M’han piratejat el WordPress: què cal fer pas a pas

Obres la teva web i surt una pàgina d’apostes. O Google ensenya un avís vermell abans de deixar entrar ningú. O l’allotjament (el hosting) t’envia un correu dient que t’ha suspès el compte. Si et passa alguna cosa així, el més probable és que t’hagin piratejat el WordPress. T’explico què has de fer la primera hora, què és millor no tocar i com es neteja perquè no torni a passar la setmana següent.

T’ho explico tal com ho faig jo quan em truquen amb una web piratejada. Alguns passos els pots fer tu. Amb d’altres, si no els has fet mai, és fàcil empitjorar les coses, i t’ho aniré dient.

Com saber si t’han piratejat el WordPress

De vegades salta a la vista i de vegades no. Aquests són els senyals que em trobo més sovint:

• La web redirigeix a una altra pàgina, sobretot quan hi entres des de Google o des del mòbil. Des del teu ordinador potser la veus bé, perquè és habitual que el codi maliciós s’amagui de qui ja ha iniciat la sessió.
• A Google surten pàgines del teu domini que no has creat mai, amb títols en japonès, de farmàcia o de casinos. Ho pots comprovar cercant site:elteudomini.cat.
• El navegador mostra un avís de lloc perillós abans d’entrar.
• L’allotjament t’ha suspès el compte o t’avisa que des de la teva web s’envia correu brossa.
• Al WordPress hi ha usuaris administradors que no coneixes.
• Els teus correus comencen a arribar a la carpeta de correu brossa dels clients.

Per sortir de dubtes, Google té una eina pública, l’estat dels llocs de Navegació Segura: hi escrius el domini i et diu si el té marcat com a perillós. Si tens la web donada d’alta a Search Console, mira també l’informe «Problemes de seguretat».

Els primers passos si t’han piratejat el WordPress

La guia oficial de WordPress per a webs piratejades, FAQ My site was hacked (en anglès), comença amb un consell que sembla evident: mantenir la calma. Té la seva lògica. Amb pressa es fan coses que després compliquen la neteja. Aquest és l’ordre que segueixo jo.

1. Apunta què veus i quan ho has vist. Una captura de pantalla, l’hora i l’últim canvi que es va fer a la web: un connector (plugin) nou, una actualització, algú que hi va entrar a tocar alguna cosa. Sembla poca cosa, però ajuda molt a trobar per on han entrat.
2. No esborris ni restauris res encara. Si esborres fitxers a cegues, pots trencar la web i perdre la pista del que ha passat. I si restaures una còpia de seguretat sense saber de quan és la infecció, pot ser que restauris també el problema.
3. Avisa el teu allotjament. En un allotjament compartit, l’atac pot afectar altres webs del mateix compte. A més, et poden confirmar si és un atac o una caiguda del servidor, i de vegades tenen registres que ajuden.
4. Passa un antivirus a l’ordinador des del qual entres a la web. La guia de WordPress ho recomana perquè de vegades la contrasenya es roba des d’allà. Si l’ordinador està infectat, canviar la contrasenya des d’aquest mateix ordinador no serveix de gaire.
5. Canvia totes les contrasenyes. Totes, no només la del WordPress: la del tauler de l’allotjament, la de l’FTP, la de la base de dades i la del correu associat. I les de tots els usuaris que hi tenen accés, no només la teva.
6. Fes una còpia de l’estat actual, encara que estigui infectada. Si alguna cosa surt malament durant la neteja, com a mínim tindràs des d’on tornar a començar.

Fins aquí ho pots fer tu sense coneixements tècnics. El que ve ara ja és una altra història.

Com es neteja una web piratejada

No et donaré un manual perquè la netegis tu, perquè cada cas és diferent. Però sí que t’explico què s’ha de fer, perquè sàpigues què demanar a qui se n’encarregui i puguis comprovar que ho ha fet.

Els fitxers

Els fitxers del nucli de WordPress, les carpetes wp-admin i wp-includes, se substitueixen per còpies netes de la mateixa versió. Els connectors es tornen a baixar del seu origen oficial. El tema es revisa a mà, fitxer per fitxer si cal, perquè sol ser l’única cosa que no es pot tornar a baixar. I es revisen els llocs on el codi maliciós s’amaga sovint: el fitxer .htaccess, el wp-config.php i la carpeta de les imatges, on no hi hauria d’haver cap fitxer PHP.

La base de dades

Moltes infeccions posen codi a les entrades, a les pàgines o a la configuració, no als fitxers. Si només neteges fitxers, la web continua infectada. També cal revisar els usuaris i eliminar els administradors que no ha creat ningú.

Les claus d’accés

WordPress guarda al wp-config.php unes claus secretes amb què signa les sessions. Canviar-les tanca la sessió de qualsevol que encara hi sigui dins, atacant inclòs. I la guia de WordPress insisteix en una cosa que sovint s’oblida: tornar a canviar les contrasenyes quan la web ja és neta.

I si tinc una còpia de seguretat?

Millor. Però restaurar-la no ho arregla tot. Primer cal saber si la còpia és d’abans de la infecció. I encara que ho sigui, si no tanques el forat per on van entrar, hi tornaran a entrar pel mateix lloc.

Per què tantes webs es tornen a infectar

Aquest estiu vaig estar ficat en la neteja de dos servidors piratejats amb moltes webs a dins. Les reinfeccions venien de contrasenyes que no s’havien canviat. Es netejaven els fitxers, la web quedava bé i al cap de pocs dies tornava a estar infectada, perquè algú encara tenia la clau.

L’altre origen habitual són els connectors sense actualitzar. Segons l’informe State of WordPress Security in 2026 de Patchstack, una empresa especialitzada en seguretat de WordPress, el 2025 es van publicar 11.334 vulnerabilitats noves a l’ecosistema de WordPress. El 91 % eren en connectors i el 9 %, en temes. Al nucli de WordPress només en van trobar 6, i de poca importància. El mateix informe diu que, en les vulnerabilitats més atacades, passen unes cinc hores de mediana entre que es fan públiques i el primer atac.

És a dir: el teu WordPress pot estar al dia i el problema pot venir d’un connector que ningú no ha actualitzat des de fa un any.

Si Google marca la teva web com a perillosa

Quan la web ja és neta, Google no treu l’avís tot sol. Li ho has de demanar. A Search Console, dins de l’informe «Problemes de seguretat», es demana una revisió i s’explica què s’ha corregit. Google diu que la revisió pot trigar des d’uns quants dies fins a unes quantes setmanes. Per això val la pena demanar-la només quan estàs segur que la web és neta, i no enviar-ne una altra mentre la primera està pendent.

Si a la teva web hi ha dades de clients

Si tens una botiga en línia, una àrea de clients o formularis que guarden dades personals, l’atac també pot ser una bretxa de dades. L’Agència Espanyola de Protecció de Dades explica a la seva pàgina sobre la notificació de bretxes de dades personals (en castellà) que el termini per comunicar-la és de 72 hores des que en tens coneixement, tret que sigui improbable que suposi un risc per a les persones afectades. No soc advocat. Si és el teu cas, consulta-ho amb qui et porti la protecció de dades. El que sí que puc fer jo és dir-te, després de revisar la web, si els atacants han tingut accés a aquestes dades.

El que pots fer tu i el que és millor deixar a algú

Ho pots fer tu:

• Comprovar els senyals i l’eina de Google.
• Avisar l’allotjament.
• Passar l’antivirus a l’ordinador.
• Canviar les teves contrasenyes i demanar a la resta d’usuaris que canviïn les seves.

Millor que ho faci algú amb experiència:

• Revisar fitxers i base de dades, i decidir què s’esborra i què no.
• Trobar per on han entrat i tancar-ho.
• Decidir si es pot restaurar una còpia o s’ha de netejar a mà.
• Demanar a Google que tregui l’avís.

Un connector de seguretat ajuda, però no ho veu tot. El codi que només s’activa amb certs visitants, per exemple els que arriben des de Google amb el mòbil, se li pot escapar. Que l’escàner digui que la web és neta no vol dir que ho sigui.

Si vols que te la netegi jo

Soc el Dídac Martín, programador web a Igualada, i treballo sol, o sigui que sempre parles amb mi. Fa més de vint anys que programo i mantinc webs de gestories, escoles, parròquies, residències i empreses de la comarca. També he netejat i refet la web piratejada d’una empresa d’Igualada de seguretat i protecció contra incendis.

Així funciona el rescat de webs piratejades:

• Des de 290 € + IVA. Si la web no queda neta i funcionant, no te’l cobro.
• Contesto les urgències en menys de dues hores, a qualsevol hora.
• Fora d’horari, a la nit o el cap de setmana, la urgència té un preu tancat des de 490 €. Amb el pla Botiga de manteniment WordPress hi va inclosa.

Si t’acaben de piratejar la web, escriu-me per WhatsApp o truca’m al 611 85 67 78. Si només en tens la sospita i no és urgent, demana una revisió gratuïta: miro la web des de fora, només amb la informació pública, i en dos dies feiners et dic què hi he trobat.