Saltar al contenido
WordPress hackeado

WordPress hackeado: quito el malware y cierro por donde entró.

En resumen

Limpiar un WordPress hackeado con WebIntacta cuesta 219 €, y +80 € si quieres que tu caso pase delante del resto de trabajos (IVA no incluido). Lo hago yo, Jose Soriano: quito el malware de archivos y base de datos, borro los usuarios y tareas programadas que dejó el atacante y actualizo o sustituyo el plugin o tema por el que entró. Incluye un informe de lo que había y 90 días de garantía.

Revisado por Jose Soriano ·

En WordPress el malware rara vez está en un solo sitio: suele haber una puerta trasera en un plugin, código en la base de datos y, a menudo, un usuario administrador nuevo. Para eliminar el malware de WordPress de verdad hay que encontrar las tres cosas; si solo se limpia lo visible, vuelve.

Pedir ayuda ahoraAnalizar gratis primero

Marca «es urgente» en el formulario y tu caso pasa delante.

Cómo lo resuelvo

En este orden, y por este motivo.

  1. PASO 01

    Copia y huella de la infección

    Copio la web y la base de datos, y comparo cada archivo del núcleo con el original de tu versión de WordPress. Lo que no coincide queda localizado.

  2. PASO 02

    Plugins y temas

    Reinstalo desde la fuente oficial los plugins y el tema (si es de pago, con tu licencia). Quito los abandonados que no tienen arreglo y te propongo alternativa.

  3. PASO 03

    Base de datos y usuarios

    Busco scripts inyectados en entradas, opciones y widgets; elimino usuarios y tareas que no son tuyos y regenero las claves de wp-config.php.

  4. PASO 04

    Google y verificación

    Solicito la revisión en Search Console si hay aviso, repito el análisis y te entrego el informe con la causa y lo que se ha cambiado.

Reparar un WordPress hackeado: lo que puedes hacer tú sin empeorarlo

Antes de contratar a nadie, hay pasos que puedes dar tú sin riesgo de borrar la prueba de por dónde entraron. Este es el orden en que los haría yo:

  1. Haz una copia completa tal como está: archivos y base de datos. Si algo sale mal, puedes volver atrás, y es la prueba de lo que pasó.
  2. Cambia las contraseñas desde un ordenador limpio: la del panel del hosting, la del FTP o SFTP y la de cada administrador de WordPress. Si cambias la de la base de datos, cámbiala también en wp-config.php o la web dejará de cargar.
  3. Revisa los administradores en Usuarios → Todos los usuarios, filtrando por «Administrador». Anota los que no reconozcas y pásalos a «Suscriptor» en vez de borrarlos: su fecha de alta ayuda a saber desde cuándo hay acceso.
  4. Compara el núcleo y los plugins con los originales. Con SSH y WP-CLI, los comandos de abajo lo hacen en segundos; cualquier línea que no sea «Success» merece una revisión.
  5. Busca archivos .php en wp-content/uploads/. Ahí solo debería haber imágenes y documentos; un PHP en esa carpeta es casi siempre una puerta trasera. Mira también wp-content/mu-plugins/ y el .htaccess de la raíz.
  6. Actualiza WordPress, los plugins y el tema desde las fuentes oficiales, y borra (no solo desactives) los plugins que no usas y cualquier copia «nulled».
  7. No pidas todavía la revisión a Google. Si Search Console muestra un problema de seguridad, pídela cuando la web esté limpia y la entrada cerrada: una revisión rechazada retrasa la siguiente.
wp core verify-checksums
wp plugin verify-checksums --all
find wp-content/uploads -name "*.php"

Si al hacer esto aparece algo que no sabes interpretar, para ahí y guarda la copia: es lo que necesitaré para limpiarla. Sin SSH, el análisis externo gratuito detecta los síntomas visibles desde fuera (redirecciones, scripts inyectados, plugins vulnerables, listas negras), y para mirar dentro sin darme FTP está el conector de solo lectura. Las señales una a una están en la guía para saber si tu WordPress está hackeado.

Plugin gratuito, Wordfence Care, Sucuri o yo: qué incluye cada opción

Opción¿Limpia la web?Qué revisaPrecio
Plugin gratuito (Wordfence, Kadence Security)No en la versión gratuitaDesde dentro de WordPress: cortafuegos, firmas de malware e intentos de acceso. Wordfence gratis recibe reglas y firmas 30 días después que PremiumGratis
Wordfence CareSí: es un servicio de pago que incluye ayuda con webs hackeadasLo que hace el plugin, más la intervención de su equipoDe pago; el precio, en su web
Sucuri Website Security PlatformSí: limpiezas manuales ilimitadas en todos los planesEscaneo remoto de malware de cada 12 horas (Basic) a cada 30 minutos (Business) y cortafuegos en la nube229, 339 o 549 US$ al año por sitio
WebIntacta (Jose Soriano)Sí, a precio cerrado y con 90 días de garantíaNúcleo archivo por archivo, plugins, base de datos, usuarios y la entrada por la que se coló, con informe en español219 €; con prioridad, +80 €

Datos de terceros consultados en sus páginas oficiales el 8 de octubre de 2026; pueden cambiar. Mis precios, IVA no incluido.

Las fuentes de cada dato y cuándo te conviene más otra opción están en la comparativa: Wordfence, Sucuri o un técnico. Si solo quieres prevenir y tu WordPress es sencillo, un plugin gratuito bien configurado puede bastar.

Limpiar WordPress hackeado y dejarlo vigilado

Si además de limpiarlo quieres que alguien lo mantenga después, el pack Rescate WordPress (429 €) junta la limpieza con prioridad con tres meses del plan Web corporativa y del Plus urgencia. Al terminar pasa a la cuota normal o lo das de baja.

Si en Google aparecen páginas en japonés con tu dominio, es una variante muy concreta de este problema: la explico en la guía del spam japonés en WordPress.

Precio

Lo que cuesta.

Precio cerrado para una instalación de WordPress. Multisitio o más de 5 GB: +90 €.

Limpieza de WordPress hackeado

Elimino el malware, cierro la entrada por la que se coló y compruebo que no vuelve.

219 €

IVA no incluido219 US$ en Latinoamérica

  • Con prioridad+80 €Tu caso pasa delante del resto de trabajos, también en fin de semana si hace falta. Es prioridad, no un plazo garantizado.+80 US$ en Latinoamérica
  • Archivos, base de datos y puertas traseras
  • Usuarios y tareas programadas que dejó el atacante
  • Actualización o sustitución del plugin o tema por el que entraron
  • Cambio de contraseñas y claves (wp-config) contigo
  • Revisión en Google Search Console y listas negras
  • Informe de lo que había y de lo que se hizo
  • Garantía de 90 días: si se vuelve a infectar, la limpio sin coste.
PedirPagar ahora con tarjeta

Rescate WordPress

Limpieza con prioridad + 3 meses de Web corporativa con Plus urgencia.

429 €

IVA no incluido389 US$ en Latinoamérica

  • Limpieza de WordPress con prioridad
  • 3 meses de mantenimiento Web corporativa
  • 3 meses de Plus urgencia
  • Al terminar, pasa a la cuota normal del plan; puedes darlo de baja.
PedirPagar ahora con tarjeta

También para «sitio WordPress hackeado» en México, Colombia, Argentina o Chile: quitar el virus de WordPress y reparar la instalación, en remoto, por 219 US$. Todos los precios

Preguntas

Lo que suelen preguntarme.

¿Cuánto cuesta limpiar un WordPress hackeado?

219 € la limpieza estándar, y +80 € si la quieres con prioridad sobre el resto de trabajos, IVA no incluido. Multisitio o más de 5 GB, +90 €. El pack Rescate WordPress, con tres meses de mantenimiento, 429 €.

¿Basta con un plugin de seguridad para limpiarlo?

Los plugins de seguridad detectan bien las firmas conocidas, pero no saben por dónde entró el atacante ni revisan la base de datos a fondo. Si la infección vuelve después de «limpiarla» con un plugin, es que la entrada sigue abierta. Lo comparo en qué plugin de seguridad para WordPress.

¿Tengo que actualizar WordPress y los plugins?

Sí, y lo hago yo con una copia previa. Si algún plugin está abandonado o es una copia «nulled» (pirata), hay que sustituirlo: suelen ser el origen.

¿Perderé el SEO?

No por la limpieza. Lo que daña el posicionamiento es el spam inyectado y el aviso de Google; al quitarlos y pedir la revisión, Google vuelve a rastrear la web limpia.

¿Qué incluye la garantía de 90 días?

Si en los 90 días siguientes vuelve el mismo problema, lo limpio otra vez sin coste. No cubre infecciones nuevas por, por ejemplo, instalar un plugin pirata después.

Contacto

Cuéntame qué está pasando.

Dime la web y qué has visto. Si marcas que es urgente, lo leo antes que el resto. Te respondo con lo que haría y el precio cerrado antes de tocar nada.

Contesto yo, en cuanto puedo y por orden. Lo marcado como urgente lo leo primero.

Complementos (opcional)
Puedes o enviarme la solicitud y te confirmo antes los detalles.

Protección de datos. Responsable: Jose Soriano Castro. Finalidad: responder a tu solicitud y, si contratas, prestar el servicio. Legitimación: tu consentimiento y, en su caso, el contrato. No se ceden datos a terceros salvo obligación legal. Derechos de acceso, rectificación, supresión y demás: ver la política de privacidad.

¿Está intacta tu web? Compruébalo ahora.

Análisis externo gratuito. Sin registro y sin instalar nada.

Recibir el resultado en PDF y avisos 30 días (opcional)

Protección de datos. Responsable: Jose Soriano Castro. Finalidad: enviarte el PDF del diagnóstico, avisarte por email durante 30 días si se publica un fallo de seguridad que afecte a tu web (con un análisis de repaso el día 30) y responder por escrito a tu consulta; las ofertas, solo si marcas esa casilla. Legitimación: tu consentimiento. Destinatarios: nadie, salvo obligación legal. Puedes darte de baja cuando quieras con el enlace de cada correo o escribiéndome. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad. Política de privacidad.

  • Sin acceso FTP
  • Solo lectura
  • Sin datos de clientes

Preferencias de cookies