Cómo reparar un sitio de WordPress hackeado y prevenir futuros hackeos

¿Estás buscando una forma rápida y efectiva de limpiar un sitio web hackeado?

Cuando tu sitio es hackeado, las consecuencias pueden ser devastadoras. Los hackers pueden redirigir tu tráfico, defraudar a los visitantes, robar datos confidenciales, y la lista continúa.

Lo realmente preocupante es que una vez que los hackers irrumpen, utilizan todo tipo de tácticas para asegurarse de que puedan acceder a tu sitio incluso después de que lo hayas limpiado.

En este tutorial, te mostraremos la forma más efectiva de reparar un sitio de WordPress hackeado para que vuelva a la normalidad en poco tiempo. Además, te mostraremos cómo cerrar todos los puntos de entrada para que puedas estar seguro de que tu sitio estará protegido en el futuro.

Sabemos que es posible que tengas prisa por ir directamente a la solución, así que aquí tienes una tabla de contenido que puedes usar para saltar a la sección que más te interese:

• Asegurarse de que tu sitio ha sido hackeado
• How to Effectively Repair a Hacked Website
  • Paso 1: Ejecuta un escaneo completo del sitio web
  • Paso 2: Solicita una limpieza de malware
  • Paso 3: Elimina las listas negras del sitio web
• Pasos a seguir después de recuperarse de un hackeo de WordPress
• Prevenir hackeos de WordPress en tu sitio

Asegurarse de que tu sitio ha sido hackeado

Antes de empezar a limpiar tu sitio, es mejor asegurarte de que tu sitio web realmente ha sido hackeado. A veces, puedes notar que tu sitio web se ralentiza y saltar directamente a la conclusión de que ha sido hackeado, cuando podría ser otro problema.

Así que primero, puedes buscar estas señales y síntomas comunes de un ataque a tu sitio:

• No puedes iniciar sesión en el panel de administración o dice que tu nombre de usuario no existe
• Tu sitio muestra anuncios o ventanas emergentes de productos ilegales y falsos
• Estás clasificando para palabras clave aleatorias que parecen spam
• Hay una disminución repentina en el tráfico ya que los hackers están redirigiendo el tráfico, aunque esto también podría significar que has sido penalizado por una actualización del algoritmo de Google
• Tu sitio web se ha ralentizado repentinamente en términos de rendimiento
• Google está advirtiendo a los visitantes que tu sitio es engañoso o malicioso
• Tu proveedor de hosting ha suspendido tu cuenta porque ha detectado malware

Como puedes ver, hay muchas señales de que tu sitio ha sido hackeado y puedes averiguarlo con seguridad utilizando un escáner de seguridad.

Puedes ejecutar una verificación de malware ahora mismo usando nuestro Escáner de Malware Gratuito, potenciado por Sucuri.

Todo lo que necesitas hacer es ingresar la URL de tu sitio web y el escáner recorrerá tu sitio. Si detecta algún malware, te dará un informe como este:

Si obtienes un informe limpio y aún sospechas que tu sitio ha sido hackeado, te recomendamos usar un escáner del lado del servidor.

Los escáneres web son bastante buenos para detectar malware rápidamente, pero son limitados ya que no tienen acceso completo a tu sitio. Solo pueden decirte lo que está sucediendo desde afuera. Esto significa que podrían mostrar que tu sitio está limpio cuando la infección está oculta en lo profundo de una carpeta en tu sitio.

Con un escáner del lado del servidor, deberás instalarlo en tu sitio y escaneará los archivos, carpetas y la base de datos de tu sitio web de WordPress desde adentro.

Si hay alguna actividad sospechosa o malware, el escáner te alertará de inmediato.

A continuación, te mostraremos cómo instalar una solución de seguridad que viene con un escáner del lado del servidor y limpiezas de malware para reparar tu sitio hackeado.

Cómo reparar eficazmente un sitio web hackeado

Para escanear y limpiar adecuadamente un sitio web hackeado, recomendamos Sucuri.

Sucuri es la mejor solución de seguridad para sitios web de WordPress. Viene con un escáner del lado del servidor que escanea y monitorea automáticamente tu sitio web a intervalos regulares.

Si detecta algo sospechoso, te enviará una notificación instantánea. Aparte de eso, aquí te explicamos por qué recomendamos Sucuri tan encarecidamente:

• Monitorea regularmente el spam y el código malicioso
• Busca listas negras con motores de búsqueda y otras autoridades
• Monitorea el tiempo de actividad del sitio web
• Detecta cambios realizados en DNS (sistema de nombres de dominio) y SSL
• Alertas instantáneas por correo electrónico, SMS, Slack y RSS
• Verifica si hay puertas traseras ocultas creadas por hackers que les permitirán el acceso incluso después de que limpies la infección de malware

El escáner del lado del servidor de Sucuri está disponible en la versión pro, que comienza en $199.99 por año. Esto te da acceso a una configuración de seguridad integral para tu sitio. Tendrás acceso a eliminación ilimitada de malware en caso de que tu sitio sea hackeado y un firewall sólido como una roca para prevenir futuros ataques.

Si deseas explorar alternativas, consulta nuestra lista de los 9 mejores plugins de seguridad para WordPress comparados.

Ahora te mostraremos cómo usar Sucuri para escanear, limpiar y proteger tu sitio.

Paso 1: Ejecuta un escaneo completo del sitio web

Lo primero que deberás hacer es suscribirte a un plan con Sucuri.

Luego inicia sesión en tu cuenta y agrega tu sitio web al panel de control.

Ahora deberás ingresar tus credenciales FTP para otorgar a Sucuri acceso a tu sitio web. Si no conoces tus credenciales FTP, puedes contactar al soporte de tu proveedor de hosting y simplemente pedírselas.

Una vez que agregues tu sitio al panel de control con éxito, Sucuri ejecutará automáticamente el escáner. Revisará todos tus archivos y base de datos de WordPress para detectar malware o actividad de hackers.

Cuando el escaneo se complete, creará un informe que te mostrará si tu sitio está hackeado o limpio.

Junto al mensaje de advertencia, puedes hacer clic en el botón Detalles.

Esto abrirá una página donde podrás leer el informe completo.

Verás los siguientes detalles:

• Advertencias de seguridad con nivel de riesgo
• Listas negras de motores de búsqueda
• Monitoreo de tiempo de actividad
• Cambios recientes en DNS y SSL

Ahora que estás seguro de que tienes un sitio de WordPress hackeado, te mostraremos lo fácil que es limpiarlo con Sucuri.

Paso 2: Solicita una limpieza de malware

Para eliminar malware de tu sitio, en la misma página de informe dentro del panel de control de Sucuri, verás una opción para 'Limpiar mi sitio'.

Esto te llevará a una nueva página donde puedes solicitar una limpieza de malware.

Al hacer clic en este botón, Sucuri te proporcionará un formulario donde podrás ingresar los detalles de tu sitio web.

En caso de que no conozcas estos detalles, consulta a tu proveedor de hosting web y ellos te los proporcionarán.

Una vez que envíes este formulario, Sucuri se encargará del resto. Se asignará personal de seguridad a tu sitio y limpiarán todos los archivos y bases de datos infectados. Se asegurarán de que tu sitio web esté completamente libre de malware y puertas traseras.

Si compraste el plan Business, Sucuri tendrá tu sitio web de vuelta a la normalidad en 6 horas. Para otros planes, dependerá en gran medida de la complejidad de la infección de tu sitio y del volumen de solicitudes que tengan en cola.

Paso 3: Eliminar listas negras de sitios web en los motores de búsqueda

Una vez que su sitio web esté limpio, deberá informar a los motores de búsqueda para que puedan revisarlo y eliminar su sitio de las listas negras.

Esto también eliminará las advertencias en su sitio, por lo que los visitantes ya no se alarmarán de que su sitio esté infectado.

Sucuri le permite iniciar el proceso de lista blanca desde su panel. Puede solicitar revisiones en todos los motores de búsqueda.

Dicho esto, también le mostraremos cómo solicitar la eliminación de una lista negra en Google. Necesitará tener una cuenta de Google Search Console ya configurada.

Si no es así, puede registrarse ahora en Google Search Central. Para obtener más ayuda sobre esto, utilice nuestra guía para Enviar su sitio web a los motores de búsqueda.

Una vez que haya iniciado sesión en su panel de Google Search Console, vaya a la pestaña Problemas de seguridad en el menú de la izquierda.

Verá un botón 'Solicitar revisión'. Cuando haga clic en él, Google le pedirá detalles de su sitio y las medidas que ha tomado para limpiarlo.

Puede decirles que utilizó Sucuri para escanear y limpiar su sitio. Puede ejecutar un nuevo escaneo y tomar una captura de pantalla del panel de Sucuri para mostrarles que su sitio está limpio.

Sugerimos dar a Google tantos detalles como sea posible para demostrarles que ha asegurado su sitio y ha tomado medidas para prevenir futuros hackeos.

Si Google considera que sus medidas de seguridad no son suficientes, puede ser aún más difícil que su sitio sea incluido en la lista blanca.

Después de enviar su solicitud, pueden pasar unos días para que verifiquen que su sitio está limpio y lo vuelvan a incluir en las páginas de resultados de búsqueda.

Ahora ha aprendido a escanear y limpiar su sitio y eliminar listas negras. A continuación, hay algunas medidas que debe tomar inmediatamente después de un hackeo.

Pasos a seguir después de recuperarse de un hackeo de WordPress

Justo después de un hackeo, querrás asegurarte de que cualquier dato robado por el hacker, como tu nombre de usuario y contraseña de WordPress, no pueda ser utilizado nuevamente. A continuación, se detallan las medidas que debes tomar tan pronto como limpies tu sitio web de WordPress:

1. Restablece tus credenciales: Cambia tu nombre de usuario y contraseña de wp-admin y asegúrate de usar contraseñas seguras que sean difíciles de descifrar. Además, asegúrate de que todas las cuentas de usuario que tengan acceso a tu sitio restablezcan sus credenciales. Puedes forzar un restablecimiento usando un plugin como Expire User Passwords.
2. Cambia tus Salts y Secret Keys: Estas claves son códigos cifrados que protegen tu información de inicio de sesión. Si los hackers han robado esta información, pueden volver a acceder a tu sitio web. Puedes usar el plugin Salt Shaker para obtener un nuevo conjunto de claves dentro de tu archivo wp-config. O puedes seguir esta guía de WPBeginner para cambiar tus claves de seguridad.
3. Actualiza tu sitio: Cuando veas actualizaciones disponibles para tu instalación de WordPress, plugins y temas, ejecuta la actualización lo antes posible. Si se trata de una actualización de seguridad, querrás ejecutarla de inmediato porque la última versión contendrá un parche que corregirá cualquier vulnerabilidad de seguridad.
4. Protege los formularios de tu sitio web de WordPress: Muchos hackers intentan inyectar malware a través de formularios no seguros. Recomendamos usar WPForms ya que viene con protección contra spam incorporada. Esto detecta y bloquea entradas fraudulentas y maliciosas.

A continuación, te mostraremos cómo asegurarte de que tu sitio esté protegido en el futuro.

Prevenir hackeos de WordPress en tu sitio

Dicen que un rayo nunca cae dos veces en el mismo lugar. Pero, lamentablemente, lo mismo no se aplica a tu sitio web.

Mencionamos anteriormente que cuando los hackers irrumpen en tu sitio, crean puertas traseras ocultas para poder volver a ingresar fácilmente. Por lo tanto, es importante tomar medidas de seguridad para asegurarte de que esto no vuelva a suceder.

Si tu sitio es hackeado varias veces, tu proveedor de hosting puede suspender tu cuenta de forma permanente, ya que representa una amenaza para sus servidores y otros clientes.

Además, los motores de búsqueda como Google pensarán que no te tomas la seguridad en serio y no permitirán que tu sitio vuelva a aparecer fácilmente en sus páginas de resultados.

Cuando te registras en la solución de seguridad de Sucuri, protegerá tu sitio de forma integral con un escáner y un firewall, además de otras importantes medidas de seguridad.

Aparte de esto, hay algunas medidas que puedes tomar por tu cuenta. Estas incluyen:

• Contrata un hosting web confiable: Si tu proveedor de hosting no asegura sus servidores, los hackers pueden encontrar una forma de entrar. Lo mejor es usar un proveedor confiable que se tome la seguridad en serio. Recomendamos usar un proveedor de hosting seguro como Bluehost.
• Use a WordPress security plugin: If Sucuri is out of your budget, you can rely on other security plugins. These plugins will scan and monitor your WordPress site. That way, you’ll be alerted of any suspicious activity immediately. Our top picks include:
  1. iThemes Security
  2. Seguridad a prueba de balas
  3. SiteLock
  4. MalCare
• Activa un firewall: Esto bloqueará a los hackers y a cualquier usuario con intenciones maliciosas de acceder a tu sitio, por lo que ni siquiera podrán intentar irrumpir en él. La mayoría de los plugins de seguridad vienen con firewalls integrados, así que no tendrás que instalar uno aparte.
• Agrega autenticación de 2 factores: Añade una capa extra de protección usando un código de un solo uso que se envía a tu teléfono móvil o correo electrónico. Esto significa que un usuario tendrá que ingresar su contraseña y verificarse en tiempo real, lo que hace extremadamente difícil que los hackers obtengan acceso. Puedes habilitar esta función usando plugins de seguridad como Sucuri y MalCare.
• Haz una copia de seguridad de tu sitio web: Las copias de seguridad son tu red de seguridad. En caso de que algo salga mal, puedes usar la copia de seguridad de WordPress para restaurar tu sitio. Puedes usar los plugins de copia de seguridad UpdraftPlus o BlogVault para programar copias de seguridad automáticas.
• Instala un certificado SSL: SSL se asegura de que cualquier dato transferido desde y hacia tu sitio web esté cifrado. Así que, incluso si los hackers lo roban mientras está en tránsito, no podrán leerlo ya que está codificado. Puedes obtener un certificado SSL con tu compañía de hosting web o usando un plugin como Really Simple SSL.

Aunque seguir las pautas anteriores y usar un plugin de seguridad como Sucuri es fácil, aún necesitarás actualizar el plugin, monitorear los resultados del escaneo, etc.

WPBeginner Pro ofrece otra solución.

Su equipo de expertos actúa como tu escudo de seguridad, protegiendo proactivamente tu sitio contra vulnerabilidades y malware. Van más allá de reaccionar a las amenazas. Ayudan con auditorías de seguridad regulares, escaneos de malware y parches para mantener tu sitio seguro. En caso de que ya hayas enfrentado una amenaza, también realizan reparaciones de sitios hackeados.

Esto te permite concentrarte en administrar tu negocio mientras WPBeginner Pro se asegura de que tu sitio web se mantenga saludable y evite daños y tiempo de inactividad potenciales causados por un hackeo.

Con estas medidas, tu sitio web tendrá un sistema de seguridad robusto para asegurar que a los hackers les resulte increíblemente difícil entrar. Si quieres asegurarte de no dejar ningún cabo suelto, lee nuestra Guía Completa de Seguridad de WordPress (para principiantes).

Esperamos que hayas encontrado útil esta guía y si estás buscando más formas de asegurar tu sitio web, aquí tienes algunos recursos útiles:

• Cómo realizar una auditoría de seguridad de WordPress (paso a paso)
• Cómo elegir una contraseña segura para WP Admin [4 maneras FÁCILES]
• Las mejores empresas de hosting dedicado (pros y contras)

Un servidor dedicado garantizará que tu sitio nunca se vea afectado por el sitio hackeado de otra persona en un servidor compartido. Aparte de eso, puedes ejecutar una auditoría de seguridad y crear contraseñas seguras para proteger mejor tu sitio.