Hace poco nos tocó vivirlo en primera persona: la web de Blunèrgia fue hackeada. Sí, la de una agencia que se dedica precisamente a esto. Nos pareció más honesto contarlo que esconderlo, porque lo que aprendimos puede ahorrarte un buen disgusto si tu web funciona con WordPress, como más del 40 % de las webs del mundo.
En este artículo te contamos cómo actuamos, qué cambiamos al reconstruir la web y qué mantenimiento necesita un WordPress para que no te pase.
Por qué hackean webs de pymes (aunque no seas «importante»)
Mucha gente piensa: «¿Quién va a querer atacar la web de mi negocio?». La realidad es que la mayoría de ataques no son personales. Son automáticos: programas que recorren internet buscando webs con versiones vulnerables de WordPress, plugins o temas, y entran en todas las que encuentran.
Una vez dentro, los atacantes suelen usar la web para:
- Publicar páginas de spam (farmacia, apuestas, productos falsos) que Google acaba indexando con tu dominio.
- Redirigir a tus visitantes a webs fraudulentas.
- Enviar correo no deseado desde tu servidor.
- Robar datos de clientes o de formularios.
- Usar tu servidor como base para atacar otras webs.
El resultado: pérdida de posicionamiento, avisos de «sitio peligroso» en el navegador, suspensión del hosting y, sobre todo, pérdida de confianza.
Cómo saber si tu web ha sido hackeada
- Al buscar
site:tudominio.comen Google aparecen páginas que no has creado, a veces en otros idiomas. - Los visitantes (o tú desde el móvil) sois redirigidos a otras webs.
- Google Search Console te muestra un aviso en «Problemas de seguridad».
- Tu hosting te avisa de consumo anómalo, malware o envíos masivos de correo.
- Aparecen usuarios administradores que no reconoces.
- El navegador muestra una pantalla roja de advertencia al entrar.
Qué hicimos nosotros (y qué te recomendamos hacer)
1. Contener el daño
Lo primero es evitar que el problema vaya a más. Recomendamos cambiar todas las contraseñas (WordPress, hosting, FTP, base de datos y correo), revisar los usuarios con acceso y avisar al proveedor de hosting.
2. Decidir: limpiar o reconstruir
Limpiar una web infectada es posible, pero tiene un riesgo: si queda una sola puerta trasera escondida, el ataque vuelve. En nuestro caso decidimos reconstruir la web desde cero, con una instalación nueva y aprovechando para replantear la estructura, los contenidos y la tecnología. Para una web pequeña o desactualizada suele ser la opción más segura.
3. Trabajar en un entorno de pruebas
La nueva web se construyó en un entorno de staging, bloqueado a los buscadores, y solo se publicó cuando estuvo terminada y revisada. Así nunca se expone una web a medio hacer.
4. Proteger el posicionamiento
Al cambiar la estructura de una web, las URL antiguas que Google tenía indexadas dejan de existir. Analizamos todas las URL con tráfico o enlaces y preparamos redirecciones 301 hacia las páginas nuevas equivalentes, para no perder la autoridad acumulada. Si Google llegó a indexar páginas de spam, Search Console permite solicitar su retirada.
5. Reducir la superficie de ataque
Cada plugin, formulario o funcionalidad extra es una posible puerta de entrada. En la nueva web aplicamos una regla simple: solo lo imprescindible.
- Muy pocos plugins, todos de desarrolladores reconocidos y con actualizaciones frecuentes.
- Sin formularios de contacto: los clientes nos escriben por WhatsApp, por email o nos llaman. Menos spam y un punto de ataque menos.
- El aviso de cookies, programado a medida en lugar de con un plugin adicional.
- Protección antispam y una capa de caché y optimización para mejorar velocidad y estabilidad.
Checklist de seguridad para tu WordPress
Actualizaciones
- Actualiza WordPress, el tema y los plugins de forma regular. La gran mayoría de vulnerabilidades que se publican cada año afectan a plugins.
- Elimina los plugins y temas que no uses (desactivarlos no basta).
- Usa una versión de PHP con soporte de seguridad.
- Nunca instales temas o plugins «nulled» (versiones de pago pirateadas): son una de las vías de infección más habituales.
Accesos
- Contraseñas largas y únicas, guardadas en un gestor de contraseñas.
- Verificación en dos pasos para todos los administradores.
- Cada persona con su propio usuario y el rol mínimo que necesite.
- Elimina usuarios antiguos (exempleados, proveedores que ya no trabajan contigo).
- Limita los intentos de inicio de sesión.
Copias de seguridad
- Copias automáticas y periódicas de archivos y base de datos.
- Guardadas fuera del servidor de la web.
- Prueba de vez en cuando que se pueden restaurar: una copia que no funciona no es una copia.
Protección y vigilancia
- Certificado SSL activo en toda la web.
- Cortafuegos y protección antispam.
- Desactivar la edición de archivos desde el panel de WordPress.
- Google Search Console configurado para recibir avisos de seguridad.
- Monitorización de disponibilidad para enterarte antes que tus clientes si la web cae.
El mantenimiento no es un gasto, es un seguro
Una web es como un coche: si no pasa revisiones, tarde o temprano falla, y suele hacerlo en el peor momento. Recuperar una web hackeada cuesta mucho más tiempo, dinero y posicionamiento que mantenerla al día.
Por eso ofrecemos un servicio de mantenimiento web WordPress que incluye actualizaciones, copias de seguridad, seguridad, monitorización e informe mensual. Y si no sabes en qué estado está tu web ahora mismo, una auditoría web te dirá qué riesgos tiene y qué hacer primero.
Lo aprendimos por las malas. Tú no tienes por qué. Escríbenos y revisamos tu WordPress.
Preguntas frecuentes
¿WordPress es inseguro?
No. El núcleo de WordPress es seguro y se actualiza con frecuencia. La mayoría de problemas vienen de plugins y temas desactualizados, contraseñas débiles y falta de mantenimiento.
¿Cada cuánto hay que actualizar WordPress?
Las actualizaciones de seguridad conviene aplicarlas en cuanto se publican. Para el resto, una revisión semanal o quincenal, comprobando que todo sigue funcionando después de actualizar, es una buena práctica.
¿Perderé posicionamiento si me hackean la web?
Puede pasar, sobre todo si Google indexa contenido de spam o marca la web como peligrosa. Actuar rápido, limpiar o reconstruir, redirigir correctamente las URL y solicitar la revisión en Search Console ayuda a recuperarlo.
¿Es mejor limpiar la web o rehacerla?
Si la web es reciente y la infección está bien localizada, limpiar puede bastar. Si la web es antigua, tiene muchos plugins o no se sabe cómo entraron, reconstruirla en limpio suele ser más seguro a medio plazo.
¿Las copias de seguridad del hosting son suficientes?
Son útiles, pero no deberían ser las únicas. Conviene tener copias propias guardadas fuera del servidor, porque si el problema afecta al hosting o a tu cuenta, puedes perder ambas cosas a la vez.
