🚫 Sitio de WordPress hackeado y deshabilitado: plan de recuperación paso a paso

Su proveedor de alojamiento bloqueó su sitio por enviar spam y el panel de administración no abre. Un pánico familiar para cualquiera que haya administrado WordPress por más de un año. Aquí tiene un plan paso a paso: desde negociar con el soporte técnico hasta la limpieza manual en un servidor local.

La situación se complica porque el sitio está físicamente desconectado de la red. No puede iniciar sesión en el escritorio de WordPress, ejecutar un escáner conocido como Wordfence y hacer clic en «limpiar». Así que la secuencia aquí es inversa: primero recuperamos el acceso y luego nos ocupamos de la infección.

💡 Resumen rápido:

• Contacte a su proveedor de alojamiento: pídales que abran el sitio detrás de una contraseña HTTP y deshabiliten el envío de correos electrónicos; esto le da acceso para el diagnóstico sin el riesgo de ráfagas repetidas de spam.
• Si el proveedor se niega a reactivar el sitio, levante una copia localmente usando XAMPP o una pila similar, escanéela con complementos de seguridad y reemplace los archivos infectados con versiones limpias.
• Después de la limpieza, cambie TODAS las contraseñas: FTP, base de datos, panel de alojamiento, cuentas de administrador de WordPress. Actualice el núcleo, los temas y los complementos a las últimas versiones.
• Configure una protección básica: un cortafuegos, limitación de intentos de inicio de sesión, autenticación de dos factores. Revise su propio equipo en busca de virus, una fuente común de filtraciones de contraseñas.

Por qué los proveedores deshabilitan los sitios hackeados

Suena duro: usted es un cliente, paga por el alojamiento y ellos simplemente fueron y apagaron su sitio. Pero la lógica del proveedor es simple y, si lo piensa, razonable.

Un sitio de WordPress hackeado hace dos cosas peligrosas. Primero, envía spam a través del servidor de correo del proveedor de alojamiento. Miles de correos salen a direcciones aleatorias y la IP de correo entra en listas negras. Después de eso, TODOS los clientes en ese servidor dejan de entregar correos y el proveedor recibe una avalancha de tickets de usuarios inocentes.

Segundo, el sitio se convierte en un distribuidor de código malicioso. A los visitantes se les sirven troyanos, formularios de phishing o scripts ocultos de minería. Google lo nota en cuestión de horas y coloca una advertencia de «Este sitio puede dañar su equipo». Después de eso, el tráfico cae a cero y sacar el sitio de las listas negras de los motores de búsqueda es toda una saga aparte.

El proveedor deshabilita un sitio infectado no para castigarlo. Está protegiendo su infraestructura y al resto de sus clientes. Usted puede negociar con ellos y ese es el primer paso.

Paso 1: negociar con el proveedor de alojamiento

Justo después de recibir la notificación de bloqueo, escriba al soporte técnico y proponga un compromiso. No exija «vuelvan a encenderlo y ya está». Ofrezca un plan concreto:

• Habilitar el sitio detrás de una contraseña HTTP. Esta es una funcionalidad estándar de Apache/Nginx; al visitar el sitio, el navegador solicita un usuario y contraseña. Los visitantes y los motores de búsqueda no ven el sitio, pero usted sí y puede trabajar con el panel de administración.
• Deshabilitar la función de correo del alojamiento. Si el spam salió a través de PHP mail(), el proveedor puede bloquear temporalmente el envío para su cuenta. El riesgo de envíos repetidos desaparece y el proveedor se siente más tranquilo.

En la mayoría de los casos, el soporte técnico coopera. Para el proveedor es más rentable que usted limpie el sitio y siga siendo cliente que perder un cliente y tener una cuenta muerta en el servidor.

¿Consiguió acceso detrás de una contraseña? Proceda a la limpieza (paso 3). ¿No llegó a un acuerdo? Vea el paso 2.

Paso 2: recuperación sin acceso al sitio

El proveedor se niega a encender el sitio, incluso detrás de una contraseña. Esto sucede con planes compartidos económicos o si el daño por spam ya es demasiado grande. Tiene tres caminos.

2.1. Copia local mediante XAMPP

Descargue el archivo del sitio a través del gestor de archivos del alojamiento (o solicite una copia de seguridad al soporte técnico) y exporte la base de datos mediante phpMyAdmin. Despliegue la copia en su equipo local usando XAMPP, LocalWP o Laragon.

Luego, el procedimiento estándar: instale Wordfence, el escáner gratuito más popular con firmas de malware y un cortafuegos. Ejecute un escaneo completo, elimine los archivos infectados encontrados o reemplácelos con los originales de una distribución nueva de WordPress. Ejecute Sucuri Scanner para verificar la integridad del núcleo. Suba el sitio limpio de vuelta al alojamiento.

El método funciona, pero requiere una comprensión básica de cómo funciona WordPress por dentro.

2.2. Lista de archivos infectados del proveedor

Pida al soporte técnico que le envíe una lista de los archivos detectados como maliciosos. Los proveedores a menudo usan ClamAV o una herramienta similar del lado del servidor y pueden ver los archivos específicos. Una vez que tenga la lista, descargue esos archivos por FTP, ábralos en un editor y elimine las inserciones sospechosas, generalmente código PHP ofuscado al principio o al final del archivo.

Para los archivos del núcleo de WordPress y los complementos populares, es más fácil no limpiar manualmente sino sobrescribirlos con las versiones originales del repositorio oficial. Después del reemplazo, pida al proveedor que vuelva a escanear el sitio y, si no hay amenazas, que abra el acceso.

2.3. Especialista en seguridad

Si la infección es extensa y no tiene tiempo para ocuparse, contrate a un especialista profesional. El costo de una limpieza única depende de la complejidad: el escaneo básico y la eliminación de malware oscila entre ciento cincuenta y quinientos dólares. Servicios como Sucuri ofrecen un paquete de «Limpieza y Protección» con garantía y monitoreo anual.

Consejo: antes de contactar a un especialista, solicite de todos modos una copia de seguridad de los archivos y la base de datos al proveedor. Estos son sus datos y el proveedor está obligado a proporcionarlos.

Paso 3: limpiar el sitio después de obtener acceso

Tiene acceso al panel de administración. Ahora recorra metódicamente la lista de verificación.

Copia de seguridad completa. Incluso una infectada. Copie todos los archivos por FTP y haga un volcado de la base de datos. Durante el proceso de limpieza, puede romper accidentalmente algo que aún funcionaba; una copia de seguridad lo asegura contra errores fatales.

Escaneo. Instale Wordfence; la versión gratuita encuentra malware por firmas, verifica los archivos de temas y complementos contra los originales del repositorio. En paralelo, ejecute Sucuri Scanner, que se especializa en verificaciones de integridad del núcleo. Dos escáneres encuentran más que uno.

Cambio de contraseñas. Todas, de inmediato: cuentas de administrador de WordPress, acceso FTP, usuario de la base de datos MySQL, contraseña del panel de alojamiento. Genere contraseñas largas y aleatorias. Active la autenticación de dos factores para el panel de administración; Wordfence lo hace de serie.

Actualización. Instale la última versión de WordPress, actualice todos los complementos y temas. Elimine los complementos no utilizados; cada uno es un punto de entrada potencial.

Paso 4: protección contra hackeos repetidos

Ya limpió, ahora asegúrelo para que no vuelva a ocurrir en una semana.

• Cortafuegos a nivel de sitio. Wordfence incluye un Firewall de Aplicaciones Web que bloquea vectores de ataque conocidos antes de que lleguen a WordPress. La versión gratuita es suficiente para proyectos no atípicos.
• Limitación de intentos de inicio de sesión. La fuerza bruta es el método de hackeo más común. Un complemento como Limit Login Attempts Reloaded bloquea una IP después de 3-5 intentos fallidos.
• Actualizaciones regulares. Las actualizaciones automáticas para versiones menores de WordPress están habilitadas por defecto; para complementos y temas, configure notificaciones o use alojamiento administrado con actualizaciones automáticas.
• Revisión del PC. Si la contraseña de administrador se filtró a través de un troyano en su equipo, cambiar la contraseña en el servidor no ayudará. Ejecute un antivirus (Malwarebytes, la versión gratuita maneja la mayoría de las amenazas) y revise las extensiones del navegador.

Un punto aparte: las copias de seguridad. Configure copias de seguridad automáticas, al menos una vez al día. El complemento UpdraftPlus hace copias de seguridad gratuitas en Google Drive, Dropbox o un FTP separado. En el próximo incidente, restaurará el sitio en 10 minutos, no en toda una tarde.

⁉️🤔 Preguntas frecuentes

¿El proveedor está obligado a proporcionar una copia de seguridad de un sitio hackeado?

Los archivos y la base de datos son su contenido; el proveedor no tiene derecho a retenerlos. El soporte técnico está obligado a proporcionar un archivo incluso de una cuenta bloqueada. En la práctica, una solicitud a través del sistema de tickets resuelve el problema en un día.

¿Puedo simplemente reinstalar WordPress y subir una copia de seguridad?

No, porque la infección a menudo reside en la base de datos o en la carpeta de subidas, no solo en los archivos del núcleo. Una simple reinstalación y sustitución de la base de datos antigua muy probablemente traerá la infección de vuelta. Necesita específicamente el escaneo y la limpieza del sitio en funcionamiento.

¿Qué pasa si Google ha marcado el sitio como peligroso?

Después de una limpieza completa, vaya a Google Search Console, busque la sección «Seguridad y acciones manuales» y solicite una revisión. Google volverá a escanear el sitio en un plazo de 24 a 72 horas y eliminará la advertencia. Existe un procedimiento similar en Bing Webmaster Tools.

¿Qué complementos de seguridad son de instalación obligatoria?

El conjunto mínimo para cada sitio: Wordfence (cortafuegos + escáner) y Limit Login Attempts Reloaded (protección contra fuerza bruta). Esto es suficiente para protegerse contra ataques automatizados masivos. Si el sitio es comercial, añada autenticación de dos factores y monitoreo de integridad de archivos.

¿Ayudará cambiarse a un alojamiento administrado?

Sí, el alojamiento WordPress administrado (Kinsta, WP Engine, SiteGround) maneja una parte significativa de la seguridad: cortafuegos a nivel de servidor, actualizaciones automáticas, contenedores aislados. Esto no elimina las medidas básicas a nivel de sitio, pero reduce la probabilidad de un hackeo y simplifica la recuperación.

Sitio hackeado y deshabilitado: lista de verificación final

La secuencia de acciones se resume en cuatro puntos. Negocie con el proveedor de alojamiento un acceso protegido por contraseña. Si no, levante una copia localmente y escanee allí. Después de la limpieza, cambie las contraseñas y actualice todo a las últimas versiones. Configure un cortafuegos, protección contra fuerza bruta y copias de seguridad diarias.

Si el sitio es comercial y el tiempo de inactividad es costoso, considere cambiarse a un alojamiento WordPress administrado o contrate a un especialista para configurar una defensa por capas.

¿Cómo recuperó su sitio después de un bloqueo del proveedor? Comparta su experiencia en los comentarios.