Posible WordPress comprometido: qué información preparar para pedir ayuda

Un proveedor avisa de archivos sospechosos, alguien detecta una redirección extraña o el navegador muestra una advertencia al abrir tu web. Necesitas pedir ayuda, pero todavía no sabes qué ha ocurrido ni qué información debes enviar.

No hace falta conocer la causa para comunicar una posible incidencia de seguridad. Sí conviene separar lo que has visto de lo que supones y coordinar quién puede actuar. Esta guía ayuda a preparar ese primer contacto; no es un procedimiento para limpiar una instalación ni demuestra que una web esté infectada.

Explica la señal concreta, no solo «me han hackeado»

La guía de WordPress sobre sitios comprometidos destaca la importancia de documentar síntomas, momento de detección, cambios recientes y contexto del alojamiento. Entre las señales que contempla hay avisos de malware, suspensión del hosting y actividad no autorizada.

Comunica exactamente qué has observado y de dónde procede. «El hosting ha suspendido la web y adjunto el aviso por el canal privado» permite iniciar una investigación distinta de «al abrir una ficha desde el buscador aparece otro destino». La coincidencia con una actualización es información útil, no una prueba de que esa actualización causara la intrusión.

Un error crítico o una página en blanco tampoco confirman por sí solos un compromiso. Si el síntoma es un fallo de ejecución, la guía sobre qué hacer ante un error crítico de WordPress ayuda a delimitarlo. No combines ambos diagnósticos sin evidencia.

Protege al visitante sin convertirte en investigador

Si aparece una advertencia de seguridad, no la eludas para conseguir más capturas ni pidas a clientes que sigan entrando. No abras enlaces sospechosos o archivos adjuntos desconocidos para reproducir el problema. Conserva el mensaje ya disponible y avisa al responsable técnico y al alojamiento por sus canales habituales.

La primera comunicación puede ser breve: dirección pública, señal observada, hora y contacto responsable. No esperes a completar un inventario perfecto si la web puede estar perjudicando a visitantes. El responsable autorizado deberá valorar medidas de contención y su efecto sobre formularios, reservas o compras.

Como criterio operativo, acuerda quién toma esas decisiones y cómo avisará al resto. Evita que varias personas instalen herramientas o cambien configuraciones a la vez. Anota las medidas que ya se hayan aplicado, incluida una suspensión realizada por el hosting, sin deshacerlas solo para comprobar si el síntoma continúa.

Prepara un parte privado con estos datos

Puedes usar esta estructura para solicitar ayuda. Es una propuesta de organización, no una lista de trabajos ya realizados ni una exigencia de entregar secretos:

• Identificación: dirección pública de la web y proveedor de alojamiento, si lo conoces.
• Señal: aviso o comportamiento observado, quién lo detectó y en qué página.
• Cronología: fecha, hora y zona horaria de la primera observación; última ocasión conocida sin ese síntoma.
• Cambios conocidos: actualizaciones, nuevos accesos o modificaciones recientes, sin atribuirles una causa no comprobada.
• Alcance comercial: funciones afectadas y operaciones recientes que deban conservarse, sin adjuntar listados de clientes.
• Actuaciones: medidas ya tomadas, quién las aplicó y cuándo.
• Recuperación disponible: existencia y fecha conocida de copias, indicando si su estado se ha comprobado o todavía se desconoce.
• Responsables: persona que autoriza la intervención y contacto del proveedor que ya está investigando.

Una captura puede acompañar el parte si no expone información personal. Recorta o anonimiza nombres, correos, teléfonos, pedidos, identificadores de sesión y enlaces privados. No envíes archivos de configuración, bases de datos completas, claves API ni contraseñas en el primer formulario.

No conocer la versión exacta de WordPress o la fecha de una copia no impide pedir ayuda. Escribe «pendiente de confirmar»; obtener ese dato debe formar parte de una revisión autorizada, no de una exploración arriesgada por tu cuenta.

Conserva el contexto antes de borrar o restaurar

Pide al equipo técnico y al alojamiento que valoren cómo conservar los registros y el estado necesario para investigar, por un canal y almacenamiento privados. Indica lo que ya se ha borrado o sustituido. No descargues material sospechoso a un ordenador de uso habitual ni lo publiques para solicitar opiniones.

Guardar pruebas no debe retrasar la protección de visitantes. El equilibrio entre conservar información y contener el daño corresponde al responsable de la respuesta, con decisiones registradas.

Restaurar una copia puede cambiar lo que se podrá investigar y reemplazar información posterior. Antes de autorizarlo, pregunta qué fecha se recuperará, cómo se protegerán pedidos o reservas recientes y qué comprobaciones quedan pendientes. Que la portada vuelva a verse normal no basta para explicar la causa ni para dar por cerrada la incidencia.

Aclara qué corresponde al hosting y qué a la web

El manual de protección de WordPress distingue la seguridad del entorno y la de la aplicación, y plantea la seguridad como reducción de riesgos, no como eliminación absoluta. Conviene confirmar el alcance real de cada proveedor.

Pregunta quién revisará el alojamiento, los componentes de WordPress y los accesos relacionados. Una suspensión del hosting no demuestra que haya terminado la revisión de la aplicación. Del mismo modo, una actuación sobre WordPress no acredita que se hayan revisado todos los servicios vinculados al negocio.

Si hacen falta nuevos accesos o cambios de credenciales, acuerda un medio seguro y quién los ejecuta desde un entorno de confianza. No pegues contraseñas en el parte ni des permisos generales por comodidad. La valoración inicial debe dejar claros responsables, límites y siguiente paso, no prometer una recuperación inmediata.

Si el aviso procede de Google, conserva su contexto

El informe Problemas de seguridad de Search Console puede mostrar tipos de problema, fecha de detección y URLs de ejemplo. Google advierte de que esas direcciones pueden ser solo una muestra, no todas las páginas afectadas.

Pide a quien tenga acceso autorizado que comparta un resumen saneado del aviso por el canal privado. No interpretes una URL de ejemplo como el alcance completo ni la ausencia de una muestra como prueba de que no existe el problema.

La corrección técnica y la revisión de Google son pasos diferentes. La documentación indica que se debe solicitar revisión después de resolver todos los problemas señalados. No prometas que desaparezca el aviso al terminar una intervención ni confundas una notificación enviada con una revisión aceptada.

Qué pedir al cerrar el primer contacto

Todavía puede ser pronto para hablar de limpieza terminada. El primer cierre útil es saber quién está actuando, qué medidas se han acordado, qué información falta y cuándo se comunicará el siguiente estado. Pide que queden separadas la contención, la investigación y la recuperación, con sus límites.

En seguridad WordPress podemos valorar la necesidad y concretar una intervención según el alcance y las horas contratadas. Comparte la URL, la señal observada y cómo contactar contigo, sin datos de compradores ni credenciales. Lo que no se sepa se registra como pendiente; no se sustituye por una causa, un plazo o un resultado inventados.