Si tu sitio web ha sido marcado por Google, carga lentamente sin razón aparente o ves redirecciones extrañas, es muy probable que tengas malware en tu hosting compartido. La buena noticia: con el proceso correcto puedes detectarlo y eliminarlo sin perder tu contenido.
¿Por qué el hosting compartido es vulnerable al malware?
En un hosting compartido, tu sitio convive en el mismo servidor con decenas o cientos de otros sitios. Si uno de esos vecinos tiene una vulnerabilidad, en algunos casos el malware puede propagarse o los recursos del servidor se ven comprometidos.
Pero la causa más común de infección no es el vecino: es tu propio código desactualizado. Los principales vectores de entrada son:
- Plugins y temas de WordPress o CMS desactualizados
- Contraseñas débiles o reutilizadas (FTP, panel de control, base de datos)
- Formularios sin protección adecuada contra inyección
- Archivos subidos sin validación de tipo
- Permisos de archivo demasiado permisivos (por ejemplo,
777)
Señales de que tu sitio tiene malware
Antes de escanear, identifica si tienes alguna de estas señales de alerta:
- Advertencia de Google: "El sitio que intentas visitar puede contener malware"
- Redirecciones inesperadas hacia sitios de phishing, farmacia o apuestas
- Tu hosting suspendió la cuenta por actividad maliciosa
- Correos de spam enviados desde tu dominio sin tu conocimiento
- Archivos PHP desconocidos en carpetas de imágenes o de tema
- Caída brusca de tráfico en Google Search Console
Uno solo de estos síntomas ya justifica un escaneo completo.
Cómo detectar malware en hosting compartido: paso a paso
1. Escanea desde afuera (sin acceso al servidor)
Empieza con herramientas externas que analizan tu URL sin necesitar credenciales:
- Sucuri SiteCheck (sitecheck.sucuri.net): detecta malware, listas negras y versiones desactualizadas de CMS.
- VirusTotal: analiza tu dominio contra más de 70 motores antivirus.
- Google Safe Browsing: comprueba si tu sitio está en la lista negra de Google.
2. Revisa los archivos desde el administrador de archivos o FTP
Accede al administrador de archivos de tu cPanel o conéctate por FTP. Busca:
- Archivos
.phpen carpetas que solo deberían contener imágenes (/uploads/) - Archivos con nombres aleatorios tipo
xjk39a.php - Modificaciones recientes en archivos que no deberías haber tocado (ordena por fecha)
- Código ofuscado con
base64_decode,eval()ogzinflate()al inicio de archivos PHP
3. Escanea con un plugin si usas WordPress
Si tu sitio corre sobre WordPress, instala Wordfence Security o MalCare. Ambos ofrecen escaneo gratuito y señalan exactamente qué archivos están comprometidos.
4. Revisa la base de datos
El malware también puede inyectarse en la base de datos. Exporta un volcado SQL y busca cadenas sospechosas como <script src="http://, eval(base64 o URLs de dominios desconocidos dentro de publicaciones o widgets.
Cómo eliminar el malware
Opción A: Restaurar desde copia de seguridad limpia
Si tienes un backup reciente anterior a la infección, esta es la opción más rápida y segura. Restaura los archivos y la base de datos, luego actualiza inmediatamente todos los plugins, temas y el CMS antes de volver a poner el sitio en línea.
Opción B: Limpieza manual
Si no tienes backup o el backup también está infectado, sigue este orden:
- Pon el sitio en modo mantenimiento para proteger a tus visitantes.
- Descarga una copia limpia del CMS desde el sitio oficial y reemplaza los archivos del núcleo.
- Descarga copias limpias de cada plugin y tema desde sus fuentes oficiales.
- Elimina manualmente los archivos PHP inyectados que encontraste en el escaneo.
- Limpia la base de datos eliminando o corrigiendo las filas con código malicioso.
- Cambia todas las contraseñas: panel de control, FTP, base de datos, correo y cuenta de administrador del CMS.
Opción C: Servicio de limpieza profesional
Si la infección es compleja o el sitio es crítico para tu negocio, considera contratar un servicio de limpieza como el que ofrece Sucuri o un agencia especializada. El costo suele valer la certeza de una limpieza completa.
Después de la limpieza: prevención
Eliminar el malware es solo el primer paso. Si no corriges las vulnerabilidades que permitieron la entrada, volverás a infectarte en días o semanas.
- Actualiza el CMS, plugins y temas en cuanto salgan nuevas versiones.
- Activa la autenticación de dos factores en el panel de administración.
- Ajusta los permisos de archivos: carpetas a
755, archivos a644. - Instala un firewall de aplicación web (WAF), como el de Cloudflare en su plan gratuito.
- Configura backups automáticos diarios y verifica periódicamente que funcionen.
- Usa contraseñas únicas y largas para cada acceso; guárdalas en un gestor de contraseñas.
Si quieres profundizar en más temas de seguridad y comparativas de herramientas para proteger tu presencia en línea, visita nuestra sección de comparativas de hosting y seguridad web.
Contar con un proveedor de hosting que tome la seguridad en serio hace una diferencia enorme. En elenlace.com encontrarás planes de alojamiento con backups diarios, monitoreo de malware y soporte técnico en español para ayudarte ante cualquier incidente.
Conclusiones clave
- El hosting compartido es vulnerable principalmente por código desactualizado y contraseñas débiles, no solo por culpa de los vecinos de servidor.
- Las señales más claras de infección son redirecciones extrañas, advertencias de Google y archivos PHP desconocidos en el servidor.
- Empieza siempre con un escaneo externo (Sucuri SiteCheck, VirusTotal) antes de acceder a los archivos.
- La forma más rápida de limpiar es restaurar un backup limpio y actualizar todo inmediatamente después.
- Sin corrección de vulnerabilidades, la reinfección es cuestión de tiempo.
¿Sospechas que tu sitio está infectado o quieres blindarlo antes de que ocurra un incidente? Contacta al equipo de elenlace.com y te ayudamos a hacer una auditoría de seguridad y migrar a un hosting más seguro si es necesario.
Preguntas frecuentes
¿El malware en mi sitio puede afectar a mis visitantes?
Sí. Dependiendo del tipo de malware, tus visitantes pueden ser redirigidos a sitios fraudulentos, ver publicidad invasiva no autorizada o incluso descargar archivos maliciosos sin saberlo. Por eso es urgente actuar en cuanto detectas la infección.
¿Cuánto tiempo tarda Google en retirar la advertencia una vez limpio el sitio?
Después de limpiar el sitio debes solicitar una revisión en Google Search Console (sección "Problemas de seguridad"). Google suele revisar en un plazo de 1 a 3 días hábiles y, si todo está limpio, retira la advertencia.
¿Debo avisar a mis usuarios si mi sitio fue infectado?
Si el sitio recopiló datos de usuarios (correos, contraseñas, pagos) y esos datos pudieron haberse expuesto, la respuesta es sí, y en muchos países es una obligación legal. Consulta con un asesor legal según tu jurisdicción.
¿Un certificado SSL protege contra malware?
No. El SSL cifra la comunicación entre el navegador y el servidor, pero no protege el código de tu sitio web. Un sitio con HTTPS puede estar perfectamente infectado con malware. Son capas de seguridad independientes.
Para saber más
Otros proveedores y guías que vale la pena comparar:
