Escanear malware en WordPress desde Plesk: Guía rápida y segura

¿Por qué es importante escanear malware en WordPress con Plesk?

Si tienes un sitio web en WordPress alojado en un servidor con Plesk, mantenerlo libre de malware no es opcional: es una necesidad. Los ataques a sitios WordPress son cada vez más comunes, y muchas veces el propietario del sitio descubre el problema cuando su web ya está en la lista negra de Google, redirigiendo a sitios sospechosos o mostrando anuncios no deseados.

Plesk, como panel de control de hosting, incluye herramientas integradas de seguridad que te permiten escanear malware WordPress Plesk de forma sencilla, sin necesidad de ser un experto en ciberseguridad. En esta guía te explicaremos paso a paso cómo hacerlo, cómo eliminar virus WordPress Plesk y cómo reforzar la seguridad WordPress Plesk con las herramientas antimalware que ya tienes a tu disposición.

[INFO] Aunque esta guía se centra en Plesk, si usas otros paneles como cPanel o Syspanel (antes HestiaCP, accesible por puerto 2106), los principios de seguridad son similares, aunque las herramientas específicas pueden variar.

¿Qué es el malware en WordPress y cómo afecta a tu sitio?

El malware (software malicioso) puede infectar tu sitio WordPress de muchas formas: a través de plugins vulnerables, temas desactualizados, contraseñas débiles o incluso mediante inyección de código en archivos del núcleo. Cuando un sitio está infectado, el atacante puede:

Robar información de tus usuarios.
Redirigir a tus visitantes a páginas de phishing.
Enviar spam desde tu servidor.
Incluir enlaces ocultos a sitios de terceros (black hat SEO).
Bloquear tu acceso al panel de administración.

Por eso, escanear malware WordPress Plesk periódicamente es una práctica que deberías realizar al menos una vez al mes, o inmediatamente después de notar comportamientos extraños en tu web.

Herramientas antimalware disponibles en Plesk

Plesk incluye varias herramientas que te ayudan a mantener tu WordPress seguro. Las principales son:

Plesk Security Advisor: un asistente que revisa configuraciones básicas de seguridad.
Fail2Ban: protección contra ataques de fuerza bruta.
ModSecurity: firewall de aplicaciones web.
Herramienta de escaneo de malware integrada (dependiendo de la versión y extensiones instaladas).
Extensiones de terceros como ImunifyAV o Sucuri (algunas requieren licencia adicional).

[TIP] Si tu plan de hosting no incluye la herramienta de escaneo de malware nativa de Plesk, puedes instalar extensiones gratuitas como "Plesk Premium Security" (con prueba gratuita) o usar plugins de seguridad en WordPress como Wordfence.

Paso a paso: cómo escanear malware en WordPress con Plesk

A continuación te explicamos el proceso estándar para escanear malware WordPress Plesk usando las herramientas integradas. Los pasos pueden variar ligeramente según la versión de Plesk (Obsidian, Onyx, etc.), pero la lógica es la misma.

1. Accede a tu panel de Plesk

Abre tu navegador y escribe la URL de tu panel Plesk (normalmente algo como https://tudominio.com:8443 o la IP de tu servidor seguida de :8443). Inicia sesión con tus credenciales de administrador.

2. Ve a la sección de seguridad

En el menú lateral izquierdo, busca la opción "Herramientas y configuraciones" (o directamente "Seguridad" si tu versión lo muestra). Dentro de esta sección, encontrarás varias opciones relacionadas con la protección de tu sitio.

3. Busca la herramienta de escaneo de malware

Dependiendo de tu versión de Plesk, la herramienta puede llamarse:

"Escáner de malware"
"Protección contra malware"
"Seguridad de sitios web" (con opción de escanear)

Si no ves ninguna opción con ese nombre, es posible que necesites instalar una extensión. Ve a "Extensiones" en el menú principal y busca "malware" o "antimalware". Las más comunes son:

Plesk Premium Security: incluye escaneo de malware, firewall y protección de reputación.
ImunifyAV: escanea archivos en busca de código malicioso.

[WARNING] Algunas extensiones son de pago. Revisa primero si tu plan de hosting ya incluye alguna licencia gratuita.

4. Configura y ejecuta el escaneo

Una vez que tengas la herramienta lista:

Selecciona el dominio de tu sitio WordPress (si tienes varios).
Elige el tipo de escaneo: rápido (solo archivos críticos) o completo (todos los archivos). Recomendamos el completo al menos la primera vez.
Haz clic en "Escanear ahora" o "Iniciar escaneo".

El proceso puede tardar desde unos segundos hasta varios minutos, dependiendo del tamaño de tu sitio.

5. Revisa los resultados

Cuando el escaneo termine, la herramienta te mostrará una lista de archivos sospechosos o infectados. Normalmente los clasifica por nivel de riesgo (crítico, medio, bajo). Presta especial atención a:

Archivos del núcleo de WordPress modificados (wp-admin, wp-includes, wp-config.php).
Plugins o temas con código inyectado.
Archivos con nombres extraños (como wp-upload.php o system.php).

Cómo eliminar virus WordPress Plesk una vez detectados

Una vez que has identificado los archivos infectados, tienes varias opciones para eliminar virus WordPress Plesk:

Opción 1: Usar la herramienta de cuarentena

La mayoría de los escáneres de malware en Plesk te permiten poner en cuarentena los archivos sospechosos. Esto los mueve a una carpeta segura sin eliminarlos por completo, por si necesitas revisarlos después.

En los resultados del escaneo, selecciona los archivos infectados.
Haz clic en "Poner en cuarentena" o "Mover a cuarentena".
Verifica que tu sitio funciona correctamente después de la acción.

Opción 2: Eliminar manualmente los archivos

Si la herramienta no puede limpiar el archivo, puedes eliminarlo manualmente:

Ve a "Administrador de archivos" en Plesk.
Navega hasta la ubicación del archivo infectado (por ejemplo, httpdocs/wp-content/plugins/nombre-plugin/archivo.php).
Selecciona el archivo y haz clic en "Eliminar".

[WARNING] Ten cuidado al eliminar archivos. Si eliminas un archivo legítimo de un plugin o tema, podrías romper tu sitio. Siempre haz una copia de seguridad antes de modificar o eliminar archivos.

Opción 3: Reinstalar WordPress, plugins o temas

Si la infección está en archivos del núcleo de WordPress, la solución más segura es reinstalar WordPress:

En Plesk, ve a "Aplicaciones" > "WordPress".
Selecciona tu sitio y haz clic en "Reinstalar núcleo" (esto no borrará tus contenidos, solo los archivos del sistema).
Repite el proceso para plugins y temas infectados: desinstálalos y vuelve a instalarlos desde el repositorio oficial.

Medidas adicionales para reforzar la seguridad WordPress Plesk

Escanear y eliminar malware es solo el primer paso. Para evitar futuras infecciones, implementa estas buenas prácticas de seguridad WordPress Plesk:

Actualiza todo regularmente

Mantén WordPress, plugins y temas siempre actualizados.
Plesk te permite habilitar actualizaciones automáticas desde el panel de WordPress.

Usa contraseñas fuertes

Cambia las contraseñas de tu panel de Plesk, de tu base de datos y de tu administrador de WordPress.
Usa un gestor de contraseñas para generar claves seguras.

Instala un plugin de seguridad en WordPress

Aunque Plesk tiene herramientas integradas, un plugin como Wordfence o Sucuri añade una capa extra de protección:

Firewall de aplicaciones web.
Escaneo de archivos en tiempo real.
Bloqueo de IPs maliciosas.

Configura Fail2Ban desde Plesk

Esta herramienta bloquea automáticamente las IPs que intentan acceder repetidamente con credenciales incorrectas:

Ve a "Herramientas y configuraciones" > "Fail2Ban".
Activa las reglas para WordPress (por ejemplo, protección contra intentos de inicio de sesión).
Ajusta el tiempo de bloqueo (por ejemplo, 10 minutos después de 5 intentos fallidos).

Haz copias de seguridad periódicas

En Plesk puedes programar copias de seguridad automáticas de tu sitio. Si algo sale mal, restaurar una copia limpia es la solución más rápida.

Preguntas frecuentes (FAQ)

¿Con qué frecuencia debo escanear malware WordPress Plesk?

Recomendamos al menos una vez al mes. Si tu sitio maneja datos sensibles o tiene mucho tráfico, puedes hacerlo semanalmente.

¿Qué hago si mi sitio ya está en la lista negra de Google?

Además de escanear malware WordPress Plesk y limpiar la infección, debes solicitar una revisión en Google Search Console. Una vez que el malware esté eliminado, Google re-evaluará tu sitio.

¿Plesk elimina automáticamente el malware?

Algunas herramientas como Plesk Premium Security ofrecen limpieza automática, pero en la mayoría de los casos tendrás que revisar los resultados y decidir qué hacer con cada archivo.

¿Puedo usar Plesk para escanear otros CMS además de WordPress?

Sí, el escáner de malware en Plesk analiza todos los archivos del dominio, independientemente del CMS (Joomla, Drupal, etc.), aunque está especialmente optimizado para WordPress.

¿Qué pasa si no encuentro la herramienta de escaneo en mi Plesk?

Si tu versión de Plesk no incluye escáner de malware nativo, puedes:

Instalar una extensión de terceros (como ImunifyAV).
Usar un plugin de seguridad en WordPress (Wordfence, Sucuri).
Contratar un servicio externo de limpieza de malware.

Conclusión

Escanear malware WordPress Plesk no tiene por qué ser complicado. Con las herramientas integradas en el panel, puedes detectar y eliminar amenazas de forma rápida y segura. Recuerda que la prevención es clave: mantén todo actualizado, usa contraseñas seguras y configura las protecciones que Plesk te ofrece.

Si después de seguir esta guía tu sitio sigue teniendo problemas, considera contactar con el soporte técnico de tu hosting o con un especialista en seguridad web. La inversión en seguridad WordPress Plesk siempre será menor que el coste de recuperar un sitio comprometido.

[TIP] Si tu sitio es crítico para tu negocio, programa escaneos automáticos semanales y activa las notificaciones por correo electrónico para estar al tanto de cualquier amenaza en tiempo real.

¡Protege tu WordPress y duerme tranquilo!