WordPress infectado en .htaccess cómo detectarlo y limpiar

Qué significa tener WordPress infectado en .htaccess

Tener un archivo .htaccess infectado significa que alguien o algo ha modificado ese archivo de configuración del servidor para introducir reglas no previstas. En muchos casos, el objetivo es redirigir tráfico, permitir accesos indebidos, esconder actividad maliciosa o reactivar la infección después de una limpieza parcial.

Conviene recordar que .htaccess no existe ni se usa igual en todos los hostings. Su efecto depende del servidor y de la configuración permitida por el proveedor. En instalaciones WordPress sobre Apache, lo normal es encontrar reglas de reescritura bastante reconocibles, mientras que líneas extrañas, muy largas o difíciles de interpretar pueden indicar código malicioso en .htaccess o una alteración que merece análisis.

Limpiar este archivo puede ser necesario, pero no garantiza por sí solo que el malware en WordPress haya desaparecido. A menudo el .htaccess es una señal de persistencia, no el único punto comprometido.

Señales para detectar cambios sospechosos en el archivo

Una de las señales más frecuentes son las redirecciones maliciosas: usuarios enviados a páginas de apuestas, falsas actualizaciones, spam o sitios distintos según dispositivo, idioma o procedencia. Si la web se comporta de forma extraña solo en ciertos casos, conviene revisar las reglas de reescritura y las condiciones asociadas.

También pueden levantar sospechas estos indicios:

• Bloques con variables, cadenas codificadas o patrones poco legibles.
• Directivas que no recuerdas haber añadido y que no pertenecen al plugin de caché, seguridad o redirecciones que usas.
• Reglas que afectan solo a bots, móviles o determinadas rutas.
• Cambios recientes en fecha de modificación sin intervención tuya o del proveedor.

En una instalación WordPress estándar, las líneas legítimas suelen incluir un bloque similar al generado por enlaces permanentes, con comentarios identificables y reglas de reescritura sencillas. Lo sospechoso suele aparecer fuera de ese bloque: condiciones para redirigir a dominios externos, excepciones opacas, instrucciones duplicadas o fragmentos claramente ofuscados.

Si el sitio sigue mostrando síntomas después de restaurar el contenido correcto, es probable que exista otro archivo o proceso reescribiendo el .htaccess.

Cómo limpiar el .htaccess sin romper la web

Antes de tocar nada, haz una copia de seguridad del archivo actual y, si es posible, de toda la web y la base de datos. Un error al borrar reglas válidas puede dejar la web inaccesible, romper redirecciones legítimas o afectar a la caché y a la seguridad configurada.

1. Descarga y guarda el .htaccess actual con fecha y hora.
2. Compara su contenido con una versión conocida como buena o con el bloque estándar de WordPress si solo usas enlaces permanentes.
3. Elimina únicamente las reglas sospechosas si puedes identificarlas con seguridad. Si no, puede ser más prudente regenerar el archivo.
4. Regenera el .htaccess desde WordPress entrando en Ajustes > Enlaces permanentes y guardando de nuevo, siempre que la instalación siga accesible y el entorno use este archivo.
5. Prueba la web en portada, páginas internas, acceso a administración y rutas habituales.

Si usas plugins de caché, seguridad o compresión, revisa si añaden sus propias reglas. Borrarlas sin validación puede causar errores 403, bucles de redirección o pérdida de funcionalidades. También conviene evitar restaurar una copia antigua sin verificar, porque podrías reintroducir un estado ya comprometido.

Para entender la sintaxis y el alcance real de las directivas, la documentación oficial de Apache HTTP Server puede servir como referencia técnica, especialmente si aparecen reglas poco habituales.

Qué revisar después para evitar reinfecciones

Si ya has corregido el archivo, el siguiente paso es confirmar que no quedan backdoors o puertas traseras. Limpiar solo lo visible es uno de los errores más comunes al limpiar WordPress hackeado.

• Revisa plugins y temas, especialmente los desactualizados, anulados o no usados.
• Busca archivos PHP modificados recientemente en carpetas como uploads, wp-includes o dentro de temas.
• Comprueba usuarios administradores no reconocidos.
• Verifica tareas programadas, cron jobs del sistema o procesos automáticos que puedan reescribir archivos.
• Cambia contraseñas de WordPress, FTP, panel de hosting, base de datos y, si aplica, claves SSH.

Además, conviene aplicar un endurecimiento básico: actualizar núcleo, plugins y temas, eliminar componentes innecesarios, limitar permisos de escritura y revisar registros del servidor si están disponibles. Todo ello ayuda a restaurar el acceso seguro y a reducir el riesgo de reinfección.

Cuándo conviene pedir ayuda profesional

Si el .htaccess vuelve a modificarse, hay tráfico redirigido de forma intermitente, aparecen archivos extraños o no puedes distinguir qué reglas son legítimas, lo más sensato es escalar la revisión. También conviene pedir ayuda si la web forma parte de un negocio, procesa formularios sensibles o no puedes permitir tiempos de caída por pruebas.

Un análisis profesional no se limita al archivo .htaccess: revisa vectores de entrada, persistencia, integridad de archivos, usuarios, credenciales y configuración del hosting. Ese enfoque reduce el riesgo de dejar puertas traseras activas o dar por limpia una instalación que sigue comprometida.

En resumen, un WordPress infectado en .htaccess es una señal crítica porque puede alterar el comportamiento del sitio y ocultar una intrusión más amplia. La limpieza debe hacerse con método, copia previa y comprobaciones posteriores, no como un cambio aislado y rápido.

Si hay indicios de compromiso real o necesitas confirmar que la limpieza ha sido completa, el siguiente paso razonable es una revisión técnica integral del sitio para detectar persistencias, cerrar la vía de entrada y recuperar un estado estable con criterios de seguridad WordPress.