WordPress hackeado: qué hacer y cómo evitarlo

Todavía me llegan clientes con la web hackeada más veces de las que me gustaría. Casi siempre el patrón es el mismo: WordPress sin actualizar desde hace meses (o años), un plugin gratuito de dudosa procedencia, o una contraseña que llevaba ahí desde 2019. Te cuento qué hago cuando pasa y, más importante, qué evita que pase.

Cómo sé que está hackeado

No siempre es obvio. A veces es evidente (la home reemplazada por spam de casino online, redirecciones raras a webs turcas), pero muchas veces es más sutil: Google Search Console avisando de contenido “engañoso”, el hosting bloqueando la cuenta por enviar spam masivo, o simplemente que la web va lenta porque hay un script minando lo que sea en segundo plano sin que nadie lo note.

Lo primero que hago

• Aislar, no borrar. Antes de tocar nada, hago una copia completa (archivos + base de datos) tal cual está. Si algo sale mal limpiando, quiero poder volver al punto de partida.
• Buscar el punto de entrada. Reviso plugins/themes desactualizados o nulled (versiones “premium gratis” descargadas de sitios que no son el oficial — casi siempre llevan puertas traseras incluidas de fábrica), usuarios admin que no reconoce el cliente, y archivos modificados recientemente que no deberían haber cambiado.
• Limpiar de verdad, no solo lo visible. Quitar el malware visible no basta si queda una puerta trasera escondida en algún archivo con nombre inofensivo. Esto es lo que más tiempo lleva, y es la parte donde un plugin de seguridad gratuito no te va a salvar por sí solo.
• Reinstalar el core desde cero y forzar cambio de todas las contraseñas (WordPress, hosting, base de datos, FTP).

Lo que de verdad reduce el riesgo

Nada de esto es una fórmula mágica, pero es lo que aplico en cualquier proyecto que mantengo:

• Actualizaciones al día (lo explico con más detalle en cuántas actualizaciones necesita WordPress al mes) — la mayoría de hackeos explotan vulnerabilidades ya parcheadas hace meses, no fallos de día cero.
• Cero plugins nulled o de fuentes que no sean el repositorio oficial o el proveedor directo. Es la vía de entrada número uno que veo.
• Autenticación en dos pasos para cualquier usuario con rol de administrador.
• Un hosting que se tome la seguridad en serio a nivel de servidor, no solo a nivel de plugin. En mi hosting gestionado meto capas de esto por defecto (firewall, escaneo, aislamiento entre cuentas) precisamente porque confiar solo en un plugin dentro del propio WordPress comprometido es confiar en un vigilante que ya está atado.
• Backups automáticos que no dependan del propio WordPress para funcionar (si el sitio está comprometido, un backup que se genera desde dentro también puede estar comprometido).
• Alguien vigilando esto de forma continua, no solo el día que se instaló la web. Es literalmente lo que hago con los clientes de entornoWP: actualizaciones y seguridad gestionadas para que nadie tenga que acordarse de esto por su cuenta.

A nivel más técnico, hay varios ajustes concretos que aplico casi por sistema en cualquier WordPress que mantengo: desactivar XML-RPC, limitar los intentos de inicio de sesión, bloquear el editor de archivos del admin y ocultar la versión de WordPress. Ninguno por separado te hace invulnerable, pero entre todos cierran las puertas más obvias.

Lo que no te va a salvar

Un plugin de seguridad instalado y olvidado no es una estrategia, es una falsa sensación de tranquilidad. Y ojo, tampoco existe el “100% seguro” — cualquiera que te lo prometa te está vendiendo humo. Lo realista es reducir la superficie de ataque y tener un plan para cuando (no si) algo falle, no una promesa de que nunca va a pasar.

Si te ha pasado y no sabes por dónde empezar, mejor no lo toques tú solo intentando “limpiarlo rápido” borrando cosas al azar — es la forma más fácil de perder contenido sin arreglar el problema de raíz.