# WordPress hackeado: quito el malware y cierro por donde entró.

> Limpiar y reparar un WordPress hackeado: elimino el malware de archivos y base de datos y cierro la entrada. Desde 219 €, con 90 días de garantía.

URL: https://webintacta.com/limpieza-malware-wordpress
Última actualización: 2026-10-13

**En resumen:** Limpiar un WordPress hackeado con WebIntacta cuesta 219 €, y +80 € si quieres que tu caso pase delante del resto de trabajos (IVA no incluido). Lo hago yo, Jose Soriano: quito el malware de archivos y base de datos, borro los usuarios y tareas programadas que dejó el atacante y actualizo o sustituyo el plugin o tema por el que entró. Incluye un informe de lo que había y 90 días de garantía.


En WordPress el malware rara vez está en un solo sitio: suele haber una puerta trasera en un plugin, código en la base de datos y, a menudo, un usuario administrador nuevo. Para eliminar el malware de WordPress de verdad hay que encontrar las tres cosas; si solo se limpia lo visible, vuelve.

## Dónde se esconde en WordPress

- `wp-content/uploads/` con archivos .php (ahí solo debería haber imágenes y documentos)
- `wp-content/mu-plugins/`: plugins que se cargan siempre y no aparecen en el listado normal
- Las opciones `siteurl` y `home` cambiadas, o scripts en `wp_options` y en las entradas
- `.htaccess` con reglas que redirigen según el navegador o la procedencia
- Archivos del núcleo (`wp-includes`, `wp-admin`) que no coinciden con los originales
- Usuarios administradores desconocidos y tareas programadas (cron) que reinstalan la infección

## Cómo lo hago

1. **Copia y huella de la infección.** Copio la web y la base de datos, y comparo cada archivo del núcleo con el original de tu versión de WordPress. Lo que no coincide queda localizado.
2. **Plugins y temas.** Reinstalo desde la fuente oficial los plugins y el tema (si es de pago, con tu licencia). Quito los abandonados que no tienen arreglo y te propongo alternativa.
3. **Base de datos y usuarios.** Busco scripts inyectados en entradas, opciones y widgets; elimino usuarios y tareas que no son tuyos y regenero las claves de `wp-config.php`.
4. **Google y verificación.** Solicito la revisión en Search Console si hay aviso, repito el análisis y te entrego el informe con la causa y lo que se ha cambiado.

## Reparar un WordPress hackeado: lo que puedes hacer tú sin empeorarlo

Antes de contratar a nadie, hay pasos que puedes dar tú sin riesgo de borrar la prueba de por dónde entraron. Este es el orden en que los haría yo:

1. **Haz una copia completa tal como está**: archivos y base de datos. Si algo sale mal, puedes volver atrás, y es la prueba de lo que pasó.
2. **Cambia las contraseñas desde un ordenador limpio**: la del panel del hosting, la del FTP o SFTP y la de cada administrador de WordPress. Si cambias la de la base de datos, cámbiala también en `wp-config.php` o la web dejará de cargar.
3. **Revisa los administradores** en Usuarios → Todos los usuarios, filtrando por «Administrador». Anota los que no reconozcas y pásalos a «Suscriptor» en vez de borrarlos: su fecha de alta ayuda a saber desde cuándo hay acceso.
4. **Compara el núcleo y los plugins con los originales.** Con SSH y WP-CLI, los comandos de abajo lo hacen en segundos; cualquier línea que no sea «Success» merece una revisión.
5. **Busca archivos .php en `wp-content/uploads/`.** Ahí solo debería haber imágenes y documentos; un PHP en esa carpeta es casi siempre una puerta trasera. Mira también `wp-content/mu-plugins/` y el `.htaccess` de la raíz.
6. **Actualiza WordPress, los plugins y el tema** desde las fuentes oficiales, y borra (no solo desactives) los plugins que no usas y cualquier copia «nulled».
7. **No pidas todavía la revisión a Google.** Si Search Console muestra un problema de seguridad, pídela cuando la web esté limpia y la entrada cerrada: una revisión rechazada retrasa la siguiente.

```
wp core verify-checksums
wp plugin verify-checksums --all
find wp-content/uploads -name "*.php"
```

Si al hacer esto aparece algo que no sabes interpretar, para ahí y guarda la copia: es lo que necesitaré para limpiarla. Sin SSH, el [análisis externo gratuito](https://webintacta.com/analisis-seguridad-web-gratis) detecta los síntomas visibles desde fuera (redirecciones, scripts inyectados, plugins vulnerables, listas negras), y para mirar dentro sin darme FTP está el [conector de solo lectura](https://webintacta.com/conector). Las señales una a una están en la [guía para saber si tu WordPress está hackeado](https://webintacta.com/guias/como-saber-si-mi-wordpress-esta-hackeado).

## Plugin gratuito, Wordfence Care, Sucuri o yo: qué incluye cada opción

| Opción | ¿Limpia la web? | Qué revisa | Precio |
| --- | --- | --- | --- |
| Plugin gratuito (Wordfence, Kadence Security) | No en la versión gratuita | Desde dentro de WordPress: cortafuegos, firmas de malware e intentos de acceso. Wordfence gratis recibe reglas y firmas 30 días después que Premium | Gratis |
| Wordfence Care | Sí: es un servicio de pago que incluye ayuda con webs hackeadas | Lo que hace el plugin, más la intervención de su equipo | De pago; el precio, en su web |
| Sucuri Website Security Platform | Sí: limpiezas manuales ilimitadas en todos los planes | Escaneo remoto de malware de cada 12 horas (Basic) a cada 30 minutos (Business) y cortafuegos en la nube | 229, 339 o 549 US$ al año por sitio |
| WebIntacta (Jose Soriano) | Sí, a precio cerrado y con 90 días de garantía | Núcleo archivo por archivo, plugins, base de datos, usuarios y la entrada por la que se coló, con informe en español | 219 €; con prioridad, +80 € |

Datos de terceros consultados en sus páginas oficiales el 8 de octubre de 2026; pueden cambiar. Mis precios, IVA no incluido.

Las fuentes de cada dato y cuándo te conviene más otra opción están en la [comparativa: Wordfence, Sucuri o un técnico](https://webintacta.com/comparativa). Si solo quieres prevenir y tu WordPress es sencillo, un plugin gratuito bien configurado puede bastar.

## Limpiar WordPress hackeado y dejarlo vigilado

Si además de limpiarlo quieres que alguien lo mantenga después, el pack **Rescate WordPress** (429 €) junta la limpieza con prioridad con tres meses del plan Web corporativa y del Plus urgencia. Al terminar pasa a la cuota normal o lo das de baja.

Si en Google aparecen páginas en japonés con tu dominio, es una variante muy concreta de este problema: la explico en la [guía del spam japonés en WordPress](https://webintacta.com/guias/spam-japones-wordpress).

## Precio

Precio cerrado para una instalación de WordPress. Multisitio o más de 5 GB: +90 €.

### Limpieza de WordPress hackeado — 219 € (IVA no incluido)
Elimino el malware, cierro la entrada por la que se coló y compruebo que no vuelve.

219 US$ en Latinoamérica.
- Archivos, base de datos y puertas traseras
- Usuarios y tareas programadas que dejó el atacante
- Actualización o sustitución del plugin o tema por el que entraron
- Cambio de contraseñas y claves (wp-config) contigo
- Revisión en Google Search Console y listas negras
- Informe de lo que había y de lo que se hizo

> Garantía de 90 días: si se vuelve a infectar, la limpio sin coste.

**Con prioridad: +80 €** (+80 US$ en Latinoamérica). Tu caso pasa delante del resto de trabajos, también en fin de semana si hace falta. Es prioridad, no un plazo garantizado.

### Rescate WordPress — 429 € (IVA no incluido)
Limpieza con prioridad + 3 meses de Web corporativa con Plus urgencia.

389 US$ en Latinoamérica.
- Limpieza de WordPress con prioridad
- 3 meses de mantenimiento Web corporativa
- 3 meses de Plus urgencia

> Al terminar, pasa a la cuota normal del plan; puedes darlo de baja.

También para «sitio WordPress hackeado» en México, Colombia, Argentina o Chile: quitar el virus de WordPress y reparar la instalación, en remoto, por 219 US$.

## Preguntas frecuentes

### ¿Cuánto cuesta limpiar un WordPress hackeado?

219 € la limpieza estándar, y +80 € si la quieres con prioridad sobre el resto de trabajos, IVA no incluido. Multisitio o más de 5 GB, +90 €. El pack Rescate WordPress, con tres meses de mantenimiento, 429 €.

### ¿Basta con un plugin de seguridad para limpiarlo?

Los plugins de seguridad detectan bien las firmas conocidas, pero no saben por dónde entró el atacante ni revisan la base de datos a fondo. Si la infección vuelve después de «limpiarla» con un plugin, es que la entrada sigue abierta. Lo comparo en [qué plugin de seguridad para WordPress](https://webintacta.com/guias/mejor-plugin-seguridad-wordpress).

### ¿Tengo que actualizar WordPress y los plugins?

Sí, y lo hago yo con una copia previa. Si algún plugin está abandonado o es una copia «nulled» (pirata), hay que sustituirlo: suelen ser el origen.

### ¿Perderé el SEO?

No por la limpieza. Lo que daña el posicionamiento es el spam inyectado y el aviso de Google; al quitarlos y pedir la revisión, Google vuelve a rastrear la web limpia.

### ¿Qué incluye la garantía de 90 días?

Si en los 90 días siguientes vuelve el mismo problema, lo limpio otra vez sin coste. No cubre infecciones nuevas por, por ejemplo, instalar un plugin pirata después.

Contratar o preguntar: https://webintacta.com/soporte