Cómo detectar y eliminar malware en WordPress
El malware en WordPress no siempre se nota a primera vista. A veces la web sigue funcionando con normalidad para el visitante mientras en segundo plano el código malicioso envía spam, roba datos o usa tu servidor para atacar otras webs. Detectarlo a tiempo marca la diferencia entre una limpieza rápida y una crisis que afecta al negocio.
Señales de que tu WordPress puede estar infectado
Google Search Console muestra avisos de «sitio hackeado» o contenido engañoso. Los visitantes son redirigidos a páginas externas cuando llegan desde buscadores. El hosting te avisa de consumo anómalo de recursos o envío masivo de emails. El panel de WordPress tiene usuarios administradores que no reconoces. La web carga extremadamente lento sin razón aparente. Cualquiera de estas señales justifica un escáner inmediato.
Wordfence: el escáner gratuito más completo
Wordfence compara todos los archivos de tu instalación (núcleo, plugins, temas) con los hashes del repositorio oficial de WordPress. Cualquier archivo modificado respecto a su versión original aparece marcado. También escanea la base de datos buscando código malicioso en posts, opciones y metadatos.
Para ejecutar el escáner: Wordfence → Scan → Start New Scan. El proceso tarda entre 5 y 30 minutos según el tamaño de la instalación. Al terminar muestra una lista de archivos sospechosos con la opción de ver el código modificado y restaurar la versión original.
MalCare: detección de malware ofuscado
El malware más sofisticado se ofusca para evadir los escáneres basados en firmas. MalCare usa análisis de comportamiento en lugar de firmas: detecta código que actúa como malware aunque no coincida con ninguna firma conocida. El escáner es gratuito; la limpieza automática requiere el plan de pago (65€/año aproximadamente).
Limpieza manual si los plugins no lo resuelven
Si el escáner detecta el malware pero no puede limpiarlo automáticamente, el proceso manual empieza por identificar los archivos comprometidos, compararlos con versiones limpias del repositorio oficial y reemplazar los infectados. Para el núcleo de WordPress: descarga la versión exacta que tienes instalada desde wordpress.org y reemplaza las carpetas /wp-admin/ y /wp-includes/ completamente.
Para plugins y temas: desinstálalos y vuelve a instalarlos desde el repositorio oficial. Si son de pago y no tienes acceso a la versión limpia, contacta con el desarrollador.
Después de la limpieza: hardening obligatorio
Una instalación limpiada sin hardening posterior vuelve a infectarse en días si el vector de entrada sigue abierto. Las medidas mínimas post-limpieza: cambiar todas las contraseñas (WordPress, base de datos, FTP, cPanel), regenerar las claves de seguridad en wp-config.php, actualizar todos los plugins y temas, y activar 2FA en las cuentas de administrador.
