Cómo limpiar una web WordPress infectada y evitar que el malware vuelva

Introducción: el problema que paraliza a la pyme

Una pequeña empresa o un autónomo que depende de su sitio WordPress para captar clientes puede ver cómo, de un día para otro, su página se vuelve inaccesible, muestra mensajes de advertencia en los navegadores o, peor aún, envía spam desde sus formularios. El origen suele ser un malware que ha penetrado en el servidor y que, si no se trata correctamente, volverá a aparecer después de una “limpieza rápida”.

Este artículo muestra, con ejemplos reales, por qué eliminar el código malicioso sin averiguar la causa es una solución temporal y cómo un proceso estructurado de diagnóstico y reparación garantiza que la web vuelva a operar con normalidad y sin riesgos futuros.

Síntomas habituales de una infección de malware

Síntoma	Descripción breve
Pantalla de advertencia (Google Safe Browsing)	El navegador muestra “Esta página puede dañar su ordenador”.
Redirecciones inesperadas	Los visitantes son enviados a sitios de apuestas o descargas.
Formulario de contacto que envía spam	Se reciben cientos de correos no solicitados con enlaces sospechosos.
Incremento súbito de tráfico	El servidor se sobrecarga por peticiones de bots maliciosos.
Archivos desconocidos en `/wp-content`	Aparecen scripts PHP con nombres extraños.

Estos indicios aparecen tanto en pymes de servicios (consultorías, estudios de arquitectura) como en tiendas online que gestionan pedidos a través de WooCommerce.

Por qué la limpieza sin investigación deja el problema abierto

Causas más frecuentes

Plugins y temas desactualizados
Los complementos que no se actualizan pierden parches de seguridad. Cada vulnerabilidad conocida es una puerta abierta para los atacantes. Más información sobre este riesgo en nuestro artículo sobre plugins y temas desactualizados en WordPress.
Uso de plugins sin revisión de código
Instalar extensiones de fuentes no verificadas puede introducir código malicioso oculto. Conoce los riesgos de abusar de plugins en nuestro post Abusar de plugins WordPress: riesgos y desarrollo profesional.
Credenciales comprometidas
Contraseñas débiles o reutilizadas en varios servicios permiten que los hackers accedan al panel de administración y suban archivos backdoor.
Configuración DNS y correo insegura
Un registro SPF o DKIM mal configurado facilita el phishing y el spam, que a su vez puede ser vector de infección. Revisa cómo evitarlo en correo profesional: falla de spam y configuración DNS.
Entorno de hosting compartido sin aislamiento
En servidores donde varios sitios comparten recursos, una infección en una cuenta puede “contagiar” a las demás.

Tabla de diagnóstico rápido

Problema	Causa probable	Revisión necesaria	Solución recomendada
Mensaje de “sitio comprometido”	Plugin vulnerable	Ver historial de actualizaciones	Actualizar o sustituir plugin; aplicar parche
Redirecciones a dominios externos	Backdoor en `wp-content/uploads`	Escaneo de archivos con hash	Eliminar archivo malicioso; reforzar permisos
Spam desde formularios	Credenciales SMTP robadas	Revisar logs de envío	Cambiar contraseñas; habilitar autenticación 2FA
Caídas por tráfico inusual	Botnet aprovechando vulnerabilidad	Analizar tráfico con herramientas de monitorización	Instalar firewall de aplicación web (WAF)
Archivos PHP desconocidos	Tema modificado	Comparar con versión original del tema	Restaurar tema desde repositorio oficial

Paso a paso para una recuperación sostenible

1. Copia de seguridad y aislamiento

Antes de tocar cualquier archivo, genera una copia de seguridad completa (base de datos y archivos). Almacénala fuera del servidor, por ejemplo en un bucket de almacenamiento en la nube con acceso restringido. Luego, pon la web en modo maintenance para evitar que los visitantes interactúen con la versión comprometida.

2. Análisis forense con herramientas automatizadas

Utiliza escáneres especializados (por ejemplo, Sucuri SiteCheck o Wordfence). Estas herramientas recorren el árbol de directorios, comparan hashes con versiones oficiales y detectan patrones típicos de malware. El proceso es automático, pero siempre requiere una revisión humana para descartar falsos positivos.

3. Identificación y eliminación de archivos maliciosos

Eliminar scripts desconocidos: cualquier archivo PHP que no pertenezca al núcleo, a los plugins o al tema debe ser borrado o movido a cuarentena.
Reemplazar archivos del núcleo: descarga la última versión de WordPress desde wordpress.org y sobrescribe los archivos del core.
Restaurar plugins y temas: descarga versiones limpias desde sus repositorios oficiales y sustituye los directorios existentes.

4. Revisión de la causa raíz

Una limpieza sin diagnóstico es como tapar una grieta sin reparar la tubería. Aquí se revisan los puntos críticos:

Área	Acción concreta
Plugins	Auditar versiones, eliminar los que no se usan, sustituir los que no tienen soporte activo.
Temas	Verificar que el tema sea de una fuente fiable; actualizar a la última versión.
Credenciales	Cambiar todas las contraseñas (admin, FTP, base de datos) y habilitar autenticación de dos factores (2FA).
Permisos de archivos	Asegurarse de que los permisos sean 644 para archivos y 755 para carpetas; evitar permisos 777.
Configuración DNS	Revisar registros SPF, DKIM y DMARC para evitar suplantación y spam.
Hosting	Evaluar si el plan actual ofrece aislamiento suficiente; considerar migrar a un servidor dedicado o a un hosting especializado en WordPress.

5. Refuerzo de la seguridad y monitorización continua

Instalar un firewall de aplicación web (WAF) que bloquee peticiones sospechosas antes de que lleguen a WordPress.
Programar escaneos periódicos (semanales) y revisar los informes.
Activar copias de seguridad automáticas con retención de al menos 30 días.
Mantener un plan de mantenimiento preventivo que incluya actualizaciones regulares, pruebas de rendimiento y auditorías de seguridad.

El papel del mantenimiento preventivo

Un plan de mantenimiento web preventivo es la mejor garantía de continuidad operativa. Entre los servicios que ofrecemos están:

Limpieza y recuperación de WordPress con diagnóstico de causa raíz.
Hosting y migraciones a entornos con mayor aislamiento y rendimiento.
Correo profesional y gestión DNS para evitar que el spam vuelva a ser vector de ataque.
Soporte web por bolsa de horas: ideal para pequeñas y medianas empresas que necesitan intervención rápida y prioritaria. Descubre sus ventajas en nuestro artículo sobre la bolsa de horas de soporte web freelance.

Al contar con un mantenimiento regular, se reducen los riesgos de vulnerabilidades conocidas y se detectan anomalías antes de que se conviertan en incidentes críticos.

Caso práctico: una pyme de diseño gráfico

María dirige un estudio de diseño con una web WordPress que muestra su portafolio y permite a los clientes solicitar presupuestos mediante un formulario. Un día, sus clientes reciben correos con enlaces a descargas de software pirata. María revisa Google Search Console y ve la advertencia de “Sitio comprometido”.

Copia de seguridad: se genera una instantánea y se pone la web en modo mantenimiento.
Escaneo: Wordfence detecta varios archivos PHP en wp-content/uploads que no pertenecen a ningún plugin.
Eliminación: se borran los archivos y se reinstala el tema “Astra” desde su repositorio oficial.
Causa: el plugin de formulario “Contact Form 7” estaba a dos versiones atrás y tenía una vulnerabilidad conocida.
Acciones: se actualiza el plugin, se cambian todas las contraseñas y se habilita 2FA. Además, se programa un escaneo mensual y se contrata una bolsa de horas para atender cualquier incidencia futura.

En menos de 48 h la web vuelve a estar operativa, sin riesgos de reinfección y con una mejora en la velocidad gracias a la eliminación de archivos innecesarios.

Conclusión

Limpiar una web WordPress infectada sin identificar la causa es una solución temporal que deja la puerta abierta a futuros ataques. Un proceso estructurado que combine copia de seguridad, análisis automatizado, eliminación de código malicioso y revisión de la causa raíz garantiza una recuperación sostenible y protege la continuidad del negocio.

¿Tu web muestra signos de infección?
Solicita nuestro soporte especializado, revisa el estado de tu mantenimiento o pide un presupuesto sin compromiso desde nuestra página. Mantén tu sitio seguro, rápido y siempre operativo.