Servicio
Eliminar redirecciones y spam en WordPress
Índice
- Qué son las redirecciones y el spam en WordPress
- Cómo detectar redirecciones y spam sin perder tiempo
- Causas más frecuentes de reinfección y spam SEO
- Plan seguro antes de limpiar: copia, staging y evidencias
- Limpieza de archivos: .htaccess, wp-config y núcleo
- Limpieza de base de datos y contenido inyectado
- Plugins, temas y permisos: cerrar la puerta de entrada
- Bloqueo del spam y redirecciones en varias capas
- Recuperación SEO y Google Search Console tras la limpieza
- Preguntas frecuentes
Qué son las redirecciones y el spam en WordPress
Cuando un WordPress “redirige solo” o empieza a mostrar contenido extraño, casi siempre hablamos de una manipulación intencional. Las redirecciones maliciosas se usan para llevar a usuarios y bots a páginas de apuestas, falsos antivirus, descargas engañosas o redes de afiliación. A veces solo se activan en móvil, solo para tráfico orgánico o solo si el visitante viene desde Google. Eso complica el diagnóstico, porque el administrador puede navegar aparentemente “normal” mientras los usuarios ven otra cosa.
El spam en WordPress suele aparecer como páginas nuevas que nadie ha creado, entradas con enlaces raros, comentarios masivos, enlaces ocultos en el footer o inyecciones en el contenido. En el plano SEO se traduce en títulos y descripciones alterados, resultados de Google con textos que no son tuyos, y una caída brusca de confianza. En el plano técnico, suele indicar que alguien ha tenido capacidad de escribir archivos o modificar la base de datos.
Qué ocurre en la práctica
Lo más habitual es ver redirecciones intermitentes: un cliente entra y acaba en una web de “premios”, pero tú no lo reproduces desde tu oficina. Otra escena típica es el spam SEO: aparecen cientos de URLs nuevas con nombres de productos o fármacos, y Google empieza a indexarlas. En muchos casos el origen no es “un virus genérico”, sino un plugin vulnerable, una contraseña filtrada, un hosting comprometido o un usuario administrador añadido sin permiso.
- Redirección visible: te manda a otra web o cambia el contenido de golpe.
- Cloaking: el bot de Google ve una cosa y el usuario otra.
- Spam SEO: URLs y enlaces creados para posicionar términos ajenos a tu negocio.
El objetivo de una limpieza correcta no es solo “que deje de redirigir hoy”. Debe eliminar la puerta de entrada, limpiar lo inyectado, y dejar un sistema verificable para evitar recaídas. Si no se hace así, el patrón típico es una aparente mejora de 24 a 72 horas y después vuelve el problema.
Cómo detectar redirecciones y spam sin perder tiempo
El diagnóstico debe separar síntomas de causas. El síntoma es “me redirige” o “aparece spam”. La causa suele estar en un archivo alterado, un plugin vulnerable o una inyección en base de datos. Para detectar bien, conviene revisar el comportamiento en varios escenarios: navegación anónima, móvil, desde buscador, y con distintas IPs. Además, hay que mirar el servidor, no solo WordPress: algunas infecciones viven en reglas de servidor o en archivos fuera del directorio típico.
Señales rápidas de compromiso: nuevas cuentas administrador, cambios en wp-config.php, archivos con fechas recientes en wp-includes o wp-admin, y redirecciones condicionadas por User-Agent o Referer. También es frecuente ver tareas programadas (WP-Cron) que reinsertan spam aunque lo borres manualmente.
Checklist de detección práctica
- Revisar usuarios en WordPress: administradores desconocidos, correos raros y cambios recientes.
- Buscar páginas y entradas recién creadas, sobre todo con slugs extraños o en masa.
- Comprobar si hay redirecciones solo al llegar desde Google o redes sociales.
- Ver archivos modificados en las últimas semanas, especialmente en carpetas del core.
- Revisar .htaccess y configuración del servidor por reglas nuevas.
Qué ocurre en la práctica
Un error muy frecuente es “pasar un antivirus del plugin y darlo por resuelto”. El plugin puede detectar parte, pero si la infección está en la base de datos o en un mu-plugin, o si el acceso sigue abierto, el problema vuelve. También pasa que se limpia la web pero no se cambia la contraseña del hosting o del FTP, y el atacante reentra con las mismas credenciales filtradas.
La detección eficaz termina con una lista concreta de elementos a corregir: archivos afectados, entradas a eliminar, usuarios a bloquear, plugins a sustituir y medidas a desplegar. Si no puedes señalar qué se va a cambiar, el diagnóstico no está cerrado.
Causas más frecuentes de reinfección y spam SEO
Las redirecciones y el spam no aparecen por casualidad. Casi siempre entran por una de estas vías: vulnerabilidad en plugin o tema, credenciales expuestas, permisos de archivo demasiado abiertos, o servicios del hosting comprometidos. A partir de ahí, el atacante busca persistencia: dejar algo que sobreviva a reinicios y que se regenere si lo borras.
En WordPress es común que la persistencia se esconda en: plugins “nulled”, plugins desactualizados, temas con código ofuscado, archivos con nombres parecidos a los legítimos, y tareas programadas que vuelven a inyectar contenido. También existen redirecciones a nivel de servidor, por ejemplo con reglas en .htaccess o en configuración de Nginx, lo que hace que incluso un WordPress recién restaurado siga comportándose mal.
- Plugins vulnerables: fallos de seguridad sin parche o instalados desde fuentes no oficiales.
- Credenciales: contraseñas reutilizadas, FTP sin seguridad, panel de hosting expuesto.
- Permisos inseguros: carpetas con escritura global y archivos editables por cualquiera.
- Inyección en base de datos: opciones, widgets, shortcodes o contenido con scripts escondidos.
- Usuarios fantasma: administradores creados para volver a entrar.
Qué ocurre en la práctica
En muchos casos el cliente dice “lo actualicé todo y empezó el caos”. La actualización no causa el ataque, pero sí puede revelar un plugin antiguo que ya estaba comprometido o romper compatibilidades que dejan la web inestable y facilitan abusos. Otro patrón típico: se instala un plugin de caché o seguridad “pirata” para ahorrar costes, y ese mismo plugin incluye la puerta trasera.
Si el objetivo es eliminar redirecciones y spam de forma estable, hay que tratar la causa raíz: qué permitió la escritura o el acceso. La limpieza solo cosmética suele fallar, porque el atacante conserva el punto de entrada.
Plan seguro antes de limpiar: copia, staging y evidencias
Antes de tocar nada, conviene planificar para no empeorar el problema. Una limpieza agresiva sin copia puede dejar la web caída o perder contenidos. Además, si hay impacto en negocio, es útil poder demostrar qué se hizo y cuándo. El plan seguro se basa en tres pilares: copia íntegra, entorno de pruebas y trazabilidad de cambios.
La copia no es solo “exportar” desde WordPress. Idealmente incluye archivos del sitio y base de datos, y si se puede, una copia de logs del servidor. El staging permite limpiar y verificar sin afectar al público. Si no hay staging, al menos trabaja en ventanas de baja actividad y con un plan de rollback.
Pasos recomendados antes de intervenir
- Activar modo mantenimiento o restringir acceso por IP si el negocio lo permite.
- Hacer copia completa de archivos y base de datos, y guardar fuera del servidor afectado.
- Anotar versiones de PHP, WordPress, tema y plugins, y registrar la fecha y hora de la intervención.
- Crear staging para reproducir el problema y validar que desaparece tras la limpieza.
- Definir criterio de éxito: sin redirecciones, sin URLs spam nuevas, y sin alertas en Search Console.
Qué ocurre en la práctica
Cuando se entra en pánico se suelen borrar carpetas al azar o restaurar copias antiguas sin revisar el acceso. Eso puede eliminar síntomas, pero si el atacante sigue teniendo credenciales, vuelve a entrar. También es habitual que el cliente restaure una copia “limpia” y luego, al reactivar el mismo plugin vulnerable, se reinfecta en horas. El staging evita repetir ese ciclo y permite aislar el componente que provoca la recaída.
Con este plan, la limpieza se convierte en un proceso controlado: haces cambios medibles, verificas resultados y documentas. Eso reduce el riesgo de caída y acelera la recuperación SEO.
Limpieza de archivos: .htaccess, wp-config y núcleo
Las redirecciones maliciosas suelen vivir en archivos, porque es la forma más directa de interceptar peticiones. En Apache, .htaccess es un punto clásico: se añaden reglas de redirección condicionales, a veces ofuscadas, que detectan referers o dispositivos. En Nginx, las reglas pueden estar en la configuración del vhost, así que no basta con mirar la raíz de WordPress.
También se toca wp-config.php para añadir includes ocultos, cambiar rutas o cargar payloads. Y en infecciones más agresivas se modifican archivos del core en wp-includes o wp-admin. En general, la estrategia segura es reinstalar el core desde una fuente oficial, manteniendo solo wp-content y revisándolo con lupa.
Qué revisar con prioridad
- .htaccess: reglas Rewrite, redirecciones, base64, cadenas largas y condiciones por user agent.
- wp-config.php: includes extraños, claves alteradas, rutas a archivos fuera de la carpeta.
- Archivos recientes en wp-includes y wp-admin: deberían ser iguales a los del paquete oficial.
- Mu-plugins: carpeta wp-content/mu-plugins, a menudo se olvida y ahí se oculta persistencia.
- Archivos con nombres “parecidos”: por ejemplo variaciones de wp-settings, wp-load, class-*.php.
Qué ocurre en la práctica
Muchos casos de redirección se resuelven limpiando solo .htaccess, pero al cabo de unos días vuelve a aparecer. Eso suele indicar que hay un script que lo regenera. Si no se identifica la fuente de regeneración, la limpieza es temporal. Otro error común es “sobrescribir todo” incluyendo wp-content sin revisar, lo que puede borrar el sitio pero no arreglar el acceso, y además te hace perder personalizaciones.
Una intervención sólida combina reinstalación del core con revisión de wp-content, eliminación de archivos no pertenecientes a plugins o temas legítimos, y cierre de permisos. El objetivo es que cualquier archivo ejecutable no autorizado desaparezca y no pueda volver a crearse.
Limpieza de base de datos y contenido inyectado
El spam SEO y muchas redirecciones también se sostienen desde la base de datos. Ahí se inyectan enlaces ocultos en entradas, se modifican widgets, se crean opciones con scripts, o se añaden tareas programadas que vuelven a insertar spam. La dificultad es que, a simple vista, el panel puede parecer normal, mientras que el HTML servido incluye fragmentos no deseados.
Los puntos más habituales a revisar son: la tabla de opciones, los metadatos de posts, los usuarios y sus capacidades, y cualquier tabla que guarde contenido dinámico de builders o plugins. También conviene revisar si se han creado páginas con estado “borrador” que luego se publican automáticamente o que solo se muestran a bots.
Elementos que suelen contener inyección
- Opciones con HTML o scripts: códigos largos, iframes, base64 o llamadas remotas.
- Widgets y bloques: contenido en footer o sidebar con enlaces ocultos por CSS.
- Usuarios: administradores añadidos, o usuarios con rol bajo pero capacidades elevadas.
- WP-Cron: eventos que ejecutan tareas no reconocidas o demasiado frecuentes.
- Entradas y páginas: slugs masivos, términos comerciales ajenos, y plantillas raras.
Qué ocurre en la práctica
Un patrón típico es borrar páginas spam desde el panel y que vuelvan solas. Ahí suele haber un cron o un archivo PHP que reinyecta contenido. También se ve mucho el “spam escondido” en el footer: tú lo ves limpio, pero al inspeccionar el HTML aparecen enlaces con tamaño 1px o color igual al fondo. Si no se limpia la opción o el widget origen, el contenido vuelve.
La limpieza de base de datos debe ser quirúrgica: eliminar lo malicioso sin romper serializaciones ni configuraciones del sitio. En webs con ecommerce o reservas, es especialmente importante no tocar tablas de pedidos o clientes sin criterio. Tras limpiar, valida que el HTML servido ya no contiene enlaces o scripts extraños, y revisa que no se generen nuevas URLs spam.
Plugins, temas y permisos: cerrar la puerta de entrada
Aunque limpies archivos y base de datos, si la puerta de entrada sigue abierta, el problema vuelve. Por eso hay que revisar plugins y temas, no solo por malware explícito, sino por vulnerabilidades. Un plugin desactualizado o abandonado puede ser un riesgo incluso si “parece” legítimo. Y un tema descargado de sitios no oficiales es una de las causas más repetidas de reinfección.
La forma segura de actuar es: eliminar lo innecesario, sustituir lo dudoso por alternativas mantenidas, y actualizar todo. En paralelo, hay que revisar permisos de archivos y directorios. Si el servidor permite escritura excesiva, un atacante que entre una sola vez puede dejar persistencia. También es clave asegurar el acceso: contraseñas, 2FA, claves de hosting y FTP, y limitar accesos por IP cuando sea viable.
Buenas prácticas mínimas tras la limpieza
- Eliminar plugins y temas inactivos, especialmente si no se usan o no están mantenidos.
- Reinstalar plugins desde repositorios oficiales o proveedores verificados.
- Cambiar todas las contraseñas: WordPress, hosting, FTP, bases de datos y correos asociados.
- Activar 2FA para administradores y limitar intentos de login.
- Ajustar permisos: evitar escritura global y proteger archivos sensibles.
Qué ocurre en la práctica
A menudo el cliente insiste en “mantener ese plugin porque hace una función concreta”. Si ese plugin es el origen del problema, mantenerlo es aceptar la recaída. También se ve mucho el acceso compartido: varios proveedores con la misma contraseña, y cuando hay una filtración en un tercero, se compromete la web. La limpieza seria suele incluir una auditoría rápida de accesos y una rotación de credenciales.
Cerrar la puerta de entrada no es opcional. Es la diferencia entre una limpieza que dura meses o años y una limpieza que dura horas. Con un set básico de seguridad y control de permisos, se reduce de forma drástica la probabilidad de reinfección.
Bloqueo del spam y redirecciones en varias capas
Después de eliminar lo malicioso, hay que impedir que vuelva. La seguridad eficaz se apoya en varias capas. Una sola medida puede fallar, pero varias medidas coordinadas elevan mucho el coste del ataque. Para WordPress, las capas más útiles suelen ser: endurecimiento del login, firewall de aplicación (WAF), control de archivos, y monitorización de cambios.
En el plano de spam, conviene frenar la entrada de contenido automatizado: formularios protegidos, antispam en comentarios, rate limiting y validación. En el plano de redirecciones, el objetivo es detectar cambios en archivos sensibles y bloquear patrones típicos de inyección. También resulta útil registrar accesos y errores, porque muchas reinfecciones dejan pistas en logs.
Medidas recomendadas por impacto
- WAF a nivel de hosting o CDN para filtrar ataques comunes y bots de spam.
- Protección del login: 2FA, limitación de intentos y bloqueo por país o IP si procede.
- Desactivar edición de archivos desde el panel y restringir accesos a wp-admin cuando se pueda.
- Integridad de archivos: alertas si cambia .htaccess, wp-config o mu-plugins.
- Backups automáticos verificados y restaurables, con retención suficiente.
Qué ocurre en la práctica
Cuando no hay medidas en capa, el atacante entra por la misma ruta, y el cliente siente que “WordPress es inseguro”. En realidad, lo inseguro suele ser el conjunto: plugins sin mantenimiento, contraseñas débiles y sin WAF. En webs con formularios, otro clásico es que el spam no viene por comentarios, sino por endpoints del propio plugin de formularios, y sin rate limiting se vuelve incontrolable.
El bloqueo en capas también ayuda a la reputación: menos infecciones implica menos alertas en navegadores, menos caídas, y mejores señales para Google. En proyectos de captación de leads o ecommerce, esa estabilidad es parte del valor.
Recuperación SEO y Google Search Console tras la limpieza
Eliminar redirecciones y spam es la primera mitad. La segunda mitad es recuperar visibilidad y confianza. Si Google ha indexado URLs spam, aunque ya no existan, pueden seguir apareciendo un tiempo. Además, si hubo cloaking o contenido malicioso, la web puede quedar “tocada” a nivel de reputación. Por eso conviene trabajar con Search Console y con señales claras de limpieza.
Una acción útil es identificar qué URLs spam se han indexado, y responder con códigos correctos: 404 o 410 para páginas eliminadas, y redirecciones 301 solo cuando sea una sustitución legítima. También hay que revisar el sitemap, regenerarlo, y asegurarse de que no incluye URLs no deseadas. Si el spam afectó títulos y descripciones, revisa plantillas SEO y base de datos para confirmar que no hay inyección.
Acciones SEO recomendadas tras la limpieza
- Revisar el informe de páginas indexadas y detectar patrones de URLs spam.
- Enviar sitemap limpio y comprobar que solo incluye contenido real.
- Solicitar reindexación de páginas clave si el contenido legítimo se vio afectado.
- Comprobar acciones manuales y problemas de seguridad, y actuar según el estado.
- Revisar enlazado interno: eliminar enlaces rotos y limpiar menús o widgets infectados.
Qué ocurre en la práctica
Tras limpiar, algunos clientes se frustran porque Google sigue mostrando resultados “raros” una o dos semanas. Es normal si había muchas URLs indexadas. Lo importante es que el sitio ya responda limpio y consistente. Otro error típico es redirigir todo lo spam a la home. Eso puede confundir a Google y no siempre ayuda. Suele ser mejor devolver 410 cuando es contenido eliminado sin equivalencia.
Si el proyecto depende del SEO, la limpieza debe cerrarse con un plan de recuperación: validación técnica, señales en Search Console, y una monitorización mínima de nuevas URLs. Una web limpia pero sin seguimiento es una invitación a repetir el problema sin darte cuenta.
Preguntas frecuentes
¿Por qué yo no veo la redirección pero mis clientes sí?
Porque muchas infecciones activan redirecciones según condiciones: móvil, país, referer (si vienes de Google), o si el usuario está logueado. Es habitual que un administrador no lo reproduzca. La verificación debe hacerse en incógnito, sin sesión, con móvil, y desde varias fuentes de tráfico.
¿Basta con reinstalar WordPress para quitar el spam?
No siempre. Reinstalar el core ayuda si fue modificado, pero el spam suele estar en wp-content o en la base de datos. Si el origen es un plugin vulnerable o credenciales filtradas, el problema puede volver incluso tras reinstalar. Lo correcto es limpiar, cerrar el acceso y verificar que no se regeneran cambios.
¿Qué hago con las URLs spam que Google ya indexó?
Lo recomendable es que esas URLs dejen de existir y respondan con 404 o 410, salvo que haya un equivalente legítimo. Después, envía un sitemap limpio y solicita reindexación de páginas clave. Evita redirigir masivamente spam a la home, porque puede transmitir señales confusas.
¿Puedo limpiar sin afectar a mi tienda WooCommerce?
Sí, si se hace con método: copia completa, staging cuando sea posible y limpieza quirúrgica. La clave es no tocar tablas sensibles ni borrar a ciegas. En tiendas es especialmente importante revisar plugins, usuarios y tareas programadas, y validar el checkout después de cada cambio.
¿Cómo evito que vuelva a pasar?
Actualizaciones al día, eliminar plugins y temas no usados, contraseñas únicas con 2FA, permisos correctos, WAF y copias verificadas. Además, configura alertas de integridad de archivos y monitorización de URLs nuevas. La prevención real es una combinación de capas, no una sola herramienta.
Qué ocurre en la práctica
La mayoría de recaídas se deben a dos causas: se mantiene el plugin origen por comodidad, o no se cambian credenciales del hosting y del FTP. Con eso, aunque la web esté “limpia”, el atacante vuelve a entrar y reinfecta. Una limpieza completa siempre termina con cierre de accesos, revisión de permisos y una pequeña fase de vigilancia.
¿Necesitas activar este servicio?
Coordinamos el proceso completo con un único interlocutor para mantener la confidencialidad.
