Recuperar WordPress hackeado en DirectAdmin | Pasos clave

Sabemos que encontrar tu sitio web con un mensaje de error, redirecciones extrañas o contenido que no publicaste puede ser una experiencia frustrante. No te preocupes, es una situación más común de lo que crees y, lo más importante, tiene solución. Si tu sitio está alojado en un panel de control como DirectAdmin, estás en el lugar correcto. Vamos a guiarte paso a paso para que puedas recuperar un WordPress hackeado desde cero, de forma segura y sin necesidad de ser un experto en seguridad.

Este artículo está diseñado para que, incluso si no tienes mucha experiencia técnica, puedas seguir las instrucciones. Usaremos herramientas que ya vienen incluidas en DirectAdmin y algunos consejos prácticos para limpiar malware WordPress DirectAdmin de manera efectiva. Al final, no solo habrás recuperado tu sitio, sino que aprenderás a blindarlo para evitar futuros ataques.

Primeros pasos: Diagnóstico y preparación del terreno

Antes de lanzarnos a limpiar, es fundamental entender qué ha pasado y, sobre todo, aislar el problema. Si tu sitio está infectado, lo peor que puedes hacer es conectarte a él sin protección, ya que podrías propagar el malware a tu ordenador o a otros sitios en el mismo servidor.

¿Cómo saber si mi sitio WordPress está hackeado?

Los síntomas más comunes de un sitio WordPress infectado son:

Redirecciones extrañas: Al hacer clic en un enlace, te lleva a páginas de spam, farmacias online o sitios de apuestas.
Mensajes de advertencia del navegador: Google Chrome o Firefox te muestran una pantalla roja diciendo que el sitio no es seguro.
Contenido nuevo y sospechoso: Aparecen páginas o entradas que no escribiste, a menudo con enlaces a sitios externos.
Rendimiento muy lento: El servidor se vuelve lerdo porque el malware está usando recursos para enviar spam o minar criptomonedas.
Usuarios administradores desconocidos: Ves en tu panel de WordPress usuarios con rol de Administrador que no creaste tú.

[WARNING] No accedas a tu sitio web desde el navegador sin antes tomar medidas de seguridad. Podrías descargar el malware a tu PC. Es mejor trabajar directamente desde el panel de control (DirectAdmin).

Accede a DirectAdmin y prepara tu espacio de trabajo

DirectAdmin es tu mejor aliado. Aquí es donde vamos a realizar la mayor parte del trabajo. Sigue estos pasos:

Inicia sesión en DirectAdmin: Usa la URL que te proporcionó tu proveedor de hosting (normalmente algo como tudominio.com:2222).
Crea una copia de seguridad COMPLETA: Antes de tocar nada, ve a la sección "Gestor de Copias de Seguridad" o "Backup". Selecciona la opción de "Copia de Seguridad Completa" (que incluya archivos, bases de datos y configuraciones de email). Descarga este archivo a tu ordenador. Es tu red de seguridad por si algo sale mal.
Cambia todas tus contraseñas: Desde DirectAdmin, cambia la contraseña de tu cuenta de hosting, la de la base de datos y la de tu correo electrónico. Hazlo también en WordPress (si es que puedes acceder). Usa contraseñas largas y únicas.

El proceso de limpieza: Manos a la obra

Ahora sí, vamos a limpiar el malware WordPress DirectAdmin. Vamos a hacerlo en dos fases: primero limpiaremos los archivos y después la base de datos.

Fase 1: Limpieza de archivos (el corazón del problema)

La mayoría del malware se esconde en los archivos de tu instalación de WordPress, especialmente en wp-content, wp-includes y en la raíz. Vamos a atacarlos.

Paso 1: Descarga una copia limpia de WordPress

No vamos a reparar los archivos dañados uno por uno. Es más rápido y seguro reemplazar todos los archivos del núcleo de WordPress (los que no son tuyos) por unos nuevos y limpios.

Ve a "File Manager" (Administrador de Archivos) en DirectAdmin.
Navega hasta la carpeta donde está instalado tu WordPress (normalmente public_html o www).
Elimina las carpetas wp-includes y wp-admin. No te preocupes, las vamos a reemplazar.
Elimina todos los archivos de la raíz que NO sean tuyos. ¿Cómo saber cuáles son? Los archivos clave de WordPress son: index.php, wp-config.php, wp-load.php, wp-blog-header.php, wp-settings.php, etc. Conserva solo wp-config.php y la carpeta wp-content. Si tienes dudas sobre un archivo, búscalo en Google. Si no es un archivo estándar de WordPress o un plugin que instalaste, bórralo.
Descarga WordPress fresco: Ve a es.wordpress.org y descarga la última versión de WordPress en español.
Sube los archivos nuevos: Descomprime el ZIP en tu ordenador. Luego, en DirectAdmin, dentro de tu carpeta public_html, usa la opción "Subir" para cargar el archivo wordpress.zip (o como se llame). Una vez subido, haz clic derecho sobre él y selecciona "Extraer". Esto creará una carpeta llamada wordpress con todo el contenido.
Reemplaza las carpetas: Dentro de la carpeta wordpress extraída, verás las carpetas wp-admin y wp-includes. Selecciona ambas y cópialas (Ctrl+C o botón derecho -> Copiar). Luego, pégalas (Ctrl+V) en la raíz de tu sitio (en public_html). Cuando te pregunte si quieres sobrescribir, dile que Sí a todo. También copia todos los archivos de la raíz de la carpeta wordpress (como index.php, wp-load.php, etc.) y pégalos en la raíz de tu sitio, sobrescribiendo los existentes.

[TIP] Al sobrescribir los archivos del núcleo de WordPress, eliminas cualquier puerta trasera o código malicioso que se hubiera ocultado en ellos. Es una limpieza quirúrgica.

Paso 2: Limpieza de la carpeta `wp-content` (tus archivos)

Esta carpeta es más delicada porque contiene tus temas, plugins y subidas (imágenes, PDFs). No podemos borrarla entera.

Temas: Ve a wp-content/themes. Elimina cualquier tema que no estés usando. Del tema que sí usas, compara los archivos con una copia original descargada del repositorio oficial de WordPress. Si ves archivos extraños (.php, .txt, .html con nombres raros), bórralos. A menudo, el malware se esconde en functions.php o crea archivos como wp-update.php o wp-cache.php. Revisa functions.php y busca código que no tenga sentido (como eval(), base64_decode(), o largas cadenas de texto sin espacios).
Plugins: Ve a wp-content/plugins. Desactiva y elimina todos los plugins que no uses. De los que uses activamente, repite el mismo proceso que con los temas: compara con versiones originales y elimina archivos sospechosos. Si un plugin lleva mucho tiempo sin actualizarse, es mejor eliminarlo y buscar una alternativa.
Subidas (uploads): Esta carpeta suele ser la más segura, pero a veces el malware se cuela. Revisa las carpetas de los últimos meses. Busca archivos .php dentro de ellas. Si encuentras uno, bórralo inmediatamente. Los archivos de subidas solo deberían ser imágenes, PDFs, vídeos, etc., nunca scripts PHP.

[WARNING] No borres toda la carpeta wp-content. Ahí están tus imágenes y configuraciones. Solo limpia lo que sea malicioso.

Fase 2: Limpieza de la base de datos

El malware también puede esconderse en la base de datos, inyectando código en tus entradas, páginas o en la tabla de opciones.

Paso 1: Accede a phpMyAdmin

En DirectAdmin, busca el icono de "phpMyAdmin" (normalmente está en la sección de "Características Avanzadas" o "Base de Datos").
Selecciona la base de datos de tu WordPress (la que aparece en tu archivo wp-config.php).
Haz una copia de seguridad de la base de datos: En la pestaña "Exportar", selecciona "Rápida" y "SQL". Descarga el archivo. Este es tu salvavidas.

Paso 2: Busca y elimina código malicioso

Ve a la pestaña "SQL" (para ejecutar consultas).
Busca en las entradas y páginas: Ejecuta esta consulta para encontrar enlaces sospechosos:
```
SELECT * FROM wp_posts WHERE post_content LIKE '%hxxp://sitio-malicioso.com%' OR post_content LIKE '%<script%';
```
Reemplaza wp_ por el prefijo de tus tablas (si lo cambiaste) y sitio-malicioso.com por el dominio que sospechas. Si encuentras resultados, tendrás que editar esas entradas manualmente o ejecutar una consulta para limpiarlas. No la ejecutes sin saber lo que haces. Es mejor editar una por una.
Revisa la tabla wp_options: Busca opciones extrañas como theme_mods_tu-tema o widget_* que contengan código PHP o JavaScript. También busca en la columna option_value cadenas largas con eval() o base64_decode().
Busca usuarios administradores: Ejecuta:
```
SELECT * FROM wp_users;
```
Si ves un usuario que no reconoces, bórralo con:
```
DELETE FROM wp_users WHERE user_login = 'nombre_del_usuario_malicioso';
```
(Asegúrate de no borrar tu propio usuario).

[INFO] Si no te sientes cómodo con SQL, existen plugins de seguridad que pueden escanear tu base de datos, como Wordfence o iThemes Security. Pero como tu sitio está infectado, deberás instalarlos manualmente subiendo la carpeta del plugin a wp-content/plugins a través de DirectAdmin.

Refuerza tu seguridad: Evita el próximo ataque

Una vez que tu sitio está limpio, es hora de blindarlo. La seguridad no es un producto, es un proceso.

Medidas imprescindibles en DirectAdmin

Mantén todo actualizado: WordPress, temas y plugins. Activa las actualizaciones automáticas para plugins y temas desde el panel de WordPress.
Cambia los prefijos de las tablas: Si tu base de datos usa el prefijo wp_, es más fácil de atacar. Puedes cambiarlo desde phpMyAdmin (es un proceso manual, busca tutoriales) o con un plugin.
Usa un firewall de aplicación web (WAF): DirectAdmin suele tener integración con ModSecurity. Actívalo desde la sección de "Seguridad" o "ModSecurity". También puedes usar un plugin como Wordfence que incluye su propio firewall.
Configura copias de seguridad automáticas: En DirectAdmin, programa copias de seguridad diarias o semanales que se guarden en un lugar remoto (como Dropbox, Google Drive o un servidor FTP externo). Así, si vuelve a pasar, restauras en minutos.

Medidas en WordPress (post-limpieza)

Instala un plugin de seguridad: Wordfence o iThemes Security son excelentes. Escanea tu sitio, activa el firewall y configura la autenticación de dos factores (2FA) para tu cuenta de administrador.
Elimina usuarios y plugins innecesarios: Cada plugin es una puerta de entrada potencial. Solo conserva los que uses activamente.
Cambia la URL de acceso a wp-admin: Muchos ataques automatizados intentan acceder a /wp-admin. Puedes cambiarla con un plugin como WPS Hide Login.
Fuerza el uso de HTTPS: Si tu sitio no usa HTTPS, actívalo. DirectAdmin suele tener Let's Encrypt integrado (en "SSL Certificates"). Esto cifra la comunicación y protege los datos de inicio de sesión.

[TIP] Si tu hosting usa Syspanel (HestiaCP), el proceso es muy similar. Accede a tu panel a través del puerto 2106 (ejemplo: tudominio.com:2106). Allí encontrarás el File Manager y phpMyAdmin en las secciones correspondientes. Los pasos de limpieza son idénticos.

Preguntas Frecuentes (FAQ)

P: ¿Cuánto tiempo tarda el proceso de limpieza?
R: Depende del tamaño de tu sitio y de la cantidad de malware. Si sigues esta guía al pie de la letra, puedes tenerlo listo en 1 o 2 horas. La parte más tediosa es revisar la carpeta wp-content.

P: ¿Qué hago si no puedo acceder ni a DirectAdmin?
R: Contacta a tu proveedor de hosting inmediatamente. Diles que tu sitio está hackeado y que necesitas acceso de emergencia. Ellos pueden ayudarte a restaurar desde una copia de seguridad o a limpiar el servidor.

P: ¿Es seguro usar un plugin de seguridad después de la limpieza?
R: Sí, es altamente recomendable. Los plugins como Wordfence escanean tu sitio en busca de malware, te alertan de cambios en los archivos y bloquean ataques en tiempo real. Pero recuerda: primero limpia manualmente, luego instala el plugin.

P: ¿Puedo perder mis datos (imágenes, textos) durante la limpieza?
R: Si sigues los pasos correctamente, no. Solo eliminarás archivos maliciosos. La copia de seguridad que hiciste al principio es tu garantía. Si algo sale mal, restauras desde ella.

P: Mi sitio sigue redirigiendo después de la limpieza. ¿Qué hago?
R: Revisa de nuevo la base de datos, especialmente la tabla wp_options y la carpeta wp-content. También verifica el archivo .htaccess en la raíz de tu sitio. El malware suele esconder redirecciones allí. Puedes reemplazarlo por uno limpio de WordPress (descárgalo de la documentación oficial).

P: ¿Qué papel juega el hosting en la seguridad?
R: Un buen hosting es tu primera línea de defensa. Los proveedores que usan DirectAdmin, Syspanel (HestiaCP) o cPanel suelen tener medidas de seguridad a nivel de servidor, pero la responsabilidad final de mantener tu sitio seguro es tuya. Un hosting compartido es más vulnerable, por lo que las medidas de seguridad en tu WordPress son aún más críticas.

Conclusión: No temas, actúa

Recuperar un sitio WordPress hackeado puede parecer una tarea titánica, pero con las herramientas adecuadas y un poco de paciencia, es totalmente factible. DirectAdmin te da el control total sobre tus archivos y base de datos, lo que facilita una limpieza profunda. Recuerda: la prevención es la mejor cura. Una vez que hayas limpiado tu sitio, dedica tiempo a implementar las medidas de seguridad que te hemos recomendado. Así, la próxima vez que alguien intente atacarte, estarás preparado.

No olvides que Syspanel (HestiaCP) es una excelente alternativa a DirectAdmin y sigue los mismos principios. Si tu hosting lo usa, accede por el puerto 2106 y aplica exactamente los mismos pasos.

Y lo más importante: no te desanimes. Todos los que gestionamos sitios web hemos pasado por esto. Es una oportunidad para aprender y fortalecer tu proyecto. ¡Mucho ánimo y manos a la obra!