¿Mi web WordPress está hackeada?

Desde fuera: esta herramienta, una búsqueda «site:tudominio.es» en Google para ver páginas que no has escrito, y una visita desde el móvil en navegación privada para pillar una redirección. Desde dentro: las cuentas que pueden instalar plugins, la lista de plugins con la pestaña «Must-Use», los archivos modificados recientemente y los registros de acceso del hosting. La guía «comprobaciones que hacer hoy» detalla cada punto.

Sí, si la web tenía una clave de UpdraftCentral activa. La puerta de entrada era una clave válida, no una versión antigua, y la casilla que crea esa clave viene marcada por defecto al conectar una web a tu cuenta de TeamUpdraft. Actualiza a la 1.26.13 (2.26.13 en Premium), borra la clave en las herramientas avanzadas de UpdraftPlus y revisa las cuentas, los plugins y los archivos: la actualización sola no quita nada de lo que ya se instaló.

Una copia completa fuera del servidor, y luego un cambio de todas las contraseñas (WordPress, FTP, base de datos, cuenta del hosting, correo vinculado) y de las claves secretas de wp-config.php. Solo después, la limpieza: cuentas y plugins desconocidos, archivos recientes, redirecciones. Si no puedes hacerlo tú, pon la web en mantenimiento en el hosting y escríbeme.

Sí, todas, en cuanto haya una duda, y una segunda vez después de la limpieza: WordPress (cada administrador), FTP o SFTP, base de datos, cuenta del hosting, cuenta de TeamUpdraft, y el correo que recibe los restablecimientos. Cambia también las claves secretas de wp-config.php: cierran todas las sesiones abiertas, incluida la del atacante.

Quizás. Un error crítico suele tener una causa banal, como una actualización de PHP o un plugin incompatible. Pero la primera variante de los plugins falsos de octubre de 2026 provocaba un error «Undefined constant» en las páginas sin caché. Si el mensaje cita un plugin que no conoces, no corrijas su código: mueve su carpeta fuera de la web y sigue la guía de comprobaciones.

Casi siempre es un hackeo. Pide al hosting los archivos o scripts implicados y los registros, haz la copia, y luego limpia o restaura una versión anterior. La web solo debe volver a estar en línea cuando las contraseñas estén cambiadas y las actualizaciones hechas, o puede volver a ser suspendida.

Solo si la copia es anterior a la intrusión, es decir, anterior al 17 de octubre para UpdraftCentral, y si cierras la puerta justo después. Una copia de esa fecha aún puede contener la antigua clave de UpdraftCentral: bórrala de nuevo, cambia las contraseñas y las claves secretas, y actualízalo todo. La guía de restauración explica cómo elegir la buena copia.

Ayudan a detectar (archivos modificados, accesos sospechosos) y bloquean parte de los ataques, pero una orden firmada con una clave auténtica pasa por legítima. No sustituyen ni las actualizaciones, ni borrar los plugins inútiles, ni contraseñas únicas con autenticación en dos pasos.

El hosting mantiene el servidor y la versión de PHP, no tu WordPress, tus plugins ni tus cuentas. Puede suspender una web que envía spam y darte los registros. La limpieza corre de tu cuenta o de tu proveedor.

Si la web guarda datos personales (cuentas, pedidos, formularios guardados) y una intrusión ha podido acceder a ellos, es una violación de datos: en la Unión Europea se notifica a la autoridad en 72 horas en cuanto hay un riesgo para las personas, se informa a las personas si el riesgo es alto, y se deja constancia por escrito en todos los casos. Una web corporativa que no guarda ningún dato no tiene nada que notificar.

Lee la página de inicio una vez, como un navegador, y luego como mucho nueve pequeños archivos públicos: el feed RSS cuando la página oculta su versión, el readme.txt de los plugins vigilados, la lista pública de autores y las veinte últimas páginas y entradas publicadas. También pregunta a WordPress.org si un plugin visto en la página fue retirado por un fallo. Reconoce WordPress, su versión si se muestra, un plugin de la lista por debajo de su versión corregida, una página colada (enlaces a casinos o farmacias, texto en un idioma ajeno a la web, fecha antigua falsa), enlaces ocultos, una redirección, un script codificado, palabras de spam, archivos .php en las subidas y un error crítico. No escanea nada, no envía ninguna carga y guarda el resultado diez minutos en caché, no más. No ve un plugin falso que no carga nada en la página, ni un hackeo que solo afecta a algunos visitantes: solo una revisión desde dentro lo resuelve.