelve a instalar plugins y temas desde fuentes oficiales, revisa la carpeta
uploads, el.htaccessy los usuarios, y analiza el sitio con un escáner de malware.Cierra la puerta y vigila
Actualiza todo, borra plugins y temas que no uses, genera nuevas claves de seguridad en
wp-config.php, activa la autenticación en dos pasos y revisa Google Search Console por avisos de seguridad.
Dónde suele esconderse el código malicioso
| Lugar | Qué buscar |
|---|---|
wp-content/uploads | Archivos .php: esa carpeta solo debería tener imágenes y documentos |
.htaccess | Redirecciones o reglas que no agregaste, sobre todo hacia otros dominios |
wp-config.php | Código extra al principio o al final del archivo |
| Plugins y temas | Carpetas que no instalaste o archivos con fechas de modificación recientes |
| Usuarios de WordPress | Administradores que no reconoces |
| Base de datos | Scripts o enlaces insertados en entradas, opciones o widgets |
Cómo reinstalar WordPress sin perder contenido
Reinstalar los archivos del núcleo no borra tus entradas, páginas ni ajustes, que viven en la base de datos. Desde Escritorio › Actualizaciones puedes volver a instalar la versión actual. Los plugins y temas, en cambio, conviene borrarlos e instalarlos de nuevo desde wordpress.org o el sitio del desarrollador, en lugar de confiar en las carpetas existentes.
Después de limpiar
- Genera nuevas claves de seguridad (el bloque de salts en
wp-config.php): esto cierra todas las sesiones abiertas, incluidas las del atacante. - Activa la autenticación en dos pasos para todos los administradores.
- Aplica las medidas de la guía de seguridad en WordPress.
- Si Google marcó tu sitio, revisa el informe de problemas de seguridad en Search Console y solicita una revisión.
- Vigila el sitio unas semanas: usuarios nuevos, archivos modificados y tráfico extraño.
El soporte de tu hosting puede revisar los registros del servidor para saber por dónde entraron y, a menudo, restaurar un respaldo propio. En PremiumHosting, por ejemplo, las cuentas cuentan con Imunify360 y respaldos diarios automáticos con JetBackup, que se pueden restaurar con un clic.
Guía revisada con WordPress 7.1.