¿Me han hackeado la web?

¿Crees que han hackeado tu web? Empieza aquí.

Haz un análisis gratuito de las debilidades que usan los atacantes para entrar y después repasa las señales y los pasos de abajo. Mantén la calma: la mayoría de los sitios pequeños hackeados se pueden limpiar y reforzar en un día.

Análisis pasivo. Nada se ataca sin tu permiso.

Señales habituales

  • Los visitantes, a menudo solo en el móvil o los que llegan desde Google, son redirigidos a sitios de spam o estafas.
  • Un CAPTCHA falso de “verifica que eres humano” pide a los visitantes que peguen un comando (un ataque “ClickFix”).
  • Google muestra “Es posible que este sitio haya sido hackeado” o Chrome muestra un aviso rojo.
  • Aparecen páginas que nunca escribiste al buscar site:yourdomain.com, a menudo en otros idiomas.
  • Nuevos usuarios administradores, plugins desconocidos o archivos PHP dentro de wp-content/uploads.
  • Tu hosting suspende la cuenta o tus correos empiezan a rebotar como spam.

Comprueba lo que ve Google

Qué encuentra nuestro análisis

El análisis gratuito muestra las puertas abiertas: software desactualizado, plugins con vulnerabilidades conocidas, protecciones que faltan. Cuando verificas la propiedad, el análisis profundo busca código inyectado (páginas de CAPTCHA falso / ClickFix, scripts cargados desde blockchains, scripts de pago desconocidos) y archivos expuestos.

Si te han hackeado: primeros pasos

  1. Haz una copia de seguridad completa (archivos y base de datos) antes de cambiar nada, para conservar las pruebas.
  2. Cambia todas las contraseñas: hosting, FTP/SFTP, base de datos, administradores de WordPress, correo.
  3. Sigue la guía de limpieza de WordPress o pide a tu hosting una limpieza de malware.
  4. Cierra la puerta de entrada: actualiza todo y elimina los plugins y temas que no uses.
  5. Solicita una revisión en Search Console cuando esté limpio.

Preguntas frecuentes

¿Puede un análisis online gratuito decirme si han hackeado mi sitio?

Puede mostrar señales de alerta y las debilidades que llevan a un hackeo. Ningún escáner remoto puede ver todos los archivos de tu servidor, por eso combinamos el análisis con las comprobaciones manuales de esta página.

¿Por qué solo algunos visitantes ven la redirección?

El malware suele esconderse de los administradores con sesión iniciada y mostrarse solo a visitantes en el móvil o que llegan desde un buscador, para pasar desapercibido.

¿Es peligroso un CAPTCHA falso en mi sitio?

Sí. Estos avisos de “pega este comando” engañan a los visitantes para que ejecuten malware en sus propios ordenadores. Desconecta el sitio o ponlo en modo mantenimiento y límpialo de inmediato.

Guías con soluciones para copiar y pegar

Guía

¿Han hackeado tu WordPress?

Las señales de un WordPress hackeado, cómo confirmarlo con las sumas de verificación de WP-CLI y una lista de limpieza: usuarios, archivos, claves, actualizaciones y una revisión de Google.

Guía

Refuerzo de WordPress

Una lista práctica para reforzar WordPress con fragmentos para copiar y pegar: bloquear XML-RPC, ocultar nombres de usuario, desactivar el editor de archivos, proteger wp-config.php y frenar el PHP en uploads.

Guía

Archivos .git, .env y copias expuestos

Los archivos .env, las carpetas .git y las copias de bases de datos filtrados entregan tus contraseñas a los atacantes. Comprueba si los tuyos son públicos, bloquéalos en nginx o Apache y cambia los secretos.

Guía

Plugins de WordPress desactualizados

Encuentra plugins y temas de WordPress desactualizados y vulnerables: la pantalla de actualizaciones, comandos de WP-CLI, bases de datos públicas de vulnerabilidades, plugins cerrados y actualizaciones automáticas seguras.

Más análisis gratuitos

Gratis · Al instante · Sin registro

Conoce tu nota antes que nadie.

Análisis pasivo. Nada se ataca sin tu permiso.

Empieza gratis. Planes de pago desde 12 $ al mes, o un informe único por 29 $. Ver precios