Mi WordPress redirige a otra web: cómo encontrar y quitar la redirección

Entras a tu página y, en lugar de tu web, te lleva a otra: un casino, una tienda falsa, un aviso de «ganaste un premio» o una página que pide instalar algo. O peor: a ti te carga bien, pero tus clientes te dicen que los manda a otro sitio. Si tu WordPress redirige a otra web, lo más urgente es confirmar qué pasa y frenarlo, porque cada visita que se pierde es un cliente que ve algo que no eres tú, y Google puede marcar tu sitio como peligroso. En esta guía te explico cómo saber si es un hackeo, dónde puede esconderse la redirección y qué hacer paso a paso.

Por qué tu WordPress redirige a otra web

Hay causas que no son un ataque, y conviene descartarlas primero:

• Un ajuste mal configurado. Si en Ajustes → Generales la Dirección de WordPress (URL) o la Dirección del sitio (URL) tienen otro dominio, WordPress manda ahí a tus visitantes.
• Una regla de redirección olvidada en un plugin de redirecciones o en el archivo .htaccess, por ejemplo de una mudanza antigua.
• El dominio venció o se cambiaron sus DNS, y lo que se ve es una página del registrador o de otra empresa.
• El problema está en el dispositivo de quien visita, no en tu web: una extensión del navegador o un programa no deseado en esa computadora. Si solo le pasa a una persona y en todos los sitios que visita, probablemente es eso.

Si nada de eso explica lo que ves, y sobre todo si la redirección lleva a sitios de apuestas, contenido para adultos, premios falsos o descargas, es señal de que alguien metió código en tu web. Algunas redirecciones maliciosas se esconden: solo se activan en celulares, solo para quien llega desde Google, o solo la primera vez, y no al administrador conectado. Por eso a ti te puede cargar bien.

Primero: confirma la redirección

• Prueba como un visitante cualquiera: en una ventana de incógnito, desde el celular con datos móviles y entrando a tu web desde un resultado de Google, no escribiendo la dirección.
• Revisa Google Search Console, en Seguridad y acciones manuales → Problemas de seguridad. Si Google detectó contenido malicioso, lo dice ahí.
• Consulta el estado de tu dominio en «Estado del sitio» del Informe de transparencia de Google (transparencyreport.google.com/safe-browsing/search), que indica si tu web está marcada como peligrosa.
• Anota adónde te lleva, con la dirección completa y la hora. Te servirá para buscar el código.

Antes de tocar nada

• Haz una copia completa de archivos y base de datos tal como están, aunque estén infectados. Si algo sale mal al limpiar, puedes volver atrás, y sirve para saber por dónde entraron.
• Si tu hosting ofrece copias de antes del problema, pregunta de qué fecha son: restaurar una copia limpia puede ser lo más rápido, pero si no cierras la puerta por la que entraron, vuelve a pasar.

Cómo encontrar y quitar la redirección, paso a paso

1. Revisa las direcciones del sitio

En Ajustes → Generales, o en phpMyAdmin en la tabla de opciones (wp_options, valores siteurl y home), comprueba que las dos direcciones sean las de tu web. Mira también wp-config.php: si tiene WP_HOME o WP_SITEURL con otro dominio, ese valor manda.

2. Revisa el archivo .htaccess

Ábrelo en el administrador de archivos del hosting (activa la opción de ver archivos ocultos). Busca reglas que manden a un dominio que no es el tuyo, sobre todo líneas con RewriteRule o Redirect que contengan otra dirección, o que miren de dónde viene la visita (HTTP_REFERER) o si es un celular (HTTP_USER_AGENT). Si no reconoces una regla que manda a otro dominio, cópiala aparte y quítala. Revisa también si hay archivos .htaccess en otras carpetas, como wp-content/uploads, pero no borres las reglas que solo bloquean el acceso (deny, Require all denied): suelen ser de tus propios plugins, como WooCommerce o el de seguridad, y protegen archivos privados.

3. Busca administradores que no conoces

En Usuarios, filtra por Administrador. Si hay alguno que nadie creó, anota su nombre y su correo, y elimínalo: al hacerlo, WordPress te pregunta qué hacer con su contenido, borrarlo o atribuirlo a otro usuario. Lo que haya creado conviene revisarlo antes de conservarlo. Si no puedes entrar al panel, mira qué hacer cuando no puedes entrar a wp-admin.

4. Analiza la web con un plugin de seguridad

Wordfence compara los archivos del núcleo, los plugins y el tema con los originales y avisa de los modificados o con código malicioso conocido. Sucuri Security revisa los archivos del núcleo y analiza tu web desde fuera. Ninguno es infalible, pero te dicen por dónde empezar.

5. Reemplaza los archivos por copias limpias

• Núcleo de WordPress: descarga la misma versión desde wordpress.org y sustituye las carpetas wp-admin y wp-includes y los archivos de la raíz, salvo wp-config.php y la carpeta wp-content.
• Plugins y tema: sustituye sus carpetas por FTP o desde el administrador de archivos con copias limpias de la misma versión, descargadas de wordpress.org o de la web del fabricante. No uses las opciones de borrar y reinstalar del panel: pueden borrar los ajustes del plugin. Si tu tema es un tema hijo o hecho a medida, no se reinstala: hay que revisarlo a mano. Y si tienes un plugin o tema descargado de un sitio no oficial, esa puede ser la puerta por la que entraron: no lo reinstales.
• wp-config.php y wp-content/uploads: revísalos a mano. En uploads no debería haber archivos .php con código (algunos plugins dejan un index.php vacío): si los hay, es una señal de alerta, revísalos antes de borrar nada.

6. Busca código inyectado en la base de datos

Algunas redirecciones viven en el contenido, no en los archivos: un trozo de <script> metido en entradas, páginas, widgets u opciones. Con una copia de la base hecha, busca en phpMyAdmin la palabra <script y el dominio adonde te redirige, en las tablas de entradas (wp_posts) y de opciones (wp_options). Borra solo lo que reconozcas como malicioso.

7. Cierra la puerta: contraseñas y actualizaciones

Cuando la web esté limpia, cambia todas las contraseñas: las de los administradores de WordPress, la del hosting y FTP, y la del usuario de la base de datos (y ponla igual en wp-config.php). Cambia también las claves de seguridad de wp-config.php con el generador oficial de WordPress (api.wordpress.org/secret-key/1.1/salt/): así se cierran todas las sesiones abiertas. Después actualiza WordPress, el tema y todos los plugins, y borra los que no uses.

8. Si Google marcó tu web, pide una revisión

Si en Search Console aparecía un problema de seguridad, cuando la web esté limpia usa la opción Solicitar revisión de ese mismo informe y explica qué limpiaste. Google revisa el sitio, lo que según Google puede tardar entre unos días y unas semanas, y si está limpio, quita la advertencia.

Cómo evitar que vuelva a pasar

• Mantén todo actualizado: WordPress, el tema y los plugins.
• Instala solo desde fuentes oficiales, nunca versiones «gratis» de plugins de pago.
• Contraseñas únicas y verificación en dos pasos en los administradores.
• Copias de seguridad automáticas guardadas fuera del servidor.
• Revisa también cómo proteger tu WordPress de hackers.

Preguntas frecuentes

¿Por qué a mí me carga bien y a mis clientes no?

Porque algunas redirecciones maliciosas no se activan para el administrador conectado, ni en computadora, ni cuando escribes la dirección a mano. Pruébalo en incógnito, desde el celular y llegando desde Google.

¿Basta con restaurar una copia de seguridad?

Puede quitar el síntoma, pero si no cambias las contraseñas ni actualizas lo que permitió la entrada, la infección puede volver. Restaurar es el primer paso, no el último.

¿Google me va a quitar de los resultados?

Si detecta la redirección, puede mostrar una advertencia a quien intente entrar. Al limpiarla y pedir la revisión (paso 8), la advertencia se retira cuando Google confirma que está limpia.

¿Cómo sé si además me robaron información?

Revisa la guía de cómo saber si tu WordPress fue hackeado y qué hacer. Si tienes tienda o formularios con datos de clientes, conviene una revisión a fondo.

En resumen

Si tu WordPress redirige a otra web, descarta primero un ajuste mal puesto, una regla olvidada o un dominio vencido. Si la redirección lleva a sitios sospechosos, trátalo como un hackeo: haz una copia, revisa las direcciones y el .htaccess, elimina administradores desconocidos, reemplaza los archivos por copias limpias, busca código en la base de datos, cambia todas las contraseñas y, si Google te marcó, pide la revisión.

¿Tu web redirige a otro sitio y necesitas frenarlo ya? Me encargo del rescate de tu WordPress hackeado: diagnóstico gratis, precio cerrado antes de empezar, limpieza normalmente en 48 a 72 horas y 30 días de monitoreo. O escríbeme por WhatsApp y cuéntame qué pasó.