Una web segura no depende solo del candado que ves en el navegador. Depende de que el gestor de contenido y sus complementos estén actualizados, de que existan copias de seguridad recientes y de que alguien revise el sitio con cierta frecuencia. Si notas algo raro, lo primero es confirmarlo rápido y actuar antes de que Google lo marque o tus clientes lo vean.
¿Qué señales indican que una web está hackeada?
Las señales más comunes son avisos del navegador o del antivirus al entrar al sitio, resultados de Google con títulos que no escribiste (apuestas, medicamentos o criptomonedas), redirecciones hacia otras páginas y cuentas de administrador que no reconoces. Muchos ataques no muestran nada visible en la portada. El atacante prefiere pasar desapercibido para usar el sitio en spam o páginas de phishing durante más tiempo.
¿Qué hacer primero si tu web está hackeada?
Cambia todas las contraseñas: panel del gestor de contenido, FTP, base de datos y cuenta de hosting. Después avisa a tu proveedor de hosting, porque muchos detectan y aíslan el ataque desde su lado. Actualiza el CMS, los complementos y el tema antes de limpiar nada, para cerrar la puerta que usó el atacante. Por último, restaura desde una copia de seguridad limpia y confirma que no queden archivos ni usuarios extraños.
Si no tienes experiencia técnica, pide ayuda a alguien de confianza en lugar de improvisar. Si todavía no tienes quien se ocupe de tu web, estas son algunas señales para elegir a quien te hace la web.
¿Por qué los complementos sin actualizar son la puerta de entrada más común?
Porque suelen tener vulnerabilidades conocidas y públicas, y los atacantes las prueban de forma automática en miles de sitios a la vez. En agosto de 2026 se descubrió una falla en el módulo de formularios de Elementor Pro (versiones hasta la 4.2.1) que permitía subir y ejecutar un archivo en el servidor sin iniciar sesión. Wordfence bloqueó más de 190.000 intentos de ataque apenas se conoció el fallo, según reportó SecurityWeek. El complemento tiene parche desde la versión 4.2.2, pero muchos sitios tardan semanas en actualizar, y en ese tiempo quedan expuestos.
¿Qué dice Search Console sobre la seguridad de un sitio?
Search Console tiene un informe llamado Problemas de seguridad, que avisa si Google detectó malware, páginas engañosas o contenido de phishing en tu web. Conviene revisar ese informe aunque no sospeches nada, junto con el Centro de mensajes, porque algunos avisos de phishing no aparecen ahí. Si tu sitio todavía no está dado de alta en Search Console, ese es el primer paso antes de cualquier otra medida.
¿Cómo evitar que vuelva a pasar?
Mantén el gestor de contenido, los complementos y el tema siempre actualizados, usa contraseñas distintas para cada acceso y activa la verificación en dos pasos donde se pueda. Guarda copias de seguridad automáticas en un lugar distinto al del propio hosting y limita los usuarios con permisos de administrador a los que realmente los necesitan.
Casi todo esto se resuelve con revisiones periódicas en lugar de reaccionar cuando ya pasó algo. Un mantenimiento web que incluya actualizaciones, copias de seguridad y monitoreo cubre la mayor parte del riesgo sin que tengas que estar pendiente todos los días. Y si el hosting donde vive tu web no ofrece firewall ni copias automáticas, vale la pena revisar las opciones de hosting web antes de que haga falta.
