Por qué hackean las webs de WordPress (y cómo evitarlo)
Productos raros, spam o la web caída: así acaba un WordPress hackeado. Te explico por qué pasa, cómo detectarlo y qué hacer para evitarlo.
Un día buscas tu negocio en Google y debajo de tu nombre aparecen títulos de productos que no vendes, páginas en otros idiomas o anuncios de cosas que prefieres no nombrar. O el navegador avisa de que tu web es peligrosa. Es más frecuente de lo que parece, y casi siempre tiene el mismo origen: una instalación de WordPress que nadie mantiene y que acaba hackeada.
No es personal
Casi nadie ataca la web de una clínica o una academia a mano. Lo hacen robots que recorren internet sin parar buscando fallos conocidos. Cuando encuentran uno, lo aprovechan de forma automática en miles de webs a la vez. Tu web no tiene que ser importante para caer: basta con que tenga la puerta abierta.
Por dónde se hackea un WordPress
Plugins y plantillas desactualizados
Es la causa número uno. Un plugin tiene un fallo, sus autores publican una corrección, pero la web no se actualiza y el fallo sigue ahí, documentado y al alcance de cualquier robot.
Plugins abandonados o «piratas»
Plugins que nadie mantiene desde hace años, o versiones de pago descargadas gratis de sitios dudosos, que a veces ya vienen con código malicioso dentro.
Contraseñas débiles
El acceso de administración (/wp-admin) está a la vista de todo el mundo. Con contraseñas sencillas y sin doble verificación, los ataques de fuerza bruta acaban entrando.
Hosting compartido descuidado
Si otra web del mismo servidor está comprometida y el alojamiento no aísla bien, el problema puede saltar.
Cómo saber si tu WordPress está hackeado
- Busca en Google «site:tudominio.es» y mira si aparecen páginas que no reconoces.
- Revisa Google Search Console: avisa de problemas de seguridad y de páginas extrañas indexadas.
- Fíjate si la web redirige a otros sitios desde el móvil o desde Google, aunque desde tu ordenador parezca normal.
- Mira si hay usuarios administradores que no creaste.
Qué hacer si tu WordPress ya está hackeado
- No borres nada a lo loco: haz una copia de todo para poder analizarlo.
- Cambia todas las contraseñas (WordPress, hosting, base de datos, correo).
- Limpia o, mejor, reconstruye la web desde una copia sana o desde cero.
- Pide en Search Console la retirada de las páginas de spam y que Google revise la web.
- Averigua por dónde entraron, o volverá a pasar.
Cómo evitar un WordPress hackeado
Con WordPress, la receta es conocida y exige constancia: actualizarlo todo a menudo, usar solo los plugins imprescindibles y de confianza, contraseñas fuertes con doble verificación, copias de seguridad automáticas y alguien pendiente.
La otra opción es quitar las puertas. Una web estática no tiene panel de acceso público, ni plugins, ni base de datos que atacar. Para un negocio cuya web cambia poco, suele ser la forma más tranquila de tener una web segura sin pagar mantenimiento cada mes.
Es como trabajo en Nueva Página. Si quieres comparar con calma, lo explico en WordPress o web a medida.
Por qué una web estática tiene menos puertas
Un WordPress ejecuta código cada vez que alguien visita la web: consulta la base de datos, carga plugins y monta la página al momento. Cada una de esas piezas es una puerta posible. En cambio, una web estática entrega páginas ya preparadas, sin base de datos ni plugins a la vista, así que hay mucho menos que atacar.
Eso no significa que WordPress sea malo; significa que hay que mantenerlo. La propia documentación oficial dedica una guía a reforzar la seguridad de WordPress, con actualizaciones, contraseñas y permisos. Si no vas a ocuparte de eso cada mes, quizá te conviene otra opción: lo comparo en WordPress o web a medida. La web más segura es la que tiene menos piezas que vigilar.
Preguntas frecuentes
¿WordPress es inseguro?
El núcleo de WordPress se mantiene bien. El riesgo está en instalaciones sin actualizar y en plugins de terceros, que es justo lo que pasa en muchas webs de pequeños negocios.
¿Un plugin de seguridad lo arregla?
Ayuda, pero no sustituye a las actualizaciones. Un plugin de seguridad sobre una web con plugins vulnerables es como una alarma con la puerta abierta.
¿Me penaliza Google si me hackean el WordPress?
Puede mostrar avisos a los usuarios y retirar páginas mientras haya contenido malicioso. Cuando la web está limpia y lo comunicas en Search Console, se recupera.
¿Las webs de Nueva Página usan WordPress?
No. Son webs estáticas programadas a medida, sin plugins que actualizar, publicadas con conexión segura. Lo explico en cómo trabajo.