01Qué es «un virus» en WordPress y por qué importa distinguirlo
Cuando alguien dice que su página de WordPress «tiene un virus», casi siempre se refiere a malware alojado en el servidor: código que se coló en los archivos del sitio o en su base de datos y hace cosas que el dueño no autorizó. No es el mismo virus que infecta una computadora; el equipo desde el que miras el sitio puede estar perfectamente sano.
Lo que hace ese código varía: redirigir visitantes, mostrar anuncios ajenos, crear páginas falsas que Google indexa, enviar spam desde tu hosting o regalar contraseñas. Entender qué hace en tu caso decide cómo se limpia, y por eso esta guía va en orden, de lo básico a lo que ya requiere un profesional.
02Guía de contención y revisión, paso a paso
Estos pasos sirven para frenar el daño y para saber a qué te enfrentas. Si en algún punto algo no te cuadra, detente y pide ayuda: es mejor eso que empeorar el problema.
- Confirma que el síntoma es real. Abre tu sitio desde el celular con datos móviles y también desde una ventana privada. Muchas infecciones solo se muestran a visitantes que llegan desde Google o desde ciertos dispositivos.
- Cambia accesos en este orden: correo del administrador, hosting, FTP o SFTP y, por último, WordPress. Hazlo desde un equipo que sepas limpio.
- Haz una copia de lo que hay. Aunque esté infectado, guárdalo: sirve para investigar cómo entraron.
- Revisa la lista de usuarios. En Usuarios busca administradores que no reconozcas.
- Revisa los plugins y temas instalados. Desinstala los que no uses y los que ya no reciben actualizaciones.
- Compara los archivos del núcleo de WordPress con una instalación limpia de la misma versión. Los archivos de WordPress que difieren son sospechosos.
- Mira la carpeta de subidas (wp-content/uploads): allí no debería haber archivos de programación.
- Actualiza todo una vez que estés seguro de no haber perdido la copia.
03Bricolaje frente a ayuda profesional
Hay casos en los que un dueño de sitio con algo de práctica puede resolver el problema; hay otros en los que intentar limpiar solo es la forma más cara de hacerlo. Esta tabla ayuda a decidir:
| Situación | Hacerlo tú mismo | Pedir ayuda profesional |
|---|---|---|
| Un plugin falso o un usuario desconocido, detectado a tiempo | Posible, si tienes copia y sabes qué quitar | Recomendable si no estás seguro de haber cerrado la entrada |
| Redirecciones a otros sitios | Difícil: suele haber código en varios lugares | Sí |
| Páginas o enlaces de spam en Google | Muy difícil: hay que limpiar y pedir revisión | Sí |
| Aviso de «sitio engañoso» de Google | Requiere limpieza completa y solicitud de revisión | Sí |
| El sitio no abre o no puedes entrar al panel | Riesgo alto de perder contenido | Sí |
| Tu hosting suspendió la cuenta | Depende de lo que pida tu proveedor | Sí |
Si ya estás en cualquiera de las filas donde decimos «sí», el diagnóstico gratuito del mismo día te evita adivinar.
04Errores al intentar eliminar el malware
- Borrar solo lo que el escáner marcó. El código malicioso suele estar duplicado en lugares que el escáner no mira.
- Reinstalar WordPress sin revisar la base de datos. La infección puede vivir en tablas, opciones y entradas.
- Dejar un tema o plugin «de prueba» activo. Cada componente extra es una entrada más.
- Olvidar los accesos de terceros. Quien te hizo el sitio hace años quizá todavía tiene contraseña.
- No revisar si Google indexó páginas falsas. Aunque el sitio esté limpio, esas páginas siguen apareciendo hasta que se solicita la revisión.
05Qué hacemos nosotros cuando nos encargas la limpieza
El servicio no tiene tarifa fija. Primero un diagnóstico gratuito el mismo día; si decides seguir, recibes el precio exacto antes de cobrar. El trabajo incluye diagnóstico, eliminación de malware, actualización de WordPress, plugins y temas, revisión de usuarios y accesos, cierre de la vulnerabilidad de origen, solicitud de revisión en Search Console, respaldo y reporte. Google puede tardar de días a 2 semanas en responder a esa revisión.
Si quieres ver la visión general del servicio, entra a limpieza de WordPress en Guatemala.
06Después de eliminar el virus: que no vuelva
Limpiar es el primer paso. El segundo es no dejar el sitio como estaba. Mantén todo actualizado, usa contraseñas largas y distintas, activa un respaldo regular y limita quién es administrador. Si no quieres encargarte tú, el plan de Seguridad web cuesta Q400 al mes y el de Mantenimiento total Q590 al mes, ambos mes a mes y sin contrato a largo plazo en el caso del mantenimiento.
Seguridad y mantenimiento de WordPress
Seguridad web
Mes a mes, sin contrato largo.
- Monitoreo del sitio
- Limpieza inmediata sin costo extra si hay ataque
- Respaldo semanal
- Actualizaciones de WordPress, plugins y temas
- HTTPS
- Bloqueo de accesos sospechosos
Mantenimiento total WordPress
Todo lo de Seguridad web, y además:
- Hasta 5 cambios de contenido al mes
- Respuesta máxima en 24 horas hábiles
- Revisión mensual de velocidad
- Informe mensual
- Atención por WhatsApp
07Cómo reconocer que el sitio sigue infectado después de «limpiarlo»
Una limpieza incompleta es más común de lo que parece, y casi siempre se delata con las mismas señales: el aviso de Google reaparece a los pocos días, aparecen de nuevo usuarios administradores que ya habías borrado, el hosting vuelve a quejarse por envío de spam o los archivos eliminados regresan solos. Cuando eso pasa, no es mala suerte: casi siempre quedó una puerta trasera o la vulnerabilidad de origen sigue abierta.
La regla práctica es cerrar la entrada antes de limpiar el contenido. De nada sirve quitar el código malicioso si el plugin desactualizado, la contraseña débil o el acceso de un tercero que lo dejó entrar siguen igual. Por eso nuestra limpieza incluye cerrar la vulnerabilidad de origen y entregar un reporte de lo encontrado.
08Cómo saber que el sitio quedó realmente limpio
Un sitio que «ya no muestra el problema» no necesariamente está limpio. Para confirmarlo conviene verificar varias cosas: que las redirecciones no aparezcan desde ningún dispositivo ni desde Google, que no existan usuarios o archivos desconocidos, que los plugins y temas estén al día y que no haya páginas ajenas a tu contenido en los resultados de búsqueda. Si Google marcó tu sitio, también hay que esperar la respuesta a la revisión.
09Atendemos todo el país
Elige tu departamento para ver cómo trabajamos a distancia con negocios de tu zona.