¿Tu WordPress está infectado? Cómo saberlo y qué debes hacer

Una web infectada casi nunca lo parece. Quien entra no quiere que se note: la página sigue cargando como siempre mientras el servidor envía correo basura, muestra páginas de spam a los buscadores o redirige a parte de los visitantes hacia webs de terceros. A menudo pasan semanas hasta que alguien se da cuenta.

Señales de que tu web está comprometida

• Google muestra resultados extraños con tu dominio: busca site:tudominio.es y mira si aparecen páginas en japonés, de medicamentos o de casinos que nunca has creado.
• Los visitantes que llegan desde el móvil o desde Google acaban en otra web, pero tú, entrando directamente, no ves nada raro.
• Google o el navegador avisan de que «este sitio puede haber sido pirateado», o Search Console te envía un aviso de seguridad.
• Hay usuarios administradores que no conoces, o plugins que no has instalado.
• Tu proveedor te avisa de que la web envía correo basura, o el dominio aparece en una lista negra y tus correos dejan de llegar.
• Página en blanco, errores de base de datos o la web se ha vuelto muy lenta sin motivo.

Qué debes hacer

• Haz una copia de la web y de la base de datos antes de tocar nada. Si borras a ciegas, puedes perder contenido y también las pruebas de cómo han entrado.
• Cambia todas las contraseñas: las de los administradores de WordPress, la de la base de datos, la del FTP y la del panel del alojamiento.
• Compara los archivos con los oficiales. Con WP-CLI, wp core verify-checksums y wp plugin verify-checksums --all indican qué archivos del núcleo y de los plugins se han modificado.
• Busca archivos PHP donde no debería haberlos, sobre todo en wp-content/uploads, y revisa el .htaccess: es un escondite habitual para las redirecciones.
• Actualiza WordPress, la plantilla y los plugins, y elimina los que no uses o que hayas descargado de sitios no oficiales.
• Cuando esté limpia, pide a Google que la revise desde Search Console.

Borrar el archivo que has encontrado no es suficiente: si no cierras la puerta por donde han entrado, normalmente vuelven en pocos días. Los motivos más habituales son un plugin o una plantilla desactualizados, una contraseña filtrada o una versión antigua de PHP, como pasó con la vulnerabilidad PHP2Shell.

Cómo lo hacemos en Intergrid

Las webs que tienen WebSentinel se revisan cada noche desde el servidor, con comprobaciones que una web comprometida no puede falsear:

• Comparación de cada archivo de WordPress y de los plugins con el original oficial.
• Búsqueda de código malicioso, también escondido dentro de archivos que parecen imágenes.
• Comparación entre lo que ve un visitante y lo que recibe Google, para detectar el spam oculto.
• Limpieza automática cuando el diagnóstico es claro. Si hay dudas, lo revisa un técnico nuestro antes de tocar nada.
• Nada se borra: lo que se retira se guarda seis meses en cuarentena, por si hay que recuperarlo.
• Te enviamos un correo, en tu idioma, con lo que se ha encontrado y lo que se ha hecho.

Si tu web está en otro alojamiento y crees que está infectada, podemos trasladarla a Intergrid de forma gratuita y revisarla antes de ponerla en marcha. Te decimos qué hemos encontrado y qué hay que hacer con un presupuesto sin compromiso.