Si tu WordPress está hackeado o infectado, respira: casi siempre tiene arreglo. Hacemos una copia, quitamos el malware, cerramos el fallo por el que entraron y te contamos todo por escrito.
Si has llegado aquí pensando «me han hackeado la web», estos cuatro pasos te ayudan y no estropean nada.
Ni archivos raros, ni plugins, ni usuarios que no reconoces. Parece lógico, pero borrar a ciegas destruye las pistas de cómo entraron y puede romper la web.
La del panel de tu proveedor, no la de WordPress. Si el atacante tiene acceso al servidor, cambiar solo la de WordPress no sirve de mucho. Hazlo desde un ordenador de confianza.
Si la copia es posterior a la infección, devolverás el malware a su sitio. Antes conviene saber desde cuándo está dentro.
Cuéntanos qué has visto y desde cuándo. Con eso ya podemos orientarte, y la revisión de tu web es lo primero que hacemos.
Puedes escribirnos desde el asistente de esta página o dejarnos tu teléfono y te llamamos. No publicamos precio porque depende de cuánto daño haya: lo vemos tras revisar la web y te lo damos cerrado, por escrito, antes de empezar.
Dos comprobaciones rápidas antes de hablar con nadie: pasa tu web por los escáneres públicos de Google y compañía, y marca lo que estás notando.
Escribe tu dirección y ábrela en estos escáneres públicos. Se abren en otra pestaña.
Marca lo que te pasa y te decimos cómo de urgente es.
Marca al menos un síntoma
Es orientativo: la confirmación llega al revisar la web por dentro.
Un WordPress infectado no siempre avisa. Estas son las pistas más habituales.
Aparece «Sitio engañoso» o «Este sitio puede haber sido hackeado» al entrar o en los resultados de búsqueda.
Tu web te lleva a otra de apuestas, farmacia o estafas, a veces solo desde el móvil o solo si vienes desde Google.
Páginas nuevas, enlaces ocultos o textos en otro idioma que nadie ha publicado.
Entras en Usuarios y hay cuentas que no creaste tú.
La web va más lenta de lo normal o se cae, y tu hosting avisa de un consumo de recursos disparado.
Tus mensajes caen en spam, o te avisan de correos que tú no has enviado.
Con una sola de estas señales ya merece la pena revisarlo. No hace falta tener las seis.
Miramos qué ha pasado y cuánto trabajo hay. El presupuesto es cerrado y por escrito, antes de empezar.
Guardamos el estado actual y buscamos el malware en archivos, base de datos, usuarios y tareas programadas.
Quitamos lo malicioso, reinstalamos todo limpio, cambiamos claves y corregimos el fallo de entrada.
Comprobamos que la web funciona, pedimos la revisión a Google si hace falta y te entregamos el informe.
La mayoría de los ataques a una web WordPress no son personales ni sofisticados. Buscan plugins o temas desactualizados, contraseñas flojas y webs que nadie mira. La seguridad de WordPress, y de cualquier web, se parece a la de un portal: no se trata de una puerta blindada, sino de cerrar con llave cada noche.
Limpiar la web es la mitad del trabajo. La otra mitad es que no vuelva a pasar, y eso depende de mantenerla al día. Por eso, cuando termina la limpieza, te proponemos mantenimiento WordPress. No es obligatorio.
Webs corporativas y blogs
Tu web al día y vigilada, sin tener que pensar en ella.
Tiendas, áreas de socios (MemberPress) y webs que no pueden caerse
Si tu web vende o da un servicio, alguien la debería cuidar cada día.
No incluye: rediseños, nuevas funcionalidades, licencias de plugins premium ni hosting, salvo que se indique. Trabajos extra: te los presupuestamos por escrito antes de empezar, sin sorpresas.
Somos un estudio de Oleiros (A Coruña) con 8 años de oficio en WordPress, trabajando como freelance desde febrero de 2018. Hablas con la persona que hace el trabajo, no con un intermediario. Las reuniones son por videoconferencia y, si estás en Barcelona ciudad, también podemos vernos en persona.
Depende de lo infectada que esté la web, y no lo sabemos hasta mirarla. Por eso revisamos primero y te damos un presupuesto cerrado por escrito antes de empezar. Si no te encaja, no hay compromiso.
No debería. Antes de tocar nada hacemos una copia del estado actual, y la limpieza se centra en quitar lo malicioso, no tu contenido. Si algún archivo o dato está dañado de forma que no se pueda salvar, te lo contamos en el informe.
Primero hay que limpiar la web: si pides la revisión con el malware dentro, Google la rechaza. Una vez limpia, nosotros solicitamos la revisión en Search Console. Hasta que Google la procesa, el aviso puede seguir apareciendo.
Casi nunca es algo personal. Lo más habitual es un plugin o tema vulnerable sin actualizar, una contraseña débil o un acceso que ya no se usa. Parte de nuestro trabajo es encontrar cuál fue la puerta de entrada y cerrarla. Lo dejamos en el informe.
Sí, si la causa sigue ahí o si la web queda sin actualizar. Por eso corregimos el fallo de entrada y cambiamos todas las claves. Y para que no se repita, lo que más ayuda es el mantenimiento: una web al día es mucho más difícil de atacar. Nadie puede prometerte riesgo cero, y desconfía de quien lo haga.
Depende. Si la copia es anterior a la infección, puede servir. Si es posterior, devolverás el malware. Y aunque sirva, hay que cerrar el fallo de entrada, o volverán a entrar. Cuéntanos qué copia tienes y te decimos qué conviene.
Escríbenos por el asistente o déjanos tu teléfono y te llamamos. Revisamos tu web y te damos un presupuesto cerrado, por escrito, antes de tocar nada.