---
title: "Cómo limpiar malware de WordPress: el proceso completo, paso a paso"
description: "Cómo limpiar malware de WordPress sin perder tu contenido y sin que vuelva: análisis, archivos modificados, escondites habituales, base de datos y cómo cerrar la puerta."
url: https://www.iniciatuweb.com/limpiar-malware-wordpress/
date: 2026-10-25
modified: 2026-10-26
author: "Antonio Gomes"
image: https://www.iniciatuweb.com/wp-content/uploads/2026/10/limpiar-malware-wordpress.png
categories: ["Guías"]
type: post
lang: es
---

# Cómo limpiar malware de WordPress: el proceso completo, paso a paso

Tu web se volvió lenta, aparecen anuncios o páginas que no creaste, tu hosting te avisa de archivos sospechosos o Google la marcó como peligrosa. Si sospechas que hay código malicioso, la pregunta es cómo limpiar malware de WordPress sin perder tu contenido y sin que vuelva a la semana. Se puede hacer, pero **hay que hacerlo completo**: el malware puede dejar más de una copia y una puerta trasera para volver a entrar, y si solo limpias lo que se ve, puede regresar. En esta guía te explico el proceso entero, paso a paso.

## Señales de que tu WordPress tiene malware

- La web **redirige a otros sitios** o muestra anuncios y ventanas que no pusiste (lo explico en [cómo quitar una redirección maliciosa](https://www.iniciatuweb.com/wordpress-redirige-a-otra-web/)).
- **Google o el navegador la marcan como peligrosa** (mira [qué hacer si Google marcó tu web como peligrosa](https://www.iniciatuweb.com/google-marco-mi-web-como-peligrosa/)).
- Aparecen en Google **páginas en otro idioma o de productos** que no vendes.
- Tu hosting te avisa de **archivos infectados**, de envío masivo de correos o de uso excesivo de recursos.
- Hay **administradores** que no creaste o archivos con nombres raros.
- Si no estás seguro de que sea un hackeo, repasa primero [cómo saber si tu WordPress fue hackeado](https://www.iniciatuweb.com/wordpress-hackeado-como-saber-que-hacer/).

## Antes de empezar

- **Haz una copia completa** de archivos y base de datos tal como están y **descárgala a tu computadora**: no la dejes dentro de la carpeta pública del sitio, donde cualquiera podría descargarla. Si algo sale mal, puedes volver atrás, y sirve para entender por dónde entraron.
- **Anota las versiones** de WordPress, del tema y de cada plugin: las vas a necesitar para descargar copias limpias idénticas.
- **Si tienes tienda o formularios con datos de clientes**, ten en cuenta que puede haber datos expuestos: además de limpiar, conviene revisar qué pudo verse.

## Cómo limpiar malware de WordPress, paso a paso

### 1. Analiza la web para saber dónde está

Instala un plugin de seguridad como Wordfence y ejecuta un análisis completo: compara el núcleo, y los plugins y temas de wordpress.org, con sus originales, y busca código malicioso conocido en el resto. Si tu hosting ofrece un antivirus en cPanel (por ejemplo, ImunifyAV), úsalo también. Ninguna herramienta lo encuentra todo, pero te dan el mapa.

### 2. Comprueba qué archivos de WordPress se modificaron

Si tu hosting tiene terminal con WP-CLI, estos dos comandos comparan tus archivos con los oficiales de wordpress.org y te dicen cuáles no coinciden:

```
wp core verify-checksums --include-root
wp plugin verify-checksums --all
```

El primero, con `--include-root`, también avisa de archivos de más en la carpeta raíz. El segundo solo funciona con plugins de wordpress.org; los de pago los revisas aparte. También ayuda ordenar los archivos por fecha de modificación en el administrador de archivos del hosting: los que cambiaron los días de la infección son los primeros sospechosos.

### 3. Cambia los archivos de WordPress por una instalación nueva

Aquí está la diferencia entre limpiar y tapar: no basta con subir los archivos nuevos encima de los viejos, porque lo que el atacante añadió dentro de esas carpetas se queda. Con la copia ya guardada, **borra** las carpetas *wp-admin* y *wp-includes* y sube las de una descarga nueva de wordpress.org, de la misma versión que tenías. Haz lo mismo con los archivos de WordPress de la raíz (*index.php* y los que empiezan por *wp-*), salvo `wp-config.php`, que se revisa a mano en el paso 5. Los demás archivos de la raíz, como *.htaccess* o *robots.txt*, no los borres: también se revisan en el paso 5.

### 4. Haz lo mismo con cada plugin y con el tema

Para cada plugin, borra su carpeta en *wp-content/plugins* y sube la de una copia oficial de la misma versión, desde wordpress.org o la web del fabricante; hazlo por FTP o con el administrador de archivos, no con las opciones de borrar del panel, que pueden eliminar los ajustes. Con el tema, igual, salvo que sea un tema hijo o hecho a medida: esos no tienen copia oficial y hay que revisarlos a mano, empezando por *functions.php*. Si tienes plugins o temas de pago descargados de sitios no oficiales, son un riesgo porque pueden traer código modificado: reemplázalos por la copia oficial del fabricante.

### 5. Revisa los escondites que más se pasan por alto

- ***wp-content/uploads*:** ahí debería haber sobre todo imágenes y documentos. Archivos *.php* con código son una señal de alerta (algunos plugins dejan un *index.php* vacío, que es normal).
- ***wp-content/mu-plugins*:** los plugins de esta carpeta se cargan solos y no aparecen en la lista normal de plugins (solo en la pestaña aparte «Imprescindibles»), así que uno infectado es más difícil de notar. Revisa qué hay y si tú lo instalaste.
- **`wp-config.php` y los archivos sueltos de *wp-content*** (como *advanced-cache.php* u *object-cache.php*, que se cargan solos): ábrelos y busca código añadido al principio o al final, sobre todo líneas largas e ilegibles.
- ***.htaccess*:** en la raíz y en otras carpetas, reglas que mandan a otros dominios.
- **Tareas programadas del hosting:** en cPanel, en *Cron Jobs* (*Trabajos de cron* si lo tienes en español), una tarea que no creaste puede volver a descargar el malware después de que limpias.

### 6. Limpia la base de datos

Los archivos nuevos no limpian la base de datos, que es donde vive tu contenido. Empieza por *Usuarios*: deja solo los administradores que conoces. Luego, en phpMyAdmin, mira las tablas de opciones y de entradas (por defecto *wp_options* y *wp_posts*, aunque el prefijo *wp_* puede ser otro) buscando la palabra `<script` y los dominios extraños que hayas visto. Borra solo lo que reconozcas como malicioso; si una fila no la entiendes, no la toques sin consultarlo.

### 7. Cierra todas las puertas

- **Contraseñas nuevas para todo:** administradores de WordPress, hosting y FTP, y el usuario de la base de datos; esta última escríbela también en `wp-config.php`, o la web dejará de conectarse.
- **Claves de seguridad nuevas** en `wp-config.php`, desde el generador oficial (*api.wordpress.org/secret-key/1.1/salt/*): cierran todas las sesiones abiertas, también la del atacante.
- **Todo actualizado:** WordPress, el tema y los plugins, y fuera los que no uses.
- **Sin editor de código en el panel:** añade en `wp-config.php` la línea `define( 'DISALLOW_FILE_EDIT', true );`. Si alguien vuelve a entrar al panel, no podrá cambiar el código desde ahí.

### 8. Comprueba y vigila

Vuelve a ejecutar el análisis del paso 1. Prueba la web en incógnito y desde el celular. Si Google la había marcado, pide la revisión en Search Console. Y durante las semanas siguientes revisa de vez en cuando el análisis de seguridad y la fecha de los archivos: si algo cambia sin que nadie lo haya tocado, la limpieza no fue completa.

## Cuándo conviene pedir ayuda

Si la infección vuelve después de limpiar, si tienes tienda con pagos o datos de clientes, si no encuentras el origen o si el hosting suspendió tu cuenta, lo más seguro es que lo revise alguien con experiencia: si el malware regresa, lo más probable es que quede una puerta trasera o una vía de entrada abierta.

## Cómo evitar que vuelva a pasar

La prevención es la misma que tras cualquier hackeo: pocos plugins y siempre actualizados, solo de fuentes oficiales, verificación en dos pasos en los administradores y copias de seguridad automáticas guardadas fuera del servidor. Lo detallo en [cómo proteger tu WordPress de hackers](https://www.iniciatuweb.com/como-proteger-tu-wordpress-de-hackers/).

## Preguntas frecuentes

### ¿Basta con un plugin de seguridad para limpiar la web?

Ayuda mucho a encontrar el malware, pero no siempre lo quita todo: las tareas programadas del hosting quedan fuera de WordPress y puede pasar por alto código nuevo. Úsalo como mapa y sigue los demás pasos.

### ¿Por qué el malware vuelve después de limpiarlo?

Porque quedó una puerta trasera (un archivo escondido, un administrador falso, una tarea programada) o porque no se cerró la vulnerabilidad por la que entraron, como un plugin desactualizado o una contraseña filtrada.

### ¿Puedo restaurar una copia de seguridad en vez de limpiar?

Sí, si tienes una copia de antes de la infección. Pero después hay que cambiar contraseñas y actualizar, o el atacante volverá a entrar por el mismo sitio.

### ¿Perderé mi contenido?

No debería, si haces la copia antes y limpias con cuidado: el contenido vive en la base de datos y en *uploads*, y lo que se reemplaza son los archivos de WordPress, del tema y de los plugins.

### ¿Tengo que avisar a la AEPD si me hackean la web?

Si tu empresa está en la Unión Europea (por ejemplo, en España o Portugal) y el ataque afectó a datos personales (por ejemplo, de clientes, pedidos o formularios), el responsable de esos datos, normalmente el dueño de la web, debe notificarlo a la autoridad de protección de datos competente (en España, por lo general la AEPD) sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, también hay que avisar a los afectados. Lo dicen los [artículos 33 y 34 del RGPD](https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807). Es información general, no asesoría legal: confírmalo con tu asesor.

## En resumen

Para limpiar malware de WordPress: copia de seguridad primero, análisis para saber dónde está, comprobación de archivos modificados, archivos de WordPress, plugins y tema borrados y vueltos a subir desde copias oficiales, revisión de los escondites (uploads, mu-plugins, wp-config, .htaccess y tareas programadas), limpieza de la base de datos y, al final, contraseñas, claves y actualizaciones nuevas. Si no cierras la puerta, el malware puede volver.

¿Prefieres que lo limpie alguien que lo hace a diario? Me encargo del [**rescate de tu WordPress hackeado**](https://www.iniciatuweb.com/rescate-wordpress-hackeado/): diagnóstico gratis, precio cerrado antes de empezar, limpieza normalmente en 48 a 72 horas y 30 días de monitoreo. O [**escríbeme por WhatsApp**](https://wa.me/584167296081?text=Hola%20Antonio%2C%20creo%20que%20mi%20WordPress%20tiene%20malware%20y%20necesito%20ayuda) y cuéntame qué pasó.