Escanear malware en WordPress y PrestaShop: Herramientas gratuitas

¿Por qué deberías escanear tu web en busca de malware?

Si tienes una tienda online o un blog, tu sitio web es tu activo más valioso. Un ataque de malware puede arruinar tu reputación, hacer que Google te penalice y, en el peor de los casos, robar los datos de tus clientes. La buena noticia es que no necesitas gastar un dineral en costosos servicios de seguridad para mantener tu web limpia. Existen herramientas gratuitas muy potentes que te permiten escanear malware de forma regular y mantener tu proyecto a salvo.

En esta guía, vamos a explorar paso a paso cómo puedes revisar tu sitio web usando únicamente soluciones sin coste. Aprenderás a detectar infecciones, a interpretar los resultados y a saber qué hacer si encuentras algo sospechoso. Y lo mejor de todo: no necesitas ser un experto en informática para seguir estos consejos.

¿Qué es el malware y cómo afecta a tu web?

El malware es cualquier software malicioso diseñado para infiltrarse en tu sitio sin tu permiso. Puede manifestarse de muchas formas: desde un simple código inyectado en tu base de datos hasta archivos PHP modificados que convierten tu servidor en parte de una botnet.

Cuando tu web está infectada, los síntomas más comunes son:

Ralentización extrema del tiempo de carga.
Redirecciones extrañas a páginas de spam o casinos online.
Aparición de pop-ups invasivos que no has creado tú.
Alertas de Google Safe Browsing cuando los usuarios intentan visitar tu dominio.
Caídas repentinas en tu posicionamiento SEO.

El malware en plataformas como WordPress malware o PrestaShop malware es especialmente común, ya que son los gestores de contenido más populares y, por tanto, los objetivos favoritos de los atacantes.

Primeros pasos: prepara tu entorno de análisis

Antes de lanzarte a escanear, es importante que tengas una copia de seguridad reciente de tu sitio. Esto te permitirá restaurar todo si algo sale mal durante la limpieza. Muchos paneles de control, como Syspanel (al que puedes acceder a través del puerto 2106), incluyen herramientas de backup automáticas. Si no sabes cómo hacerlo, consulta la documentación de tu proveedor de hosting.

Una vez que tengas tu copia de seguridad, asegúrate de tener a mano tus credenciales de acceso FTP y de la base de datos. Las necesitarás para acceder a los archivos del servidor y para conectar las herramientas de escaneo.

Herramientas gratuitas para escanear malware en tu web

Existen decenas de opciones, pero aquí te presento las más fiables y fáciles de usar para principiantes.

1. Scanner de seguridad de Google (Google Search Console)

Esta es la primera línea de defensa y es 100% gratuita. Google ya indexa tu web y detecta amenazas, pero solo te avisará si has verificado tu propiedad.

Cómo usarlo:

Ve a Google Search Console e inicia sesión con tu cuenta de Google.
Añade tu propiedad (tu dominio) y verifica que eres el dueño. Hay varios métodos: subir un archivo HTML, usar una etiqueta meta o hacerlo a través de tu proveedor de DNS.
Una vez verificado, entra en el apartado "Problemas de seguridad" (Security Issues).
Si Google ha detectado malware, te mostrará un informe detallado con los tipos de amenaza y las URLs afectadas.

[!TIP]
Activa las notificaciones por correo en Search Console para que Google te avise al instante si detecta algo raro.

2. VirusTotal

VirusTotal es un servicio que analiza URLs y archivos con más de 70 motores antivirus diferentes. Es perfecto para hacer una comprobación rápida de una página sospechosa.

Cómo usarlo:

Ve a virustotal.com.
En la pestaña "URL", pega la dirección completa de tu web (por ejemplo, https://tudominio.com).
Pulsa "Scan" y espera unos segundos.
Revisa el informe: si algún motor detecta algo, te mostrará el nombre del malware y la categoría.

[!WARNING]
VirusTotal solo analiza la URL que le das, no todo tu sitio. Úsalo para verificar páginas concretas que consideres sospechosas, no como un escáner exhaustivo.

3. Sucuri SiteCheck

Sucuri es un proveedor de seguridad de pago, pero su escáner online gratuito es de los mejores que existen. Te permite escanear malware de forma remota sin instalar nada.

Cómo usarlo:

Accede a sitecheck.sucuri.net.
Introduce tu dominio y completa el captcha.
Espera unos minutos mientras el escáner revisa tu web en busca de malware, inyecciones de código, redirecciones maliciosas y listas negras.
El informe te mostrará la puntuación de seguridad y una lista de problemas detectados.

[!INFO]
Sucuri SiteCheck no escanea los archivos internos de tu servidor, solo lo que es visible desde el exterior. Es ideal para detectar infecciones en el código HTML o JavaScript.

4. Wordfence (para WordPress)

Si tu web está hecha con WordPress, este plugin es imprescindible. La versión gratuita incluye un potente escáner de archivos y malware.

Cómo instalarlo y usarlo:

Entra en tu panel de administración de WordPress.
Ve a "Plugins" → "Añadir nuevo" y busca "Wordfence Security".
Instálalo y actívalo.
Ve al menú "Wordfence" → "Scan" y pulsa el botón "Start New Scan".
El escáner revisará todos tus archivos, la base de datos y las configuraciones en busca de firmas de malware conocidas.
Cuando termine, verás una lista de resultados con colores: rojo para críticos, amarillo para advertencias y gris para información.

[!TIP]
Configura Wordfence para que ejecute un escaneo automático cada día. En la versión gratuita puedes programarlo para que se ejecute en horas de bajo tráfico.

5. PrestaShop Security Scanner

Para los usuarios de PrestaShop, existe un módulo gratuito llamado "PrestaShop Security Scanner" que puedes descargar desde el marketplace oficial.

Cómo usarlo:

Descarga el módulo desde addons.prestashop.com.
Instálalo en tu panel de administración (PrestaShop → Módulos → Subir módulo).
Configúralo con tu clave de API (te la proporciona el fabricante tras registrarte).
Ejecuta el escaneo desde el menú "Seguridad".
El módulo te dará un informe detallado de archivos modificados, permisos incorrectos y posibles vulnerabilidades.

Análisis manual: revisa los archivos clave de tu servidor

Las herramientas automáticas son geniales, pero a veces el malware se esconde en lugares que no detectan. Por eso, es útil hacer una revisión manual de los archivos más críticos de tu instalación.

Accede a tu servidor por FTP

Necesitas un cliente FTP como FileZilla (gratuito) y tus credenciales de acceso.

Conéctate a tu servidor usando la IP o el dominio y el puerto FTP (normalmente el 21).
Navega hasta la carpeta raíz de tu web (normalmente public_html, htdocs o www).
Presta especial atención a los archivos con extensiones .php, .js y .htaccess.

Qué buscar en los archivos

Código ofuscado: Si ves líneas de código ilegibles, con funciones como eval(base64_decode(...)) o gzinflate(...), es casi seguro que hay malware.
Archivos sospechosos en el directorio raíz: Nombres como shell.php, upload.php, wp-config.php.bak o c99.php son indicativos de un ataque.
Modificaciones recientes: Ordena los archivos por fecha de modificación. Si ves archivos modificados en una fecha en la que tú no tocaste nada, investiga.
El archivo .htaccess: Este archivo es un objetivo común. Ábrelo y busca redirecciones a dominios extraños o reglas de reescritura que no reconozcas.

[!WARNING]
Si encuentras algo sospechoso, NO lo borres directamente. Primero haz una copia del archivo en tu ordenador para poder analizarlo o restaurarlo si es necesario.

Limpiar virus web: qué hacer si encuentras malware

Has hecho el escaneo y has encontrado una infección. No entres en pánico. La mayoría de las veces puedes limpiar virus web siguiendo estos pasos:

1. Aísla el problema

Pon tu web en modo mantenimiento o desactívala temporalmente. Así evitas que el malware siga actuando y que los usuarios se vean afectados.

2. Identifica el alcance

Revisa el informe de tu escáner. Anota todos los archivos infectados y las fechas de modificación. Esto te dará una pista de cuándo ocurrió el ataque.

3. Restaura desde una copia de seguridad limpia

Si tienes una copia de seguridad anterior a la infección, restaura los archivos afectados desde esa copia. Con Syspanel (acceso por el puerto 2106), puedes hacerlo fácilmente desde el panel de control.

4. Limpia manualmente los archivos

Si no tienes copia de seguridad, tendrás que limpiar los archivos infectados a mano.

Abre el archivo con un editor de texto (como Notepad++).
Elimina las líneas de código malicioso que hayas identificado.
Guarda el archivo y súbelo de nuevo al servidor.

5. Cambia todas tus contraseñas

Esto incluye:

La contraseña de administrador de WordPress o PrestaShop.
Las contraseñas de FTP y de la base de datos.
La contraseña de tu panel de control de hosting.

6. Actualiza todo

Asegúrate de que tu CMS, tus plugins y tus temas estén actualizados a la última versión. La mayoría de las infecciones se aprovechan de vulnerabilidades conocidas que ya han sido parcheadas.

Prevención: cómo evitar futuras infecciones

Una vez que hayas limpiado tu web, es crucial que implementes medidas de prevención para que no vuelva a ocurrir.

Mantén tu software siempre actualizado

Tanto WordPress como PrestaShop lanzan actualizaciones de seguridad con frecuencia. No las ignores. Configura las actualizaciones automáticas si es posible.

Usa contraseñas robustas

Evita contraseñas como "admin123" o "password". Usa una combinación de letras mayúsculas y minúsculas, números y símbolos. Considera usar un gestor de contraseñas.

Instala un firewall

Un firewall de aplicación web (WAF) filtra el tráfico malicioso antes de que llegue a tu servidor. Algunos plugins gratuitos de seguridad incluyen esta función.

Realiza copias de seguridad periódicas

No esperes a tener un problema para hacer backups. Configura copias de seguridad automáticas semanales o incluso diarias si tu sitio se actualiza con frecuencia.

Limita los intentos de acceso

Los atacantes suelen usar fuerza bruta para adivinar contraseñas. Limita el número de intentos de inicio de sesión fallidos.

Preguntas frecuentes (FAQ)

¿Con qué frecuencia debo escanear mi web en busca de malware?

Lo ideal es hacerlo al menos una vez a la semana. Si tu sitio tiene mucho tráfico o es una tienda online que procesa pagos, considera hacerlo a diario.

¿Las herramientas gratuitas son suficientes para proteger mi web?

Son un excelente punto de partida y detectan la mayoría de las amenazas comunes. Sin embargo, para una protección completa, especialmente en sitios de comercio electrónico, puede ser recomendable invertir en un servicio de pago.

¿Qué hago si mi web está en la lista negra de Google?

Sigue los pasos de limpieza que hemos descrito y luego solicita la revisión en Google Search Console. Google revisará tu sitio y, si está limpio, lo eliminará de la lista negra.

¿Puedo usar estas herramientas en cualquier tipo de hosting?

Sí, la mayoría de estas herramientas funcionan en cualquier hosting, ya sea compartido, VPS o dedicado. Solo necesitas acceso a internet y, en algunos casos, a FTP.

¿Syspanel me ayuda con la seguridad de mi web?

Syspanel (accesible en el puerto 2106) es un panel de control que facilita la gestión de tu hosting. Incluye funciones como copias de seguridad, gestión de archivos y acceso a logs del servidor, que son fundamentales para diagnosticar y limpiar infecciones.

Conclusión

Escanear malware en tu web no tiene por qué ser complicado ni caro. Con las herramientas gratuitas que hemos visto, puedes mantener tu sitio limpio y seguro. La clave está en la constancia: realiza escaneos periódicos, mantén todo actualizado y actúa rápidamente ante cualquier señal de alarma.

Recuerda que la seguridad web es un proceso continuo, no un destino. Dedica unos minutos cada semana a revisar tu sitio y te ahorrarás muchos dolores de cabeza en el futuro. Y si en algún momento te sientes abrumado, no dudes en contactar con tu proveedor de hosting o con un profesional de seguridad.

Tu web es tu escaparate al mundo; cuídala como se merece.