Abre su página y sale publicidad de casinos. O lo manda a otro sitio. O Google le pone enfrente una pantalla roja que dice que el sitio es peligroso. Y lo primero que uno teclea es: «me hackearon la página web, ¿qué hago?».
Tiene arreglo, pero hay que hacerlo en orden. Aquí está qué revisar, qué hacer en las primeras 24 horas, cómo se quita el aviso de Google y en qué momento conviene llamar a alguien.
Cómo saber si de verdad le hackearon la página web
No toda página caída está hackeada. Estas son las señales claras, según la guía oficial de WordPress y la de Google:
- Google o el navegador muestran un aviso de sitio peligroso o engañoso antes de dejar entrar.
- La página redirige a otro sitio, a veces solo cuando se entra desde el celular o desde Google.
- Aparecen páginas o textos que usted no puso: casinos, productos que no vende, texto en otro idioma.
- Hay usuarios administradores que nadie creó.
- El hosting le suspendió el sitio.
- Un cliente le dice que su antivirus bloqueó la página.
Antes de asustarse, descarte lo simple. Un dominio vencido, un hosting sin pagar o un certificado vencido también tumban una página, y no son un hackeo. Nuestra auditoría web gratis revisa la portada en segundos: si carga con candado y si redirige bien. Ojo: no detecta virus ni código malicioso. Solo le ayuda a descartar lo básico.
Qué hacer en las primeras 24 horas, en orden
- Anote lo que ve. Capturas de pantalla, la hora y lo último que se cambió en el sitio. Le va a servir a quien lo ayude.
- Avise al hosting, la empresa donde está alojada la página. Ellos pueden confirmar si es un hackeo o una simple caída, y si afectó a otros sitios del mismo servidor.
- Ponga la página en mantenimiento. Google recomienda sacar el sitio de línea mientras se limpia, para que no siga afectando a quien entra. Pídaselo al soporte del hosting.
- Cambie todas las contraseñas: panel del hosting, acceso a los archivos (FTP), base de datos, administradores del sitio y correo. Largas y distintas entre sí. Hágalo desde una computadora a la que ya le pasó el antivirus, porque a veces el robo de la clave empezó ahí.
- Revise los usuarios. Borre toda cuenta que nadie del negocio reconozca.
- Saque un respaldo de cómo está hoy, aunque esté infectado. Si algo sale mal en la limpieza, tiene de dónde volver. Y pregunte al hosting qué respaldos anteriores guarda.
- Restaure o limpie. Si hay un respaldo de antes del hackeo, restaurarlo es el camino más corto. Si no hay, toca limpiar los archivos, que es la parte difícil.
- Actualice todo y cambie las contraseñas otra vez. La guía de WordPress insiste en esto: las claves se cambian de nuevo cuando el sitio ya está limpio.
Un detalle: restaurar un respaldo devuelve la página, pero no cierra el hueco por donde entraron. Si después no se actualiza, vuelve a pasar.
Si su sitio WordPress fue hackeado
Muchas páginas de negocio están hechas en WordPress, y su documentación oficial tiene una guía para este caso. Lo principal:
- Escanear el sitio con un complemento de seguridad y con un escáner externo. Ninguno encuentra todo, por eso se usan los dos.
- Reemplazar los archivos del sistema (las carpetas wp-admin y wp-includes) por copias limpias de la misma versión.
- Revisar el archivo .htaccess, que es de los que más se usan para esconder cosas, y los archivos del tema.
- Cambiar las claves secretas del archivo de configuración, para cerrarle la sesión a cualquiera que siga adentro.
- Actualizar WordPress, el tema y los complementos.
Limpiar un WordPress hackeado se puede hacer sin ser programador, pero hay que saber moverse en los archivos del servidor. Si eso le suena a chino, este es el punto donde conviene pedir ayuda.
Mi página aparece como peligrosa: cómo se quita el aviso de Google
El aviso no se compra ni se negocia. Se quita limpiando el sitio y pidiéndole a Google que lo revise. Se hace en Google Search Console, la herramienta de Google para dueños de sitios:
- Verifique su sitio en Search Console, si nunca lo hizo.
- Abra el informe «Problemas de seguridad». Ahí Google dice qué encontró (contenido hackeado, software malicioso o engaño a los visitantes) y da páginas de ejemplo.
- Corrija el problema en todo el sitio, no solo en los ejemplos, y vuelva a poner la página en línea.
- Toque «Solicitar revisión» y explique tres cosas: cuál era el problema, qué hizo para arreglarlo y cómo quedó.
- Espere el correo de Google con el resultado.
¿Cuánto tarda? Según la guía de Google para sitios hackeados, alrededor de un día si era una página de engaño (phishing), unos días si era software malicioso y hasta varias semanas si era contenido basura metido en su sitio. Cuando la revisión se aprueba, los avisos se quitan en un plazo de 72 horas. Esos plazos los pone Google y pueden cambiar.
No pida la revisión antes de limpiar. Google advierte que eso atrasa la respuesta de la siguiente solicitud.
Qué puede hacer usted solo y cuándo llamar a alguien
| Tarea | ¿La puede hacer el dueño? |
|---|---|
| Avisar al hosting, cambiar contraseñas, borrar usuarios extraños | Sí, hoy mismo |
| Restaurar un respaldo limpio | Muchas veces sí, con el soporte del hosting |
| Limpiar archivos infectados y encontrar por dónde entraron | Pide a alguien técnico |
| Pedir la revisión a Google | Sí, cuando el sitio ya esté limpio |
Siendo honestos: si su hosting tiene un respaldo limpio y le ayuda a restaurarlo, puede que no ocupe contratar a nadie.
Llame a alguien cuando no hay respaldo, cuando la página se vuelve a infectar a los pocos días, cuando no logra entrar al panel o cuando el sitio es una tienda que guarda datos de clientes. En ese último caso, consulte además con un abogado qué le corresponde avisarles.
Cómo proteger su página web de hackers para que no se repita
Casi nunca lo eligieron a usted. Son programas automáticos que recorren internet buscando versiones viejas con huecos ya conocidos. Lo que cierra la puerta es rutina:
- Actualizaciones al día de la plataforma, el tema y los complementos.
- Respaldos automáticos, guardados fuera del servidor y probados. Uno que nadie ha restaurado puede salir incompleto el día que se ocupa.
- Contraseñas largas y únicas, con verificación en dos pasos.
- Pocos administradores, cada uno con su propia cuenta.
- Search Console activo desde ya. Google recomienda registrar el sitio antes de que haya problemas, para recibir las alertas.
- Alguien que revise que la página sigue arriba.
Por qué un hackeo también le bota el posicionamiento está en seguridad web y SEO. Y para el resto del negocio (correo, WhatsApp, banco) están las medidas de ciberseguridad para PYMES en Costa Rica.
Cómo le ayudamos
En mantenimiento web cuidamos también páginas hechas por otros. Primero la revisamos para ver en qué estado está y con qué fue construida, y si encontramos algo grave se lo decimos antes de cobrarle un mes. Hay planes desde $38 al mes que, según el plan, cubren actualizaciones, respaldos, monitoreo y revisión de seguridad.
La limpieza de un sitio que ya está hackeado se cotiza según el caso. Y si la página está tan vieja que no vale la pena rescatarla, se lo decimos claro: una página web nueva arranca desde $499 y queda lista en 3 a 7 días hábiles.