Ya sabes que tu web tiene código que no pusiste tú: redirecciones raras, publicidad que aparece sola o páginas de spam que no has creado. La reacción normal es borrar ese código y respirar. Y es justo lo que hace que vuelva a pasar la semana que viene. Aquí va el orden correcto.
Por qué borrar el código no arregla nada
Lo que ves es el resultado, no la causa. Quien entró dejó casi siempre tres cosas, y el código visible es solo una:
| Lo que dejan | Qué hace |
|---|---|
| El código visible | La redirección, la publicidad, las páginas de spam. Lo que tú ves. |
| Una puerta trasera | Un archivo escondido, con nombre inofensivo, que les deja volver a entrar cuando quieran. Aunque cambies todas las contraseñas. |
| Un usuario administrador | Creado por ellos, para entrar por la puerta principal como si nada. |
Por eso el ciclo tan repetido de "me lo limpiaron y a las dos semanas volvió". No volvieron a entrar: nunca llegaron a salir.
Cómo entran, que es lo que hay que cerrar
Hay dos caminos, y se cierran de forma muy distinta:
Camino A: un agujero en la web
Un complemento o un tema sin actualizar con un fallo conocido. Los robots lo prueban en millones de webs a la vez. No te han elegido a ti, te ha tocado por estar al alcance.
Camino B: tu propio ordenador
Este engaña a mucha gente. Un programa malicioso en tu PC busca las contraseñas guardadas en tu programa de subir archivos, se las lleva y entra en tu web con tus credenciales legítimas.
Aquí no hay ningún agujero que tapar en la web: entraron con la llave buena. Puedes limpiar la web entera, actualizarlo todo y poner el mejor cortafuegos, que volverán mañana. Si no limpias también el ordenador desde el que subes archivos, no has cerrado nada. Y suele ser un ordenador que no es el tuyo, sino el de alguien que tocó la web hace años.
El orden correcto
- Guarda una copia del estado actual, infectado y todo. Es tu única prueba de qué pasó y de cuándo. Si limpias primero, pierdes esa información para siempre.
- Averigua cuándo empezó. Los registros del servidor lo dicen, y esa fecha te sirve para elegir una copia de seguridad anterior a la infección.
- Cambia las contraseñas, todas: panel, subida de archivos, base de datos y usuarios administradores. Y hazlo desde un ordenador limpio.
- Limpia de verdad (ver abajo).
- Cierra la puerta: actualiza todo, quita lo que no uses y revisa el ordenador desde el que se sube contenido.
- Comprueba desde fuera y, si Google te había marcado, pide la revisión.
Qué es limpiar de verdad
No es buscar la línea rara y borrarla. Es esto:
- Reinstalar los archivos del programa (el núcleo, los complementos y el tema) desde su origen oficial, no repararlos. Así te llevas por delante cualquier archivo modificado.
- Buscar puertas traseras por todo el alojamiento, también fuera de la carpeta de la web. Es la parte que más se salta y la que hace que vuelvan.
- Revisar la base de datos, donde suelen quedar redirecciones y usuarios metidos a mano.
- Mirar las tareas programadas: es habitual dejar una que reinstala la infección cada noche.
- Revisar todas las webs del mismo alojamiento. Si comparten espacio, lo normal es que estén todas tocadas.
Restaurar una copia parece la solución perfecta, y a veces lo es. Pero si la infección lleva dos meses ahí, la copia de la semana pasada también está infectada. Por eso el paso 2 es averiguar cuándo empezó: sin esa fecha, restaurar es una lotería. Y aunque restaures limpio, si no cierras la puerta vuelves al punto de partida.
Si Google te ha marcado
Cuando el navegador enseña la pantalla roja de "sitio engañoso", el daño ya no es solo técnico: es comercial, y no se quita solo. El orden es:
- Limpiar de verdad, del todo. Pedir la revisión con la web aún infectada solo alarga el castigo.
- Solicitar la revisión desde la herramienta gratuita de Google para webs (Search Console).
- Esperar. Suele tardar de unas horas a un par de días.
Si te vuelven a marcar después de una revisión, es la señal definitiva de que quedó algo dentro.
Para que no vuelva a pasar
- Actualizaciones al día, siempre. Es lo que cierra el camino A.
- Fuera lo que no uses. Cada complemento instalado es superficie de ataque, aunque esté desactivado.
- Contraseñas largas y distintas en cada sitio, con gestor de contraseñas.
- Verificación en dos pasos en el panel.
- Copias de seguridad con historial suficiente para poder ir hacia atrás, y comprobadas.
- Ni una web abandonada en el mismo alojamiento. Si no se usa, se quita.
- No guardes las contraseñas de subida de archivos en el programa, sobre todo si el ordenador lo usa más gente.
- No instales complementos o temas descargados de sitios que regalan versiones de pago. Es la forma más común de instalarte tú mismo la infección.
- No dejes acceso a quien ya terminó su trabajo.
Preguntas frecuentes
¿Puedo limpiarla yo?
Si es algo sencillo y tienes copia limpia anterior a la infección, es posible. Lo que casi nadie hace bien por su cuenta es encontrar las puertas traseras, y ahí es donde se pierde la partida. Si la web te da de comer, no experimentes.
¿Sirve un complemento de seguridad para limpiar?
Ayudan a detectar y avisan, que no es poco. Pero un complemento que se ejecuta dentro de la web infectada no es el mejor sitio desde el que juzgar si la web está limpia. La comprobación seria se hace desde fuera y desde el servidor.
He perdido posiciones en Google, ¿las recupero?
Normalmente sí, si se limpia pronto y se pide la revisión. Cuanto más tiempo lleve el contenido de spam indexado, más tarda en recuperarse.
¿Me han robado los datos de mis clientes?
Depende de qué guarde tu web y de hasta dónde llegaron. Es la pregunta que hay que responder con los registros, no a ojo. Y si hubo datos personales afectados, hay obligaciones de aviso con plazos cortos, así que conviene aclararlo pronto.
La web no es mía, es de un cliente
Da igual quién la gestione: el orden es el mismo. Lo importante es que alguien mire también el ordenador desde el que se sube el contenido, que es la parte que siempre se olvida.
- ¿Cómo saber si me han atacado la web?, si aún no lo tienes confirmado.
- Acceso seguro a los archivos de tu web, para no repetir el error de las llaves de más.
- Cómo generar tu llave SSH y enviárnosla, la alternativa a las contraseñas guardadas.
- Límite de envío de correos por hora, si además se está enviando spam.
Si prefieres que lo hagamos nosotros
Hacemos las seis fases: copia del estado actual, localización del momento y la vía de entrada, limpieza en profundidad buscando puertas traseras, cierre del agujero, comprobación desde fuera y, si hace falta, la solicitud de revisión a Google. Y te contamos qué encontramos y por dónde entraron, aunque la respuesta sea incómoda.
¿La limpiamos y la cerramos?
Si te han inyectado código, cada día que pasa es más contenido de spam indexado y más reputación perdida. Dinos la dirección y te decimos el alcance y qué hace falta. Sin humo.
Cuéntanoslo