Una alerta del hosting, redirecciones extrañas, usuarios desconocidos, advertencias del navegador o cambios que nadie autorizó pueden indicar que una web WordPress está comprometida. No todo problema técnico es malware, pero conviene tratar los signos con cuidado hasta confirmar el origen.
La prioridad inicial no es “arreglar la apariencia” del sitio. Es preservar información, contener el problema y recuperar el control sin eliminar evidencia o volver a instalar la misma vulnerabilidad.
1. Registra lo que está ocurriendo
Anota cuándo apareció el problema, qué páginas están afectadas, qué mensajes muestra el hosting o navegador, cambios recientes de plugins, temas, usuarios o accesos. Guarda capturas y, si existe, el aviso del proveedor.
Este registro ayuda a distinguir entre una caída de servicio, una mala configuración y un compromiso real. También acelera el trabajo de quien revise el sitio.
2. Evita cambios impulsivos
No borres archivos al azar ni restaures una copia sin evaluar qué la originó. Una restauración puede devolver temporalmente el sitio, pero si el plugin vulnerable, credencial expuesta o acceso comprometido sigue presente, el problema puede repetirse.
Si el sitio procesa compras, formularios sensibles o información de clientes, evalúa con el proveedor de hosting si corresponde limitar temporalmente el acceso público mientras se revisa el incidente.
3. Crea una copia del estado actual
Antes de una limpieza, conserva una copia de archivos y base de datos del estado afectado. Parece contraintuitivo, pero puede servir para investigar qué cambió o recuperar contenido legítimo que no exista en un respaldo anterior.
También revisa con el hosting qué copias de seguridad tiene disponibles, sus fechas y si cubren archivos además de la base de datos.
4. Revisa accesos y entorno
Cambia las contraseñas de las cuentas con acceso al sitio: WordPress, hosting, SFTP o SSH, base de datos, correo administrativo y servicios conectados. Usa contraseñas únicas y considera activar segundo factor donde esté disponible.
No olvides el equipo local. La documentación oficial de WordPress recomienda revisar también las computadoras desde las que se administró el sitio, porque una credencial puede haberse expuesto fuera del servidor.
5. Limpia, actualiza y busca la causa
La limpieza debe revisar archivos modificados, usuarios, plugins, temas, tareas programadas y configuraciones. Después, actualiza WordPress, extensiones y temas desde fuentes legítimas; elimina los componentes que ya no se usan.
No existe una receta única para todos los incidentes. La propia guía oficial de WordPress para sitios comprometidos plantea documentar síntomas, escanear el sitio y entorno, revisar backups y entender el vector de entrada antes de dar el caso por cerrado.
6. Valida antes de volver a operar normalmente
Prueba páginas críticas, formularios, pagos, correos y el panel de administración. Revisa que no haya usuarios inesperados, redirecciones, alertas del navegador o procesos extraños. Después de confirmar la limpieza, cambia nuevamente las contraseñas relevantes.
Cuándo pedir apoyo
Si el sitio fue bloqueado, hay datos de clientes involucrados, el problema vuelve tras una restauración o no puedes explicar qué ocurrió, es mejor escalarlo. La desinfección de malware WordPress empieza con diagnóstico y alcance para evitar aplicar una solución a ciegas.
Después de recuperar la web, conviene establecer un plan de hosting WordPress administrado con actualizaciones, backups y monitoreo.