Si te preguntás si tu sitio fue hackeado, probablemente algo llamó tu atención: una redirección extraña, un aviso en Google, o la sensación de que algo no anda bien. Detectar un hackeo a tiempo puede ser la diferencia entre una tarde de trabajo y semanas de recuperación. En este artículo te explicamos cómo saber si tu sitio fue hackeado, cómo confirmarlo con herramientas gratuitas y qué pasos seguir para recuperarlo.
Las señales de que tu sitio fue hackeado
No todos los hackeos son evidentes. Muchos operan en silencio durante semanas, robando datos, enviando spam o posicionando links de terceros sin que te enteres. Estas son las señales más comunes:
- Tu sitio redirige a páginas de contenido adulto, apuestas o farmacias online.
- Aparece texto en otros idiomas o links que no creaste, especialmente visible al revisar el código fuente.
- Google marca tu sitio como peligroso y los navegadores muestran advertencias a tus visitantes.
- Desde tu dominio se están enviando correos de spam que vos no generaste.
- No podés ingresar al panel de administración aunque tu contraseña sea correcta.
- Tu hosting suspendió la cuenta por actividad maliciosa o uso excesivo de recursos.
- El sitio está muy lento o cae constantemente sin razón aparente.
Si reconocés dos o más de estos síntomas, actuá rápido: cada hora que pasa aumenta el riesgo de penalización en Google y de mayor exposición para tus visitantes.
Cómo confirmar si realmente fuiste hackeado
Antes de actuar, confirmá el diagnóstico. Estas herramientas gratuitas te dan un veredicto en minutos:
- Google Safe Browsing: ingresá tu URL en transparencyreport.google.com. Si Google detectó malware o phishing, aparece ahí.
- Sucuri SiteCheck: en sitecheck.sucuri.net escaneás tu sitio en segundos. Detecta malware conocido, código inyectado y si tu dominio está en listas negras.
- VirusTotal: analizá tu URL con más de 70 motores antivirus simultáneamente. Gratuito y sin registro.
- Google Search Console: revisá la sección Problemas de seguridad. Si Google detectó algo en tu sitio, aparece ahí con detalle.
Si tenés acceso a los archivos del servidor, buscá PHP con nombres aleatorios o con funciones como eval() y base64_decode() anidadas. También revisá si hay modificaciones recientes en archivos del core de WordPress que no deberían haber cambiado.
Qué hacer si confirmás que tu sitio fue hackeado
Una vez que confirmaste el ataque, seguí estos pasos en orden:
- Avisá a tu hosting. El soporte técnico puede ayudarte a contener el daño, revisar logs de acceso y recuperar el control del panel.
- Poné el sitio en modo mantenimiento. Evitá que los visitantes sigan expuestos al contenido malicioso mientras trabajás en la recuperación.
- Cambiá todas las contraseñas de inmediato. Hosting, WordPress, base de datos, FTP y email. Todas, ahora. Y usá contraseñas distintas para cada una.
- Restaurá desde un backup limpio. Si tenés una copia de seguridad anterior al hackeo, es la forma más confiable de limpiar el sitio. Aprendé a hacerlo en nuestra guía sobre cómo hacer y restaurar backups de WordPress.
- Escaneá el sitio con una herramienta de malware. Wordfence o MalCare pueden hacer un escaneo profundo y señalar exactamente qué archivos están comprometidos.
- Actualizá WordPress, plugins y temas. Muchos hackeos entran por vulnerabilidades en versiones desactualizadas. Una vez limpio el sitio, actualizá todo y eliminá lo que no uses.
- Solicitá una revisión a Google. Si tu sitio aparece en Search Console con alertas, una vez limpio podés pedir una revisión manual. Sin ese paso, puede seguir marcado como peligroso varios días más.
Cómo evitar que te hackeen de nuevo
Limpiar el sitio es urgente, pero fortalecer la seguridad es lo que evita que el problema se repita. Estas medidas son concretas y no requieren conocimientos técnicos avanzados:
- Contraseñas fuertes y únicas para hosting, WordPress, FTP y email. Nunca reutilices la misma en distintas plataformas.
- Autenticación en dos pasos en WordPress y en el panel de hosting. Bloquea la mayoría de los intentos no autorizados.
- Todo actualizado. Los plugins desactualizados son la puerta de entrada más común. Revisá qué plugins instalados podrían ser un riesgo para tu sitio.
- Un plugin de seguridad activo. Wordfence en versión gratuita ya ofrece firewall básico y bloqueo de intentos de login repetidos.
- Backups automáticos regulares. Si algo sale mal, tener una copia limpia reciente es tu mejor seguro. Asegurate de tener configurados los backups antes de necesitarlos.
- Completá nuestro checklist de seguridad para WordPress con los 10 puntos esenciales para mantener tu sitio protegido.
Un buen hosting también forma parte de la ecuación: tiene que avisarte cuando detecta actividad sospechosa, ofrecerte backups automáticos y tener soporte técnico disponible cuando más lo necesitás. Si tu proveedor actual no tiene nada de eso, no es solo un problema de seguridad: es una base frágil.
En MinderHost ofrecemos hosting con backups diarios automáticos, escaneo de malware y soporte técnico especializado. Si querés saber si tu sitio fue hackeado o querés protegerlo antes de que ocurra, escribinos.