Cómo limpiar un WordPress infectado y reforzar su seguridad paso a paso
Si sospechas que tu WordPress está infectado, puedes realizar varias comprobaciones antes de contratar un servicio especializado. Lo importante es trabajar de manera ordenada, conservar una copia de los archivos originales y evitar modificaciones que puedan empeorar el problema.
Paso 1. Realiza una copia de seguridad antes de modificar el sitio
Desde cPanel, utiliza el Administrador de archivos o las herramientas de respaldo disponibles para conservar una copia de los archivos y la base de datos.
Si tienes acceso SSH y WP-CLI, puedes comprobar primero la instalación:
wp core version
wp plugin list
wp theme listNo sobrescribas tu único respaldo confiable con una copia de un sitio posiblemente infectado. Conserva la evidencia del estado actual y mantén las copias fuera del directorio público.
Paso 2. Busca backups olvidados en public_html
Desde el Administrador de archivos de cPanel, entra en public_html y revisa si existen archivos .zip, .tar.gz, .sql, .sql.gz u otros paquetes de respaldo.
Estos archivos pueden contener información confidencial.
Si tienes SSH, puedes realizar una búsqueda inicial de solo lectura:
find ~/public_html -type f \
\( -iname "*.zip" \
-o -iname "*.tar.gz" \
-o -iname "*.sql" \
-o -iname "*.sql.gz" \) \
-printNo elimines automáticamente los resultados: algunos paquetes pueden formar parte de procesos legítimos.
Verifica su procedencia, confirma que existe una copia segura y retira los respaldos innecesarios de las ubicaciones públicas.
Paso 3. Comprueba la integridad de WordPress
Con WP-CLI puedes comparar los archivos principales de WordPress con los originales de su distribución:
wp core verify-checksumsTambién puedes verificar plugins disponibles en el repositorio oficial:
wp plugin verify-checksums --allEstas comprobaciones ayudan a detectar archivos modificados, aunque no garantizan encontrar todas las infecciones. Los plugins comerciales y desarrollos personalizados requieren métodos adicionales de verificación.
Paso 4. Revisa usuarios y accesos
En el panel de WordPress, entra en Usuarios → Todos los usuarios.
Comprueba que reconoces todas las cuentas con privilegios de administrador y revisa si existen accesos que ya no deberían mantenerse.
Cambia las credenciales comprometidas y activa autenticación multifactor.
Si sospechas que alguien accedió a cPanel, FTP o la base de datos, la revisión no debe limitarse a las contraseñas de WordPress.
Paso 5. Actualiza los componentes vulnerables
En Escritorio → Actualizaciones, revisa las versiones disponibles de WordPress, plugins y temas.
Antes de actualizar, verifica la compatibilidad y conserva un respaldo recuperable.
Si utilizas WooCommerce, Elementor, Divi u otras herramientas importantes, comprueba sus funcionalidades después de aplicar los cambios.
Paso 6. Protege los archivos sensibles
En wp-config.php, puedes deshabilitar el editor integrado de plugins y temas:
define('DISALLOW_FILE_EDIT', true);Añade la constante una sola vez, antes de la línea que indica que termina la edición de la configuración.
También revisa los permisos y evita que los archivos sensibles puedan descargarse públicamente.
No apliques reglas .htaccess copiadas de Internet sin comprobar que son compatibles con tu servidor.
Paso 7. Comprueba que la limpieza no haya afectado el funcionamiento
Después de corregir los problemas, verifica:
Que la página principal y las páginas internas cargan correctamente.
Que puedes acceder al administrador.
Que los formularios funcionan.
Que las imágenes y archivos públicos se muestran.
Que no existen redirecciones desconocidas.
Que los procesos de compra funcionan, si utilizas WooCommerce.
Que Google Search Console no muestra nuevos problemas relacionados con malware o páginas de spam.
Una limpieza no debe considerarse terminada únicamente porque desapareció una alerta del antivirus.
¿Cuándo conviene dejar la limpieza en manos de profesionales?
Si no tienes experiencia administrando WordPress, no puedes identificar los archivos sospechosos o tu página continúa infectándose después de limpiarla, es recomendable solicitar asistencia especializada.
También conviene hacerlo cuando el sitio contiene información de clientes, procesa pedidos o es fundamental para las operaciones de tu empresa.
En EspecialistaSEO.com podemos encargarnos del proceso completo: diagnóstico, limpieza de malware, revisión de respaldos expuestos, actualización de componentes, recuperación de funcionalidades y aplicación de medidas de hardening.
No necesitas arriesgar tu sitio experimentando con configuraciones que desconoces.
¿Tu WordPress está infectado, desactualizado o presenta errores?
Nuestro equipo puede evaluar el problema y proponerte una solución técnica para recuperar su funcionamiento y mejorar su seguridad.
Solicita una revisión de tu WordPress en EspecialistaSEO.com.