Casi ningún sitio pequeño se cae por un ataque dirigido. Se cae por robots que recorren internet probando puertas conocidas, y entran por una de cuatro. Esta guía va sobre esas cuatro puertas y cómo se cierran, porque limpiar un sitio infectado cuesta días y prevenirlo cuesta una tarde.

Puerta 1: plugins y temas piratas

Es, de lejos, la causa número uno. Un tema premium descargado gratis de un sitio de terceros trae, casi sin excepción, código añadido: puertas traseras que dejan al atacante volver a entrar aunque cambies todas las contraseñas.

Lo peor es que funcionan perfectamente. El sitio se ve bien, el tema hace lo que promete, y el problema aparece meses después, cuando esa puerta se usa para enviar spam desde tu dominio o para inyectar enlaces ocultos.

Qué hacer: instala sólo desde el repositorio oficial de WordPress o comprando la licencia. Si heredaste un sitio y no sabes de dónde salió el tema, asume que hay que revisarlo.

Puerta 2: versiones viejas

Cuando se publica un fallo de seguridad en un plugin popular, en cuestión de horas hay robots recorriendo internet buscando sitios que aún no lo hayan parcheado. No es personal: es una lista.

Mantener WordPress, el tema y los plugins al día es la medida más aburrida y la que más ataques evita. Activa las actualizaciones automáticas al menos para los plugins, y revisa el panel una vez por semana. Y desinstala lo que no uses: un plugin desactivado sigue siendo código en el servidor y sigue siendo vulnerable.

Puerta 3: contraseñas de correo débiles

Esta es la que más daño colateral hace, y la que menos gente ve venir. Un buzón con una contraseña como ventas2024 se descubre por fuerza bruta en minutos. A partir de ahí, la cadena es siempre igual:

1. Alguien entra a tu casilla y empieza a enviar spam desde ella.
2. Los servidores de destino marcan tu dominio, y después la dirección IP del servidor.
3. De golpe tus correos legítimos empiezan a rebotar, incluso los que mandas a un cliente de toda la vida.

La señal de una cuenta comprometida casi nunca es un aviso: es que el correo deja de llegar. Si eso te pasa de un día para otro sin haber cambiado nada, avísanos de inmediato.

Qué hacer: usa el generador de contraseñas de cPanel al crear cada casilla, guárdalas en un gestor de contraseñas, y cambia las de cualquier empleado que se vaya. Nunca reutilices la contraseña del correo en otros servicios.

Puerta 4: accesos compartidos que nadie revoca

El desarrollador que hizo la web hace tres años probablemente sigue teniendo tu acceso de cPanel. La agencia que hizo la campaña también. Y esas credenciales están en el historial de algún WhatsApp.

Qué hacer: no compartas el acceso principal. Cuando alguien externo necesite trabajar en el sitio, créale un usuario propio de WordPress con el rol mínimo necesario, o pídenos un acceso separado de cPanel. Cuando termine, se revoca ese acceso y listo: no hay que cambiar nada más.

Lo que ya está puesto de nuestro lado

El servidor donde vive tu cuenta tiene protección perimetral activa: filtrado de tráfico malicioso, detección de intentos de fuerza bruta y análisis de archivos. Eso frena la mayor parte del ruido automático antes de que llegue a tu sitio.

Pero conviene entender el límite: esa protección no puede distinguir entre tú instalando un plugin y tú instalando un plugin con puerta trasera. Lo que entra con tu permiso, entra. Por eso las cuatro puertas de arriba dependen de decisiones tuyas, no de la infraestructura.

Las señales de que algo ya pasó

• Tu correo empieza a rebotar sin motivo aparente.
• El navegador o Google marcan tu sitio como peligroso.
• Aparecen entradas, páginas o usuarios administradores que nadie creó.
• El sitio redirige a otra página, pero sólo desde el celular o sólo llegando desde Google.
• El uso de disco o de recursos se dispara sin explicación.

Ante cualquiera de estas, no empieces a borrar archivos: escríbenos. Borrar a ciegas suele destruir la evidencia de por dónde entraron y garantiza que vuelvan.