Eliminar virus de página web en WordPress en solo 6 pasos

Eliminar virus de página web en WordPress es una tarea urgente que muchos propietarios desconocen hasta que ya es demasiado tarde. Tener tu sitio infectado por un virus o malware es más común de lo que imaginas, y puede convertirse en una pesadilla si no actúas con rapidez. No solo afecta la seguridad de tus visitantes, sino que también pone en riesgo tu posicionamiento en Google, genera pérdida de confianza entre tus clientes y puede provocar bloqueos del navegador o penalizaciones en los resultados de búsqueda. Si tu página redirige a sitios extraños, carga con lentitud, muestra mensajes de advertencia o ha sido desindexada por Google, es probable que haya sido comprometida.

Lo importante en estos casos es mantener la calma. Afortunadamente, WordPress cuenta con una comunidad activa y múltiples herramientas que permiten eliminar malware y recuperar el control del sitio en pocos pasos. No necesitas ser un experto en programación o ciberseguridad para lograrlo, pero sí debes seguir un proceso estructurado y cuidadoso.

En esta guía aprenderás cómo eliminar virus de una página web en WordPress en solo 6 pasos, desde la detección inicial hasta la limpieza final y la solicitud de revisión a Google. Además, al finalizar, te daremos recomendaciones claras para prevenir futuras infecciones y mantener tu sitio protegido a largo plazo.

Este proceso te servirá tanto si eres propietario de una tienda online, un blog personal o una web corporativa. La seguridad no es negociable, y actuar rápido puede evitar que pierdas reputación, clientes y datos valiosos.

Prepárate para recuperar tu sitio y dejarlo más fuerte que nunca. Comenzamos con el primer paso: detectar si realmente estás infectado.

Detectar la infección en tu sitio WordPress es el primer paso para Eliminar virus de página web.

El primer paso para eliminar un virus de tu sitio web en WordPress es confirmar que efectivamente hay una infección y entender su alcance. Muchas veces, los síntomas no son evidentes a simple vista, pero existen señales claras que pueden indicar la presencia de malware.

Señales comunes de un sitio web infectado

• Tu sitio redirige a páginas extrañas (generalmente de apuestas, contenido adulto o estafas).
• Google muestra mensajes como “Este sitio puede dañar tu ordenador” o “Sitio engañoso adelante”.
• Aparecen pop-ups o scripts que tú no agregaste.
• La web se vuelve extremadamente lenta o deja de cargar.
• Al inspeccionar el código fuente, se encuentran fragmentos sospechosos como eval(base64_decode(...)) o iframe ocultos.
• Plugins o temas desaparecen, cambian de configuración o aparecen nuevos que no instalaste.
• Tu panel de administrador se comporta de forma inusual o tiene usuarios que no reconoces.

Herramientas para escanear tu sitio en busca de virus

Para confirmar que tu sitio WordPress fue infectado, puedes utilizar herramientas especializadas. Algunas de las más recomendadas son:

• Sucuri SiteCheck (gratuita): escanea tu dominio en busca de malware, listas negras, errores y código malicioso externo.
• Wordfence Security (plugin): además de proteger tu sitio, incluye un escáner profundo que analiza archivos del núcleo, temas, plugins y bases de datos.
• VirusTotal: permite subir archivos sospechosos y analizarlos con múltiples motores antivirus.

¿Dónde se puede esconder el malware?

El código malicioso puede infiltrarse en diferentes partes de tu instalación WordPress:

• Archivos del núcleo de WordPress (como wp-config.php, functions.php, etc.)
• Temas y plugins, especialmente si no son oficiales.
• Base de datos (inserciones de scripts maliciosos en posts o campos personalizados).
• Archivos .htaccess o index.php, que pueden ser modificados para redirigir tráfico.

Identificar bien dónde está el virus es clave para que el proceso de limpieza sea exitoso. En los siguientes pasos aprenderás cómo actuar una vez confirmada la infección.

Hacer una copia de seguridad completa (aunque esté infectada)

Puede parecer contradictorio hacer una copia de seguridad de tu sitio justo cuando está infectado, pero este paso es esencial antes de comenzar cualquier proceso de limpieza. ¿La razón? Si cometes un error durante la eliminación del virus (por ejemplo, borras un archivo legítimo o modificas la base de datos por accidente), tener una copia te permitirá volver atrás sin perderlo todo.

¿Por qué hacer un respaldo ahora?

• Evitas daños mayores: si algo sale mal durante la limpieza, puedes restaurar el sitio al estado original infectado y buscar otro método.
• Analizas el código fuera del servidor: trabajar sobre la copia puede ser más seguro y cómodo.
• Conservas el contenido y la estructura: el backup guarda tus publicaciones, páginas, configuraciones y diseño.

¿Qué debes incluir en la copia de seguridad?

Un respaldo completo debe contener dos elementos fundamentales:

1. Todos los archivos del servidor web: incluyendo WordPress, plugins, temas, imágenes, archivos personalizados y configuraciones.
2. La base de datos MySQL: contiene todo el contenido del sitio (posts, usuarios, configuraciones, menús, etc.)

Formas recomendadas de hacer la copia

• Desde el hosting (cPanel o panel de control)
  Puedes usar el Administrador de Archivos para comprimir tu carpeta public_html o htdocs, y luego exportar la base de datos desde phpMyAdmin.
• Con plugins de respaldo
  Algunos plugins confiables son:
  • UpdraftPlus
  • All-in-One WP Migration
  • BackupBuddy
  Incluso si el sitio está infectado, estos plugins pueden ayudarte a generar copias completas en pocos minutos.
• Vía FTP y exportación manual
  Con FileZilla (cliente FTP) puedes descargar todos los archivos. Luego, accede a phpMyAdmin desde tu hosting para exportar la base de datos en formato .sql.

¿Dónde guardar la copia de seguridad?

Almacena la copia en al menos dos lugares seguros, como:

• Tu computador personal
• Un servicio en la nube (Google Drive, Dropbox, OneDrive)

Recuerda: esta copia no debe ser restaurada si contiene malware, salvo que necesites volver atrás para identificar errores. Sirve como punto de referencia, no como solución definitiva.

Poner el sitio en modo mantenimiento o bloquear accesos

Una vez confirmada la infección y realizada la copia de seguridad, es momento de aislar el sitio web. Esto significa evitar que los usuarios sigan navegando por una página potencialmente peligrosa, y proteger tanto su experiencia como tu reputación online. Además, aislar el sitio previene que el virus siga propagándose o ejecutando acciones en segundo plano mientras lo limpias.

¿Por qué poner el sitio en modo mantenimiento?

• Evitas que visitantes sean redirigidos a sitios maliciosos o descarguen archivos peligrosos.
• Reduces el riesgo de nuevas infecciones mientras trabajas en la limpieza.
• Impides que Google siga escaneando y clasificando tu sitio como «inseguro».
• Te permite trabajar sin presión ni interrupciones en el frontend.

Opciones para activar el modo mantenimiento o bloquear accesos

1. Usar un plugin de mantenimiento confiable
   Algunos plugins que puedes usar fácilmente:
   • WP Maintenance Mode & Coming Soon
   • Maintenance (de WebFactory)
   • SeedProd (versión gratuita o pro)
   Estos plugins permiten mostrar una página simple de “Estamos trabajando” o “Sitio en mantenimiento” mientras tú tienes acceso completo desde el backend.
2. Modificar el archivo .htaccess
   Si quieres una solución más técnica y completa, puedes bloquear temporalmente el acceso al sitio excepto para tu IP. Por ejemplo: apacheCopiarEditarOrder Deny,Allow Deny from all Allow from tu-dirección-IP Esto bloquea todo el tráfico excepto el tuyo. Asegúrate de tener tu IP estática o guardarla bien antes de hacer este cambio.
3. Renombrar temporalmente el archivo index.php
   Una solución rápida es renombrar el archivo principal que carga tu web, para que nadie pueda acceder mientras haces cambios.

Consejo adicional

Si usas un firewall de aplicación web (WAF), como el que ofrece Sucuri o Cloudflare, puedes activar un modo de protección o poner tu sitio en «modo bajo ataque» para minimizar el acceso automatizado mientras haces la limpieza.

Eliminar el malware manual o con herramientas

Con el sitio aislado y la copia de seguridad lista, ahora viene la parte crítica del proceso: eliminar el virus o malware. Puedes hacerlo manualmente si tienes conocimientos técnicos, o usando herramientas automatizadas que detectan y limpian archivos comprometidos. La mejor estrategia depende del tipo de infección y tu nivel de experiencia.

Opción 1: Limpieza manual (recomendado solo para usuarios avanzados)

Si decides hacerlo por tu cuenta, estos son los pasos clave:

1. Compara tus archivos con una instalación limpia de WordPress
   • Descarga la versión oficial de WordPress desde wordpress.org.
   • Compara los archivos del núcleo (wp-admin, wp-includes, y archivos raíz) con los de tu servidor.
   • Reemplaza cualquier archivo sospechoso o alterado.
2. Revisa los archivos más vulnerables
   • index.php, wp-config.php, .htaccess, functions.php de tu tema activo.
   • Archivos con nombres extraños o recientes que no reconoces (por ejemplo, z1k9.php, tmp123.php).
3. Elimina plugins o temas que no reconozcas
   • Borra completamente las carpetas de plugins o temas no oficiales, nulled o que no uses.
4. Escanea y limpia la base de datos
   • Busca entradas extrañas en las tablas wp_posts, wp_options o wp_users.
   • Elimina cualquier script o iframe malicioso.

Opción 2: Uso de herramientas de limpieza (más seguro y rápido)

Estas herramientas detectan y eliminan malware automáticamente:

• Wordfence (plugin): realiza escaneos profundos, muestra los archivos infectados y ofrece opciones para restaurarlos o borrarlos.
• MalCare: permite limpiar el sitio con un solo clic desde su panel externo, sin cargar tu servidor.
• Sucuri (plugin y servicio): además de detectar malware, lo elimina y protege tu sitio en tiempo real.

Reinstala WordPress desde cero si es necesario

Si el sitio está muy comprometido, puedes hacer una reinstalación limpia de WordPress, tus temas y plugins, y luego restaurar solo el contenido (base de datos e imágenes verificadas).

Cambiar todas las contraseñas y revisar usuarios

Una vez que el malware ha sido eliminado, no basta con limpiar el sitio. Es crucial cambiar todas las contraseñas asociadas a tu instalación de WordPress y revisar los usuarios con acceso. Esto es vital porque muchos ataques dejan puertas traseras (backdoors) o crean usuarios ocultos para poder reinfectar tu sitio fácilmente en el futuro.

¿Qué contraseñas deberías cambiar?

1. Administrador de WordPress
   • Cambia la contraseña de todos los usuarios con rol de administrador o editor.
   • Usa contraseñas largas, únicas y con una combinación de mayúsculas, minúsculas, números y símbolos.
   • Puedes usar un generador seguro como el de LastPass o Bitwarden.
2. Base de datos MySQL
   • Cambia la contraseña del usuario que se conecta a tu base de datos desde wp-config.php.
   • Luego, actualiza el archivo wp-config.php con la nueva contraseña.
3. Cuenta de hosting y cPanel
   • Cambiar esta contraseña es fundamental si sospechas que el ataque vino desde una brecha en tu proveedor.
4. Cuenta FTP o SFTP
   • Si los atacantes accedieron por FTP, también podrían subir archivos infectados nuevamente.
5. API keys o tokens
   • Si usas integraciones con servicios externos (Google Maps, Stripe, Mailchimp), revisa y, si es necesario, reemplaza los tokens o claves privadas.

Revisar los usuarios de WordPress

Ve al panel de administración > Usuarios y realiza lo siguiente:

• Elimina cuentas sospechosas que no reconozcas (especialmente con rol de administrador).
• Verifica que los correos electrónicos de cada cuenta sean legítimos.
• Usa plugins como User Role Editor para auditar permisos.

Implementa autenticación de dos factores (2FA)

Después de cambiar contraseñas, agrega una capa extra de seguridad con autenticación de dos factores. Plugins como Wordfence Login Security o Two Factor Authentication permiten configurar esta opción fácilmente.

Verificar que todo esté limpio y pedir revisión a Google

Después de eliminar el malware y reforzar la seguridad de tu sitio, es hora de confirmar que todo esté realmente limpio. Este paso es clave para asegurarte de que tu web puede volver a estar en línea sin representar una amenaza. Además, si Google ha marcado tu sitio como peligroso, este es el momento de solicitar una revisión para eliminar el aviso de seguridad.

Cómo asegurarte de que tu sitio está limpio

1. Haz un escaneo completo con herramientas confiables
   • Usa Wordfence, Sucuri SiteCheck (gratuito) o MalCare para hacer un análisis final de todos los archivos.
   • Asegúrate de que no queden archivos sospechosos ni códigos inyectados en tus páginas.
2. Revisa el archivo .htaccess
   • Este archivo suele ser modificado por scripts maliciosos para redirigir a los visitantes o bloquear motores de búsqueda. Elimina cualquier línea que no reconozcas.
3. Verifica tu base de datos
   • Busca scripts escondidos dentro de los campos de contenido (wp_posts) o en la tabla wp_options.
4. Prueba la navegación desde varios dispositivos
   • Usa tu celular y otro navegador para verificar que no hay redireccionamientos ocultos o alertas.

¿Google marcó tu sitio como peligroso? Pide una revisión

Si ves mensajes como “Este sitio puede dañar tu equipo” o “El sitio ha sido comprometido”, sigue estos pasos:

1. Ingresa a Google Search Console
   • Ve a https://search.google.com/search-console y seleccion tu sitio web.
2. Abre el panel de Seguridad y Acciones Manuales
   • Si Google detectó malware, verás un mensaje claro allí.
3. Haz clic en “Solicitar revisión”
   • Google te pedirá que expliques qué hiciste para limpiar el sitio.
   • Describe de forma clara los pasos: backup, escaneo, eliminación del virus, cambio de contraseñas y refuerzo de seguridad.
4. Espera la validación
   • Google suele revisar el sitio en 24 a 72 horas. Si todo está limpio, quitará la advertencia.

Una vez que todo esté en orden y Google te haya aprobado, tu sitio volverá a posicionarse correctamente y los usuarios no verán advertencias al ingresar.
Cómo prevenir futuros ataques en WordPress

Eliminar un virus de tu sitio web es solo una parte del proceso. Si no tomas medidas preventivas, el riesgo de reinfección será alto. WordPress es una plataforma poderosa, pero su popularidad también la hace un blanco frecuente de ataques. Por eso, implementar buenas prácticas de seguridad es esencial para mantener tu sitio limpio y protegido a largo plazo.

1. Mantén WordPress, plugins y temas siempre actualizados

Uno de los errores más comunes es dejar versiones desactualizadas. Los desarrolladores lanzan actualizaciones no solo por mejoras, sino para cerrar brechas de seguridad.

• Activa las actualizaciones automáticas o revisa manualmente cada semana.
• Elimina plugins y temas que no uses; si están inactivos, pueden seguir siendo vulnerables.

2. Usa solo plugins y temas confiables

Evita instalar recursos de sitios poco conocidos o versiones “nulled” (piratas).

• Descarga solo desde el repositorio oficial de WordPress o desarrolladores verificados.
• Plugins de seguridad recomendados: Wordfence, iThemes Security, Sucuri.

3. Refuerza la seguridad con capas adicionales

• Instala un firewall (como los que ofrece Cloudflare o Sucuri).
• Activa autenticación en dos pasos (2FA) para todos los administradores.
• Usa contraseñas largas y únicas, y cámbialas regularmente.

4. Realiza copias de seguridad frecuentes

Una buena copia de seguridad puede salvarte horas (o días) de trabajo.

• Usa plugins como UpdraftPlus, BlogVault o All-in-One WP Migration.
• Almacena tus backups en la nube (Google Drive, Dropbox, etc.).

5. Supervisa tu sitio de forma constante

No necesitas hacerlo manualmente.

Revisa el tráfico en Search Console para detectar comportamientos inusuales

Configura alertas automáticas con Wordfence o herramientas como Uptime Robot.

Tu sitio limpio hoy, seguro para el futuro

Eliminar un virus en WordPress puede parecer una pesadilla, pero siguiendo estos seis pasos lograrás recuperar el control de tu sitio sin depender completamente de terceros. Lo más importante es actuar rápido, con orden y sin pánico.

Recuerda: la limpieza es solo la mitad del trabajo. La otra mitad es blindar tu sitio con buenas prácticas de seguridad. Tener un WordPress seguro no es cuestión de suerte, sino de prevención, actualizaciones constantes y vigilancia activa.

Tu web representa tu marca, tu negocio y tu reputación en línea. No dejes que una brecha de seguridad te cueste posicionamiento, ventas o confianza. Con las herramientas adecuadas y los hábitos correctos, puedes mantener tu sitio protegido a largo plazo.

¿Tu sitio ha sido hackeado? ¡No esperes más!

Si sospechas que tu página web está infectada o ha sido marcada como peligrosa por Google, no lo dejes pasar. Cuanto más tiempo esté comprometida, más daño puede hacer a tu marca y a tus visitantes.

📩 Contáctanos hoy mismo para una revisión profesional y una limpieza completa, haciendo clic aquí.
🔐 Además, te ayudamos a implementar medidas preventivas para que esto no vuelva a suceder.

Actúa ahora, protege tu web y vuelve a posicionarte con confianza.
Tu sitio merece estar limpio, seguro y optimizado.