Limpiar WordPress infectado sin perder contenido

Sí, en muchos casos es posible limpiar wordpress infectado sin perder contenido, siempre que primero protejas una copia útil, aísles el malware y valides la limpieza antes de volver a abrir la web al público. La prioridad no es borrar archivos deprisa, sino evitar que una mala decisión elimine contenidos, mantenga puertas traseras activas o reintroduzca la infección al restaurar una copia contaminada.

Cuando un sitio comprometido sigue online, cada minuto cuenta, pero conviene actuar con método. Un proceso ordenado suele reducir riesgos: preservar archivos y base de datos, revisar accesos, comparar el core de WordPress, limpiar elementos maliciosos y comprobar después que no quedan rastros en el servidor, en los usuarios ni en la indexación.

Cómo saber si tu WordPress está infectado

No todas las infecciones se presentan igual. A veces el síntoma es evidente, como redirecciones extrañas o avisos del navegador. Otras veces el problema pasa desapercibido durante semanas y solo se detecta por caídas de rendimiento, usuarios sospechosos o cambios en archivos que nadie recuerda haber hecho.

Señales habituales de compromiso

• Redirecciones a páginas de spam, apuestas, farmacia o contenido no relacionado.
• Archivos modificados recientemente sin una actualización legítima.
• Creación de usuarios administradores que no reconoces.
• Inyección de código en cabeceras, pies, widgets o archivos del tema.
• Avisos del hosting sobre malware, consumo anómalo o scripts maliciosos.
• Alertas en Search Console o inclusión en listas negras.
• Tareas programadas sospechosas o ejecución de archivos PHP en rutas poco normales.

Qué conviene revisar primero

1. Accede al panel de WordPress y revisa usuarios, plugins activos y cambios recientes.
2. Mira el administrador de archivos o SFTP para detectar ficheros con nombres extraños o fechas de modificación llamativas.
3. Comprueba si el archivo wp-config.php, el directorio wp-content o los archivos del tema contienen código que no deberías tener.
4. Revisa si hay avisos de integridad del core o diferencias respecto a una instalación oficial de WordPress.

Un error frecuente es confundir una web rota con un sitio infectado. Una actualización fallida, un conflicto entre plugins o un problema de permisos también pueden generar errores. Por eso conviene confirmar indicios antes de borrar nada con una auditoría de seguridad WordPress y refuerzo.

Qué hacer antes de limpiar el sitio para no perder contenido

Si tu prioridad es conservar entradas, páginas, productos, medios y configuraciones útiles, la fase previa es decisiva. La limpieza sin preparación puede eliminar contenido legítimo, romper funcionalidades o dificultar una recuperación posterior.

Paso 1: conservar una copia de trabajo

Genera una copia completa de archivos y base de datos antes de modificar nada. Aunque esté contaminada, sirve como respaldo técnico y como fuente para recuperar contenido si algo sale mal. Si el hosting en España ofrece snapshots o backups automáticos, anota fechas y no sobrescribas esos puntos de restauración hasta terminar el proceso.

Paso 2: reducir exposición

Si es posible, activa modo mantenimiento, restringe acceso por IP o pide al hosting aislamiento temporal. El objetivo es evitar que el malware siga propagándose, enviando spam o reinfectando archivos mientras trabajas.

Paso 3: identificar qué contenido sí necesitas preservar

• Base de datos con entradas, páginas, productos, menús y ajustes.
• Carpeta de subidas si contiene imágenes y documentos legítimos.
• Archivos del tema hijo o personalizaciones propias documentadas.
• Fragmentos de código añadidos de forma consciente y revisable.

Paso 4: no confiar ciegamente en una copia antigua

Restaurar por restaurar es uno de los errores más caros. Si la infección llevaba tiempo activa, una copia antigua puede contener ya archivos maliciosos, puertas traseras o usuarios creados por el atacante. Antes de usarla como base de recuperación, conviene revisarla igual que la instalación actual.

Cómo limpiar archivos y base de datos de un WordPress hackeado

Aquí es donde de verdad se decide si vas a eliminar malware wordpress de forma razonable o si vas a dejar restos activos. Lo más prudente es separar el contenido útil del código ejecutable. En general, conviene desconfiar de los archivos PHP y validar con cuidado todo lo que pueda ejecutar código.

Revisión de archivos del core

Compara el core de WordPress con una versión oficial limpia equivalente. Si hay archivos modificados donde no debería haber cambios, normalmente es más seguro reemplazarlos por copias limpias de la misma versión o de la versión actualizada, siempre que el proceso esté controlado y sea compatible con el resto del sitio.

• Revisa especialmente archivos en la raíz y directorios estándar del core.
• Sospecha de archivos PHP en ubicaciones de subidas o nombres que imitan archivos legítimos.
• No olvides revisar archivos ocultos o reglas del servidor si tienes acceso.

Revisión de temas y plugins

En una limpieza realista, los plugins y temas son un punto crítico. Si proceden de fuentes dudosas, están abandonados o han sido modificados sin control, a menudo es mejor sustituirlos por versiones limpias descargadas de su origen legítimo. Si hay un tema hijo o personalizaciones a medida, copia solo lo necesario tras revisarlo archivo por archivo.

Limpieza de la carpeta de subidas

La biblioteca multimedia suele ser valiosa para no perder contenido, pero también puede esconder scripts maliciosos. Revisa si existen archivos ejecutables, extensiones inesperadas o ficheros camuflados entre imágenes y documentos. Mantén los medios legítimos y elimina lo que no corresponda.

Limpieza de la base de datos

Un wordpress hackeado no siempre está infectado solo en archivos. Puede haber inyecciones en opciones, widgets, contenidos, cuentas de usuario o configuraciones persistentes.

1. Revisa usuarios y elimina cuentas administradoras no autorizadas.
2. Comprueba opciones del sitio, plugins activos y ajustes que carguen código externo o redirecciones.
3. Busca contenido inyectado en entradas, páginas, widgets y campos personalizados si hay indicios.
4. Verifica tareas programadas sospechosas y restos de extensiones eliminadas.

La base de datos debe tocarse con mucha cautela. Borrar en bloque sin entender qué hace cada registro puede romper funciones esenciales del sitio, tiendas online o áreas privadas.

Errores frecuentes al desinfectar WordPress

• Eliminar archivos sospechosos sin confirmar si son personalizaciones legítimas.
• Cambiar contraseñas antes de cerrar la puerta trasera que permitió el acceso.
• Limpiar solo lo visible y dejar una backdoor activa.
• Confiar en un único escaneo automático como prueba definitiva.
• Reabrir el sitio sin actualizar ni verificar la integridad de la instalación.

Cuándo conviene reinstalar WordPress, temas y plugins

Reinstalar no siempre significa perder contenido. De hecho, muchas veces es la vía más segura para reparar wordpress infectado cuando la contaminación afecta a muchos archivos o no puedes confiar en el código actual.

Suele ser recomendable reinstalar si ocurre alguna de estas situaciones

• Hay modificaciones masivas en el core o en múltiples plugins.
• No puedes determinar con seguridad qué archivos están limpios.
• El tema o los plugins proceden de fuentes no fiables.
• La infección reaparece tras una limpieza parcial.

Qué conservar y qué sustituir

Normalmente se intenta conservar la base de datos revisada, la carpeta de subidas limpia y las personalizaciones verificadas. En cambio, el core, los plugins y los temas del proveedor suelen reemplazarse por versiones limpias y actualizadas. Esto ayuda a reducir el riesgo de que queden archivos maliciosos camuflados.

Si tu sitio tiene desarrollos a medida, lo prudente es auditarlos antes de volver a desplegarlos. El código personalizado puede ser legítimo y necesario, pero también es donde más cuesta distinguir una función útil de una modificación maliciosa si no hay control de versiones.

Cómo comprobar que la infección ha desaparecido

Dar por cerrada la incidencia demasiado pronto es otro fallo habitual. Una limpieza razonable requiere validación técnica y funcional. No basta con que la portada cargue bien.

Comprobaciones mínimas antes de reabrir

1. Escanea el sitio de nuevo con herramientas de análisis y revisa manualmente los hallazgos.
2. Comprueba que no existen usuarios administradores no autorizados.
3. Verifica que el core, temas y plugins están actualizados y proceden de fuentes legítimas.
4. Revisa redirecciones, formularios, checkout, acceso al panel y funciones clave del negocio.
5. Mira Search Console y posibles alertas del hosting o del navegador.

Señales de que aún puede quedar malware en WordPress

• Reaparecen archivos tras borrarlos.
• Persisten las redirecciones o el spam SEO.
• Vuelven a crearse usuarios o cambios de configuración sin intervención tuya.
• El servidor sigue registrando actividad extraña o consumo irregular.

Si detectas cualquiera de estas señales, es probable que la puerta de entrada siga abierta o que haya quedado una backdoor. En ese caso, conviene revisar de nuevo acceso, archivos persistentes, credenciales y entorno del hosting.

Qué hacer para evitar otra infección

La limpieza sin endurecimiento posterior suele quedarse corta. Una vez desinfectado el sitio, toca reforzar la seguridad wordpress para reducir la probabilidad de recaída.

Medidas prácticas de hardening de WordPress

• Cambia contraseñas de WordPress, hosting, SFTP, base de datos y correo asociado.
• Activa doble factor si está disponible.
• Elimina plugins y temas que no uses.
• Mantén WordPress, extensiones y plantillas siempre actualizados.
• Revisa permisos de archivos y evita configuraciones demasiado abiertas.
• Programa copias de seguridad verificadas y separadas del entorno principal.
• Monitoriza cambios en archivos, usuarios y accesos administrativos.

Qué conviene revisar con perspectiva de negocio

Si gestionas una tienda, una web corporativa o una plataforma de captación, no te quedes solo en la parte técnica. Comprueba si hubo impacto en formularios, pedidos, correos salientes, reputación del dominio y visibilidad orgánica. A veces el problema más costoso no es el archivo infectado, sino el daño acumulado por estar días redirigiendo tráfico o enviando spam.

Como referencia general, la documentación oficial de WordPress mantiene guías de hardening y recuperación que pueden ayudarte a contrastar buenas prácticas: Hardening WordPress.

Conclusión

Recuperar un sitio comprometido sin perder contenido suele ser viable si separas el contenido útil del código sospechoso, trabajas sobre copias, revisas usuarios y validas la limpieza antes de reabrir. No hay un único procedimiento perfecto para todos los casos: el tipo de infección, el hosting, el acceso disponible y la calidad de las copias condicionan mucho el resultado.

Si no tienes claro qué archivos conservar, cómo comparar el core o cómo confirmar que no quedan puertas traseras, el siguiente paso razonable es pedir una revisión técnica o una limpieza profesional. Una intervención bien hecha no solo busca desinfectar, sino también dejar la instalación en mejor estado para evitar otra incidencia.