Si tu sitio web muestra anuncios extraños, redirige a páginas desconocidas o Google lo marca como peligroso, probablemente tienes malware. La buena noticia es que, en la mayoría de los casos, puedes detectarlo y eliminarlo sin perder tu sitio.
¿Cómo saber si tu sitio tiene malware?
Antes de limpiar, necesitas confirmar la infección. Las señales más comunes son:
- Redirecciones inesperadas: los visitantes llegan a páginas de spam o adultos sin haberlas buscado.
- Advertencia de Google: el buscador muestra "Este sitio puede dañar tu computadora" o lo bloquea en el Safe Browsing.
- Anuncios o popups no autorizados: aparece publicidad que tú no instalaste.
- El hosting suspende tu cuenta por actividad maliciosa o envío masivo de correo.
- Cambios inexplicables: aparecen páginas, usuarios o archivos que nadie creó.
- Velocidad caída a la mitad sin cambios recientes en el servidor.
Si reconoces dos o más de estos síntomas, actúa de inmediato. Cada hora de espera puede empeorar el SEO, la reputación y la seguridad de tus usuarios.
Herramientas gratuitas para escanear malware
Antes de tocar archivos, usa un escáner externo para tener evidencia objetiva:
- Google Search Console → Seguridad y acciones manuales: muestra si Google ya detectó código malicioso en tus páginas.
- Sucuri SiteCheck (
sitecheck.sucuri.net): analiza el HTML público y lista scripts sospechosos, listas negras e iframe ocultos. - VirusTotal: ingresa la URL de tu sitio y cruza contra más de 70 motores de antivirus.
- MXToolbox Blacklist Check: verifica si tu dominio o IP está en listas negras de correo o navegadores.
Documenta los resultados antes de borrar cualquier cosa — te servirán para la solicitud de revisión a Google.
Pasos para eliminar el malware
1. Cambia todas las contraseñas
Antes de limpiar archivos, corta el acceso del atacante. Cambia la contraseña del panel de hosting, FTP/SFTP, base de datos y WordPress (o tu CMS). Usa contraseñas de al menos 16 caracteres con caracteres especiales.
2. Haz una copia de seguridad (aunque esté infectada)
Descarga un backup completo. Lo necesitarás para comparar archivos originales contra los alterados. No restaures este backup — solo úsalo como referencia.
3. Identifica los archivos modificados
En el gestor de archivos de tu hosting o vía FTP, ordena por fecha de modificación. Busca archivos cambiados en fechas que no reconoces. El malware suele ocultarse en:
index.php,wp-config.php,.htaccess- Carpetas de plugins o temas en WordPress
- Archivos con nombres aleatorios tipo
x7fk2.php
4. Limpia o reemplaza los archivos infectados
Si usas WordPress: descarga una copia limpia desde wordpress.org y reemplaza las carpetas wp-admin y wp-includes completas. Para temas y plugins, reinstálalos desde sus fuentes oficiales. Revisa manualmente los archivos de wp-content/uploads — los PHP ahí no tienen razón de existir.
Si usas otro CMS o sitio a medida, compara cada archivo sospechoso con el original del repositorio o backup limpio. Elimina o corrige las líneas con eval(base64_decode(...)) o $_POST/$_GET ejecutando código.
5. Limpia la base de datos
El malware a veces inyecta scripts en el contenido de la base de datos. Exporta un dump SQL y busca con un editor de texto cadenas como <script src=, eval( o URLs externas sospechosas en campos de texto. Corrígelas antes de reimportar.
6. Actualiza todo
CMS, plugins, temas y PHP deben estar en la última versión estable. La mayoría del malware entra por vulnerabilidades conocidas en versiones antiguas.
7. Solicita revisión a Google
En Google Search Console, ve a Seguridad y acciones manuales → Problemas de seguridad y solicita una revisión una vez que el sitio esté limpio. Google suele responder en 24-72 horas.
Cómo evitar que el malware regrese
- Firewall de aplicaciones web (WAF): filtra peticiones maliciosas antes de que lleguen a tu código.
- Copias de seguridad automáticas diarias: al menos 14 días de retención para poder restaurar a un punto limpio.
- Autenticación de dos factores (2FA) en el panel de hosting y el CMS.
- Permisos correctos: carpetas en 755, archivos en 644. Nunca 777 en producción.
- Monitoreo de integridad de archivos: plugins como Wordfence (WordPress) alertan cuando un archivo cambia sin que tú lo autorices.
- Hosting con aislamiento por cuenta: si un sitio vecino se infecta, no arrastra el tuyo.
La prevención cuesta mucho menos que la limpieza. Si quieres un hosting con copias automáticas, WAF incluido y soporte técnico en español, el equipo de elenlace.com puede asesorarte sin compromiso.
También puedes explorar más recursos sobre protección en nuestra categoría de seguridad SSL y web.
Conclusiones clave
- Las señales de malware incluyen redirecciones, advertencias de Google, popups no autorizados y suspensión del hosting.
- Usa Sucuri SiteCheck, VirusTotal y Google Search Console para confirmar la infección antes de actuar.
- Cambia todas las contraseñas primero, luego limpia archivos y base de datos.
- En WordPress: reemplaza núcleo, plugins y temas desde fuentes oficiales; nunca edites solo las líneas malas sin verificar el resto del archivo.
- Un WAF, backups diarios y 2FA son el trípode mínimo de prevención.
- Solicita revisión a Google Search Console después de limpiar para recuperar el ranking cuanto antes.
¿Tu sitio ya muestra señales de infección? No esperes más: contacta a elenlace.com y nuestro equipo te ayuda a diagnosticarlo y limpiarlo hoy mismo.
Preguntas frecuentes
¿Puedo limpiar el malware yo solo sin conocimientos técnicos?
En sitios WordPress con infecciones leves, sí: reinstala el núcleo y los plugins desde fuentes oficiales y cambia contraseñas. Para infecciones profundas en archivos de servidor o base de datos, lo más seguro es pedir ayuda a un profesional para no dejar rastros del código malicioso.
¿Cuánto tarda en volver el ranking en Google después de limpiar el sitio?
Una vez que Google aprueba tu solicitud de revisión en Search Console (24-72 horas promedio), las advertencias desaparecen en horas. La recuperación total del posicionamiento puede tomar de días a pocas semanas, dependiendo de cuánto tiempo estuvo activa la infección.
¿El malware puede infectar a los visitantes de mi sitio?
Sí. Algunos tipos de malware web intentan descargar archivos en el dispositivo del visitante o robar datos de formularios (ataques de tipo skimming). Por eso es urgente actuar en cuanto detectas la infección.
¿Restaurar un backup elimina el malware?
Solo si el backup es anterior a la fecha de infección. Si restauras un backup ya comprometido, el malware seguirá ahí. Por eso es importante tener al menos 14 días de retención de copias de seguridad.
Recursos útiles
Otros proveedores y guías que vale la pena comparar:
