WordPress hackeado: cómo limpiarlo y recuperar tu sitio

Respuesta corta: si tu WordPress fue hackeado, primero haz una copia del sitio tal como está y cambia todas las contraseñas. Después, reemplaza el núcleo, los plugins y el tema por copias oficiales, busca archivos PHP extraños y usuarios desconocidos, y limpia la base de datos. Si tienes un respaldo limpio, restaurarlo suele ser lo más rápido.

Descubrir que tu sitio fue hackeado es angustiante, sobre todo si es la vitrina de tu negocio. Con un orden claro se puede recuperar, y lo más importante es no quedarse solo en borrar lo que se ve: hay que cerrar la puerta por donde entraron.

Señales de que tu WordPress fue hackeado

• Tu sitio redirige a otras páginas (apuestas, farmacias, sorteos falsos), a veces solo desde el celular o solo cuando llegas desde Google.
• Google muestra una advertencia (“Este sitio puede estar hackeado” o una pantalla roja de sitio peligroso).
• Aparecen páginas, enlaces o textos que no creaste, a veces en otro idioma.
• Hay usuarios administradores que no conoces.
• Tu servidor envía spam o tus correos empiezan a rebotar.
• Tu hosting te avisa de archivos maliciosos o de un consumo de recursos anormal.

Muchos hackeos no se ven en la portada: buscan pasar desapercibidos para seguir usando tu sitio. Por eso conviene revisar con herramientas, no solo a simple vista.

Un hosting web con escáner antimalware y respaldos diarios te avisa antes y te deja volver atrás en minutos.

Paso 1: no borres nada todavía, haz una copia

Antes de limpiar, haz un respaldo completo del sitio tal como está (archivos y base de datos) y guárdalo aparte. Parece contradictorio respaldar un sitio infectado, pero sirve para dos cosas: no perder contenido si algo sale mal en la limpieza, y poder revisar después cómo entraron.

Revisa también si tienes un respaldo anterior al hackeo. Si lo tienes y sabes desde cuándo está el problema, restaurarlo puede ahorrarte horas. Te explicamos cómo funcionan los respaldos en cómo hacer un respaldo de tu sitio web. Ojo: aunque restaures, sigue los pasos 2, 6 y 7, porque la vulnerabilidad sigue ahí.

Paso 2: cambia todas las contraseñas

Cámbialas todas, porque no sabes cuál se filtró:

• Los usuarios administradores de WordPress.
• El panel de tu hosting, las cuentas FTP y SSH.
• El usuario de la base de datos. Después de cambiarla, actualiza DB_PASSWORD en wp-config.php.
• El correo del administrador del sitio.

Después, cierra todas las sesiones abiertas regenerando las claves de seguridad de WordPress. Si usas WP-CLI:

wp config shuffle-salts

También puedes reemplazar a mano el bloque de claves (AUTH_KEY, SECURE_AUTH_KEY, etc.) de wp-config.php por uno nuevo generado en la página oficial de WordPress. Todos los usuarios, incluido el atacante, deberán volver a iniciar sesión.

Paso 3: escanea el sitio

• El escáner de malware de tu hosting, si lo tiene, es el mejor punto de partida: revisa todos los archivos desde fuera de WordPress.
• Un plugin de seguridad con escáner, como Wordfence, revisa los archivos y los compara con las versiones oficiales.

Si tu hosting es Znet-Hosting: sigue la guía ¿Cómo uso el escáner de malware de sitios web? del centro de ayuda.

Anota los archivos que marque el escáner: te van a servir en los pasos siguientes.

Paso 4: reemplaza los archivos de WordPress por copias oficiales

Los atacantes suelen modificar archivos del núcleo o agregar archivos nuevos. Con WP-CLI puedes compararlos con las versiones oficiales:

wp core verify-checksums
wp plugin verify-checksums --all

El resultado te dice qué archivos fueron modificados (“File doesn’t verify against checksum”) y cuáles no deberían existir (“File should not exist”). Para reemplazar el núcleo por una copia limpia, sin tocar tu contenido:

wp core download --force --skip-content

Ese comando no borra los archivos que sobran: revisa y elimina a mano los que aparecieron como “File should not exist”.

Para los plugins y el tema:

• Reinstala cada plugin desde su fuente oficial, por ejemplo con wp plugin install nombre-del-plugin --force. verify-checksums solo revisa los plugins del repositorio de WordPress.org: los plugins de pago, reinstálalos desde la cuenta del fabricante.
• Elimina los plugins y temas que no usas. Un plugin desactivado también puede ser la puerta de entrada.
• Elimina cualquier tema o plugin “nulled” (versiones de pago descargadas gratis de sitios no oficiales). Son una de las formas más comunes de infección.

Sin WP-CLI, puedes hacer lo mismo a mano: descarga WordPress desde wordpress.org, elimina del paquete la carpeta wp-content y sube el resto sobrescribiendo los archivos.

Paso 5: busca archivos PHP donde no deberían estar

La carpeta wp-content/uploads es para imágenes y documentos: no debería tener archivos PHP. Si tienes acceso por SSH, búscalos con:

find wp-content/uploads -name "*.php"

Si el comando no muestra nada, la carpeta está limpia. Si aparecen archivos, revísalos y elimínalos. Revisa también el archivo .htaccess de la carpeta principal: busca redirecciones que no pusiste tú, sobre todo reglas que mencionan buscadores o celulares.

Paso 6: revisa los usuarios y la base de datos

Usuarios: en Usuarios, filtra por Administrador y elimina los que no conozcas, reasignando su contenido a tu usuario. Con WP-CLI:

wp user list --role=administrator

Base de datos: muchos hackeos inyectan scripts en las entradas o en las opciones. Con WP-CLI puedes buscar etiquetas <script en las tablas de WordPress:

wp db search '<script' --table_column_once

Revisa cada resultado: algunos scripts son legítimos (por ejemplo, el código de Google Analytics que pegaste tú). Los que apuntan a dominios desconocidos, elimínalos desde el editor o con phpMyAdmin.

Paso 7: actualiza todo y cierra la puerta

Limpiar sin corregir la causa es volver a infectarse en días. Actualiza WordPress, todos los plugins y el tema, y la versión de PHP. Te explicamos el orden en cómo actualizar WordPress sin romper tu sitio.

Las puertas de entrada más comunes son un plugin o tema desactualizado con una vulnerabilidad conocida, una contraseña débil o reutilizada, y un tema o plugin pirata.

Paso 8: pide a Google que quite la advertencia

Si Google marcó tu sitio:

1. Entra a Google Search Console y abre el informe Problemas de seguridad.
2. Revisa los problemas detectados y las páginas de ejemplo.
3. Cuando el sitio esté limpio, haz clic en Solicitar revisión y explica lo que hiciste.

Si todavía no usas Search Console, te explicamos cómo agregar tu sitio en cómo indexar tu página web en Google.

Si el hackeo usó tu sitio para enviar correos, revisa también cómo evitar que tu servidor envíe spam.

Cómo evitar que vuelva a pasar

• Mantén todo actualizado: WordPress, plugins, tema y PHP.
• Usa contraseñas largas y únicas y activa la verificación en dos pasos para los administradores.
• Instala solo plugins y temas de fuentes oficiales, y borra los que no usas.
• Da a cada persona el rol mínimo que necesita: no todos tienen que ser administradores.
• Ten respaldos diarios automáticos fuera del sitio, para volver atrás en minutos.
• Revisa el escáner de malware de tu hosting cada cierto tiempo.

¿No pudiste resolverlo?

Si tu sitio sigue infectado o no sabes por dónde empezar, escríbenos. Revisamos tu caso con soporte humano en español y, si te cambias a Znet-Hosting, te migramos gratis a un hosting con escáner antimalware y respaldos diarios.

Mi WordPress fue hackeado

Preguntas frecuentes

Sigue leyendo

• Cómo actualizar WordPress sin romper tu sitio
• No puedo entrar a wp-admin: causas y cómo solucionarlo
• Cómo evitar que tu servidor envíe spam

Por Mauricio Zalles, Webmaster de Znet-Hosting. Actualizado el 18 de octubre de 2026.