Qué hacer si hackearon mi página web

Abres tu página y ves algo raro: un texto en otro idioma, una redirección a un casino, un aviso rojo de Google que dice "sitio peligroso". O un cliente te escribe porque tu página le abrió algo extraño. Es una situación angustiante, pero tiene solución. Aquí te contamos qué hacer si hackearon mi página web, en orden, para contener el daño y recuperarla.

Primero: ¿de verdad la hackearon?

Estas son las señales más comunes:

Aparecen páginas o textos que no escribiste, muchas veces en otros idiomas o con enlaces a apuestas, farmacias o contenido para adultos.
La página redirige a otro sitio, sobre todo cuando entras desde el celular o desde Google.
Google muestra una advertencia de sitio peligroso o "este sitio puede haber sido hackeado".
Search Console te envía un aviso de problemas de seguridad o de una acción manual.
Hay usuarios administradores que no reconoces.
Tu hosting te avisa de archivos sospechosos o de un consumo de recursos fuera de lo normal.
Tus correos empiezan a llegar a spam o recibes rebotes de correos que no enviaste.

Una búsqueda útil: escribe site:tudominio.com en Google y revisa si aparecen páginas que no son tuyas.

Los primeros pasos, en orden

1. No entres en pánico ni borres todo

Borrar sin entender qué pasó puede eliminar las pistas para saber por dónde entraron, y el problema puede volver.

2. Cambia las contraseñas, desde un equipo limpio

Cambia, en este orden: la cuenta del hosting, el acceso al panel de tu página, las cuentas FTP o de archivos, la base de datos si la hay, el correo y el registrador del dominio. Usa contraseñas nuevas y distintas para cada una.

3. Activa la verificación en dos pasos

En todas las cuentas que la permitan. Te explicamos cómo en verificación en dos pasos para tu negocio.

4. Avísale a tu hosting

Muchos proveedores tienen herramientas de escaneo, copias de seguridad propias y equipos de soporte que saben qué hacer. Pregúntales si detectaron archivos modificados y desde cuándo.

5. Pon la página en mantenimiento si hace daño a tus visitantes

Si la página redirige a estafas o descarga archivos, es mejor mostrar temporalmente una página de mantenimiento mientras la limpias.

Cómo limpiar la página

Restaura una copia de seguridad limpia, de una fecha anterior al hackeo. Es la forma más rápida y segura. Te contamos cómo tenerlas en copias de seguridad de tu página web.
Si tu página está en WordPress: actualiza el sistema, el tema y todos los plugins; borra los que no uses; revisa los usuarios administradores; y pídele a tu hosting que actualice la versión de PHP. Lo explicamos en cómo mantener tu página en WordPress segura.
Si no tienes copia, hay que revisar archivo por archivo o reconstruir el sitio. En ese caso conviene que lo haga un profesional.

Avísale a Google

Si Google marcó tu sitio como peligroso:

Entra a Search Console, a la sección de problemas de seguridad.
Revisa qué detectó Google.
Cuando la página esté limpia, solicita una revisión.

La advertencia suele quitarse después de que Google confirma que el problema se resolvió. Te explicamos cómo usar la herramienta en Google Search Console para principiantes.

Avisa a tus clientes si hace falta

Si la página pudo haber afectado a tus visitantes, por ejemplo con un formulario falso que pedía datos, avísales por tus canales oficiales y recomiéndales cambiar sus contraseñas. La transparencia protege tu reputación.

Cómo evitar que vuelva a pasar

Mantén todo actualizado, si tu página usa un gestor como WordPress.
Usa contraseñas únicas y verificación en dos pasos en todas las cuentas.
Ten copias de seguridad automáticas, fuera del mismo servidor.
Reduce lo que se puede atacar: menos plugins, menos usuarios con permisos, menos servicios expuestos.
Considera una página estática si no necesitas editarla a diario: no tiene base de datos, plugins ni panel expuesto. Lo explicamos en seguridad de un sitio web estático.

Preguntas frecuentes

¿Qué hacer si hackearon mi página web?

Confirma las señales, cambia todas las contraseñas desde un equipo limpio, activa la verificación en dos pasos, avísale a tu hosting, restaura una copia limpia y solicita una revisión en Search Console.

¿Cuánto tarda Google en quitar la advertencia de sitio peligroso?

Después de limpiar la página y solicitar la revisión en Search Console, Google suele revisarla en unos días.

¿Perderé mi posicionamiento?

Puede bajar mientras el sitio está comprometido, sobre todo si Google lo marca como peligroso. Al limpiarlo y quitar la advertencia, normalmente se recupera con el tiempo.

¿Cómo entraron a mi página?

Las causas más comunes son plugins o temas desactualizados, contraseñas débiles o repetidas, y fallas en el software del servidor. Tu hosting puede ayudarte a revisar los registros.

¿Debo pagarle a alguien que ofrece rescatar mi página?

Desconfía de quien te contacta sin que lo hayas buscado. Acude a tu hosting o a un profesional de confianza.

Conclusión

Si te preguntas qué hacer si hackearon mi página web, la clave es el orden: confirmar, cambiar contraseñas, proteger las cuentas, limpiar con una copia de seguridad y avisarle a Google. Y después, cerrar las puertas por donde entraron.

Si necesitas ayuda para recuperar tu página o quieres una más segura por diseño, escríbenos.

Qué hacer si hackearon mi página web: los primeros pasos