Detectar y limpiar malware en WordPress | Guía para principiantes

¿Tu web con WordPress va lenta, muestra cosas raras o redirige a sitios extraños? Es probable que tengas un malware WordPress. No entres en pánico. Miles de sitios son infectados cada día, pero con las herramientas y pasos adecuados, puedes detectar virus WordPress y limpiar malware de forma efectiva, incluso si no eres un experto.

En esta guía completa y fácil de seguir, te explicaré cómo saber si tu sitio está infectado, cómo usar un plugin seguridad para escanearlo y cómo eliminar cualquier amenaza paso a paso.

¿Cómo saber si mi WordPress está infectado? Señales de alerta

A veces el malware es muy evidente, otras veces actúa en silencio. Estate atento a estos síntomas comunes de infección:

Redirecciones sospechosas: Al hacer clic en un enlace de tu web, te lleva a sitios de apuestas, farmacias online o páginas de publicidad.
Rendimiento muy lento: Tu web tarda una eternidad en cargar, incluso con buen hosting.
Anuncios o ventanas emergentes extrañas: Aparecen banners que tú no has puesto, especialmente en páginas que antes estaban limpias.
Cambios no autorizados: Ves contenido nuevo (artículos, páginas, enlaces) que no has creado, o el diseño se ve alterado.
Tu web aparece en listas negras: Google, navegadores o tu propio hosting te avisan de que el sitio no es seguro.
No puedes acceder al panel de administración: Te pide contraseña constantemente o te da error.
Tu cuenta de hosting o correo envía spam: El malware usa tus recursos para enviar miles de correos basura.

[WARNING] Si ves alguno de estos síntomas, actúa de inmediato. Cuanto más tiempo pase, más daño puede hacer el malware a tu SEO y reputación.

Herramientas esenciales para detectar virus WordPress

No necesitas ser un hacker. Existen herramientas muy potentes y fáciles de usar. La mejor estrategia es combinar un escáner online externo con un plugin seguridad instalado en tu WordPress.

1. Escáner externo: Sucuri SiteCheck (Gratuito y rápido)

Esta herramienta online analiza tu web desde fuera. Es perfecta para una primera comprobación sin instalar nada.

Ve a sitecheck.sucuri.net.
Escribe la URL de tu web (ej: tudominio.com).
Haz clic en "Scan Website".
Espera unos segundos. El informe te dirá si hay malware, listas negras o inyecciones de código.

2. Plugin de seguridad: Wordfence Security (El más recomendado)

Este es el plugin seguridad estrella para WordPress. Tiene una versión gratuita muy completa que te permite detectar virus WordPress y limpiar malware de forma sencilla.

¿Por qué Wordfence?

Escanea todos los archivos de tu web en busca de código malicioso.
Compara los archivos originales de WordPress con los tuyos para detectar cambios.
Revisa las bases de datos en busca de inyecciones SQL.
Tiene un firewall que bloquea ataques en tiempo real.

Instalación rápida:

Desde tu escritorio de WordPress, ve a Plugins > Añadir nuevo.
Busca "Wordfence Security".
Instálalo y actívalo.

[TIP] No necesitas la versión de pago para una limpieza básica. La versión gratuita es suficiente para la mayoría de los casos.

Cómo limpiar malware de WordPress paso a paso

Vamos a la acción. Sigue estos pasos en orden. Es importante no saltarse ninguno.

Paso 1: Haz una copia de seguridad (¡IMPORTANTE!)

Antes de tocar nada, asegura tu información. Si algo sale mal, podrás restaurar tu web.

Opción recomendada: Usa un plugin como UpdraftPlus (gratuito). Ve a Ajustes > UpdraftPlus Backups y haz una copia de seguridad completa (archivos y base de datos). Guárdala en la nube (Google Drive, Dropbox).
Opción manual (si usas Syspanel): Si tu hosting usa Syspanel (accede por el puerto 2106, ej: tudominio.com:2106), ve a la sección de "Backups" y crea una copia de seguridad completa. Descárgala a tu ordenador.

Paso 2: Escanea tu WordPress con Wordfence

Ahora que tienes tu copia de seguridad, vamos a buscar el problema.

En tu menú de WordPress, verás una nueva opción: Wordfence.
Haz clic en Scan (o "Escanear").
Haz clic en el botón Start New Scan.
El escáner empezará a revisar todos los archivos, plugins, temas y la base de datos. Puede tardar unos minutos.
Cuando termine, verás un informe con los resultados. Busca la sección "Malware, backdoors and other malicious files" (Malware, puertas traseras y otros archivos maliciosos).

Paso 3: Identifica y elimina los archivos maliciosos

Wordfence te mostrará una lista de archivos sospechosos. Cada uno tendrá una opción para "Delete" (Eliminar) o "Repair" (Reparar).

¿Qué hacer? Lo más seguro es eliminar los archivos que el escáner marca como maliciosos. Wordfence ya te dice qué archivos no son originales de WordPress.
Precaución: Si el archivo es de un plugin o tema que usas, puede que al eliminarlo dejes de usar esa funcionalidad. En ese caso, mejor repara el archivo (si la opción está disponible) o reinstala el plugin/tema desde el repositorio de WordPress.

Proceso de eliminación:

Marca la casilla junto a cada archivo malicioso.
En el menú desplegable de acciones, selecciona "Delete".
Confirma la acción.

Paso 4: Limpia la base de datos

El malware no solo está en los archivos, también puede esconderse en la base de datos (tablas de WordPress).

En el mismo escáner de Wordfence, busca la sección "Database" (Base de datos).
Verás entradas sospechosas, como inyecciones SQL o contenido extraño en las tablas wp_options, wp_posts o wp_comments.
Wordfence te dará la opción de "Repair" o "Delete" esas entradas. Haz clic en Repair para limpiar el código malicioso.
También puedes usar un plugin como WP-Optimize para limpiar y optimizar la base de datos después de la limpieza.

Paso 5: Cambia todas las contraseñas

El malware suele entrar por contraseñas débiles o robadas. Es vital renovarlas todas.

Contraseña de WordPress: Ve a Usuarios > Tu perfil y cámbiala por una segura (usa un gestor de contraseñas).
Contraseña de la base de datos: Desde tu panel de hosting (Syspanel, puerto 2106), en la sección de bases de datos, cambia la contraseña del usuario de la base de datos. Luego actualiza el archivo wp-config.php de tu web con la nueva contraseña.
Contraseña de FTP/SFTP: Si usas FTP para subir archivos, cámbiala también.
Contraseñas de todos los usuarios: Ve a Usuarios > Todos los usuarios y fuerza a cada usuario a cambiar su contraseña.

Paso 6: Actualiza TODO

Las vulnerabilidades en versiones antiguas son la puerta de entrada favorita del malware.

WordPress: Ve a Escritorio > Actualizaciones y actualiza a la última versión.
Plugins: Actualiza todos los plugins. Si alguno está obsoleto y no tiene actualización, elimínalo.
Temas: Actualiza tu tema. Si usas un tema nulled (pirata), cámbialo inmediatamente por uno oficial. Los temas nulled son una fuente constante de malware.

Paso 7: Refuerza la seguridad (Medidas preventivas)

Una vez limpio, no queremos que vuelva a pasar. Aplica estas medidas:

Instala un firewall: Wordfence ya incluye uno. Actívalo desde Wordfence > Firewall.
Activa la autenticación de dos factores (2FA): Añade una capa extra de seguridad al login. Wordfence también lo ofrece.
Cambia la URL de inicio de sesión: En lugar de tudominio.com/wp-admin, usa una URL personalizada. Plugins como WPS Hide Login lo hacen fácil.
Limita los intentos de inicio de sesión: Evita ataques de fuerza bruta. Wordfence lo gestiona automáticamente.
Elimina usuarios y plugins inactivos: Si no usas un plugin, bórralo. Si tienes usuarios que no tocan la web, elimínalos.

[INFO] La seguridad es un proceso continuo. No basta con limpiar una vez. Mantén todo actualizado y haz escaneos periódicos (por ejemplo, una vez al mes).

FAQ: Preguntas frecuentes sobre malware en WordPress

¿Puedo limpiar malware sin un plugin?

Sí, pero es mucho más complejo y arriesgado para un usuario sin experiencia. Implica revisar manualmente archivos PHP, buscar código ofuscado y limpiar la base de datos con comandos SQL. Recomiendo encarecidamente usar un plugin seguridad como Wordfence para hacerlo de forma segura y guiada.

Mi host me dice que mi web tiene malware, ¿qué hago?

Sigue los pasos de esta guía. Si el hosting (como Syspanel, por el puerto 2106) te ha bloqueado el sitio, contacta con su soporte. Algunos hosts ofrecen limpieza gratuita de malware. Pregunta si pueden ayudarte o si necesitas hacerlo tú mismo.

¿Qué hago si Wordfence no encuentra nada pero mi web sigue dando problemas?

Puede ser malware muy avanzado o un problema de configuración. Prueba con otro escáner como MalCare o Jetpack Scan (versiones gratuitas). Si nada funciona, contrata un servicio de limpieza profesional. A veces, es más barato que perder el SEO y la confianza de tus usuarios.

¿El malware afecta a mi SEO?

Rotundamente sí. Google penaliza los sitios infectados. Puedes aparecer en listas negras, perder posiciones en los resultados de búsqueda y, en casos graves, ser eliminado del índice de Google. Por eso es crucial detectar virus WordPress y actuar rápido.

¿Cómo evitar que vuelva a pasar?

Además de las medidas del Paso 7, evita instalar plugins o temas de fuentes no oficiales (nulled, torrents). Usa siempre contraseñas fuertes y únicas. Y, sobre todo, mantén todo actualizado. Un sitio actualizado es un sitio mucho más difícil de hackear.

Resumen final: Detectar y limpiar malware en WordPress no es magia. Con un buen plugin seguridad como Wordfence, una copia de seguridad previa y siguiendo estos pasos, puedes recuperar el control de tu web en menos de una hora. No dejes que el miedo te paralice. ¡Ponte manos a la obra y asegura tu sitio!