Mi WordPress ha sido hackeado: qué hacer paso a paso

Abres tu web y aparece una página de apuestas. O Google enseña un aviso rojo antes de dejar entrar a nadie. O el hosting te manda un correo diciendo que ha suspendido la cuenta. Si te está pasando algo así, lo más probable es que tu WordPress haya sido hackeado. Aquí te explico qué hacer en la primera hora, qué es mejor no tocar y cómo se limpia para que no vuelva a pasar la semana siguiente.

Te lo cuento como lo hago yo cuando me llaman con una web hackeada. Algunos pasos los puedes hacer tú. Con otros, si no los has hecho nunca, es fácil empeorar las cosas, y te lo diré en cada caso.

Cómo saber si tu WordPress ha sido hackeado

A veces es evidente y a veces no. Estas son las señales que más veo:

• La web redirige a otra página, sobre todo cuando entras desde Google o desde el móvil. Desde tu ordenador puede verse bien, porque es habitual que el código malicioso esconda la redirección a quien ya ha iniciado sesión.
• En Google salen páginas de tu dominio que no has creado nunca, con títulos en japonés, de farmacia o de casinos. Lo puedes comprobar buscando site:tudominio.es.
• El navegador muestra un aviso de sitio peligroso antes de entrar.
• El hosting ha suspendido la cuenta o te avisa de que desde tu web se está enviando spam.
• En WordPress hay usuarios administradores que no conoces.
• Tus correos empiezan a llegar a la carpeta de spam de tus clientes.

Para salir de dudas, Google tiene una herramienta pública, el estado de los sitios de Navegación Segura, donde escribes tu dominio y te dice si lo tiene marcado como peligroso. Si tienes la web dada de alta en Search Console, mira también el informe «Problemas de seguridad».

Los primeros pasos si tu WordPress ha sido hackeado

La guía oficial de WordPress para webs hackeadas, FAQ My site was hacked, empieza con un consejo que parece obvio: mantener la calma. Tiene su razón. Con prisa se hacen cosas que luego complican la limpieza. Este es el orden que sigo yo.

1. Apunta lo que ves y cuándo lo has visto. Una captura de pantalla, la hora y lo último que se cambió en la web: un plugin nuevo, una actualización, alguien que entró a tocar algo. Parece poca cosa, pero ayuda mucho a encontrar por dónde entraron.
2. No borres ni restaures nada todavía. Si borras archivos a ciegas, puedes romper la web y perder la pista de lo que pasó. Y si restauras una copia sin saber de cuándo es la infección, puede que restaures también el problema.
3. Avisa a tu hosting. En un hosting compartido, el ataque puede afectar a más webs de la misma cuenta. Además, el hosting te puede confirmar si es un hackeo o una caída del servidor, y a veces tiene registros que ayudan.
4. Pasa un antivirus al ordenador desde el que entras a la web. La guía de WordPress lo recomienda porque a veces la contraseña se roba desde ahí. Si tu ordenador está infectado, cambiar la contraseña desde él no sirve de mucho.
5. Cambia todas las contraseñas. Todas, no solo la de WordPress: la del panel del hosting, la del FTP, la de la base de datos y la del correo asociado. Y las de todos los usuarios con acceso, no solo la tuya.
6. Haz una copia del estado actual, aunque esté infectada. Si algo sale mal durante la limpieza, por lo menos tendrás desde dónde volver a empezar.

Hasta aquí lo puedes hacer tú sin conocimientos técnicos. Lo siguiente ya es otra cosa.

Cómo se limpia una web hackeada

No te voy a dar un manual para limpiarla tú, porque depende mucho de cada caso. Pero sí te explico qué hay que hacer, para que sepas qué pedir a quien lo haga y puedas comprobar que lo ha hecho.

Los archivos

Los archivos del núcleo de WordPress, las carpetas wp-admin y wp-includes, se sustituyen por copias limpias de la misma versión. Los plugins se vuelven a descargar de su origen oficial. El tema se revisa a mano, archivo por archivo si hace falta, porque suele ser lo único que no se puede descargar de nuevo. Y se revisan los sitios donde el código malicioso se esconde a menudo: el archivo .htaccess, el wp-config.php y la carpeta de imágenes, donde no debería haber ningún archivo PHP.

La base de datos

Muchas infecciones meten código en las entradas, en las páginas o en los ajustes, no en los archivos. Si solo limpias archivos, la web sigue infectada. También hay que revisar los usuarios y eliminar los administradores que nadie ha creado.

Las llaves de acceso

WordPress guarda en el wp-config.php unas claves secretas con las que firma las sesiones. Cambiarlas cierra la sesión de cualquiera que siga dentro, incluido el atacante. Y la guía de WordPress insiste en algo que se suele olvidar: cambiar las contraseñas otra vez cuando la web ya está limpia.

¿Y si tengo una copia de seguridad?

Mejor. Pero restaurarla no lo arregla todo. Primero hay que saber si la copia es de antes de la infección. Y aunque lo sea, si no cierras el agujero por el que entraron, volverán a entrar por el mismo sitio.

Por qué tantas webs se vuelven a infectar

Este verano estuve metido en la limpieza de dos servidores hackeados con muchas webs dentro. Las reinfecciones venían de contraseñas que no se habían cambiado. Se limpiaban los archivos, la web quedaba bien, y al cabo de unos días volvía a estar infectada porque alguien seguía teniendo la llave.

El otro origen habitual son los plugins sin actualizar. Según el informe State of WordPress Security in 2026 de Patchstack, una empresa especializada en seguridad de WordPress, en 2025 se publicaron 11.334 vulnerabilidades nuevas en el ecosistema de WordPress. El 91 % estaban en plugins y el 9 % en temas. En el núcleo de WordPress solo encontraron 6, y de poca importancia. El mismo informe dice que en las vulnerabilidades más atacadas pasan unas cinco horas, de mediana, entre que se publican y el primer ataque.

Dicho de otra manera: tu WordPress puede estar al día y que el problema venga de un plugin que nadie ha actualizado desde hace un año.

Si Google marca tu web como peligrosa

Cuando la web ya está limpia, Google no quita el aviso solo. Hay que pedírselo. En Search Console, dentro del informe «Problemas de seguridad», se pulsa «Solicitar revisión» y se explica qué se ha corregido. Google dice que la revisión puede tardar de unos pocos días a unas pocas semanas. Por eso conviene pedirla solo cuando estás seguro de que la web está limpia, y no mandar otra mientras la primera está pendiente.

Si en tu web hay datos de clientes

Si tienes una tienda online, un área de clientes o formularios que guardan datos personales, el hackeo puede ser también una brecha de datos. La Agencia Española de Protección de Datos explica en su página sobre notificación de brechas de datos personales que el plazo para avisarla es de 72 horas desde que lo sabes, salvo que sea improbable que suponga un riesgo para las personas afectadas. No soy abogado. Si es tu caso, consúltalo con quien te lleve la protección de datos. Lo que sí puedo hacer yo es decirte, después de revisar la web, si los atacantes han tenido acceso a esos datos.

Lo que puedes hacer tú y lo que mejor dejar a alguien

Lo puedes hacer tú:

• Comprobar las señales y la herramienta de Google.
• Avisar al hosting.
• Pasar el antivirus a tu ordenador.
• Cambiar tus contraseñas y pedir a los demás usuarios que cambien las suyas.

Mejor que lo haga alguien con experiencia:

• Revisar archivos y base de datos, y decidir qué se borra y qué no.
• Encontrar por dónde entraron y cerrarlo.
• Decidir si se puede restaurar una copia o hay que limpiar a mano.
• Pedir a Google que retire el aviso.

Un plugin de seguridad ayuda, pero no lo ve todo. El código que solo se activa con ciertos visitantes, por ejemplo los que llegan desde Google con el móvil, se le puede escapar. Que el escáner diga que está limpia no quiere decir que lo esté.

Si quieres que la limpie yo

Soy Dídac Martín, programador web en Igualada, y trabajo solo, así que hablas siempre conmigo. Llevo más de veinte años programando y mantengo webs de gestorías, escuelas, parroquias, residencias y empresas de la comarca. También me ha tocado limpiar y rehacer la web hackeada de una empresa de Igualada de seguridad y protección contra incendios.

Así funciona el rescate de webs hackeadas:

• Desde 290 € + IVA. Si la web no queda limpia y funcionando, no te lo cobro.
• Contesto las urgencias en menos de dos horas, a cualquier hora.
• Fuera de horario, por la noche o el fin de semana, la urgencia tiene un precio cerrado desde 490 €. Con el plan Tienda de mantenimiento WordPress va incluida.

Si te acaban de hackear la web, escríbeme por WhatsApp o llámame al 611 85 67 78. Si solo tienes la sospecha y no es urgente, pide una revisión gratuita: miro tu web desde fuera, solo con la información pública, y en dos días laborables te digo lo que he encontrado.