Mi web fue hackeada: lo que hice, paso a paso

Qué pasó

Mi web era un WordPress con plugins de seguridad y antispam, y yo me dedico precisamente a esto. Aun así, alguien encontró la forma de entrar y lo usó para dos cosas:

• Enlaces ocultos a webs de casinos al pie de mis páginas, invisibles para quien visitaba la web pero no para Google.
• Cientos de páginas de spam creadas dentro de mi dominio, en carpetas que yo nunca había creado. Algunas tenían nombres como de otras webs, para parecer legítimas.

El objetivo no era mi web en sí, sino aprovechar la confianza que Google tenía en mi dominio para posicionar páginas de apuestas. Es uno de los ataques más habituales en WordPress.

No hace falta ser una gran empresa para que te ataquen. Basta con tener un WordPress con algo que se pueda aprovechar.

Cómo lo descubrí

La web se veía normal. La primera pista fue otra: el servidor de mi hosting se ponía al 100 % de uso de CPU y de memoria RAM sin un motivo aparente. Al investigar qué lo estaba provocando, di con el origen: el WordPress estaba sirviendo cientos de páginas de spam que yo no había creado, y los robots no paraban de visitarlas.

Después lo confirmé en Google: al buscar site:josecabello.net casino salían unos 630 resultados con páginas de casinos bajo mi dominio.

En Search Console, la herramienta gratuita de Google para propietarios de webs, no había avisos de seguridad ni acciones manuales. Por eso conviene revisar de vez en cuando qué páginas tuyas muestra Google: el problema puede estar ahí aunque nadie te avise.

Si quieres saber cómo detectar las señales de un hackeo, lo explico en mi web ha sido hackeada: qué hacer paso a paso.

La decisión: limpiar o rehacer

Limpiar un WordPress hackeado es posible, y lo he hecho muchas veces para clientes: reinstalar el núcleo, el tema y los plugins, revisar la base de datos, cambiar todas las contraseñas y cerrar la puerta por la que entraron. Pero tiene un riesgo: si queda una sola puerta trasera, vuelven.

Tampoco podía volver a una copia de seguridad. Copias tenía, pero el hackeo llevaba meses dentro sin que se notara, así que todas estaban infectadas.

En mi caso, la web era sobre todo de presentación: mis servicios, mis proyectos y mis artículos. No necesitaba un gestor de contenidos. Así que decidí rehacerla desde cero en HTML y CSS, sin WordPress, sin plugins y sin base de datos. Sin el programa que habían aprovechado, desaparecía también esa vía de entrada.

Si dudas entre las dos opciones, te lo cuento en ventajas y desventajas de WordPress y en qué es un CMS y si tu negocio lo necesita.

Lo que hice, paso a paso

1. Rehice la web en HTML estático, primero con el mismo diseño y después mejorándolo, en español, inglés y alemán, y la publiqué en lugar del WordPress.
2. Borré el WordPress del servidor por completo, incluidas las carpetas de spam. El hosting no estaba afectado: solo esa instalación.
3. Monté un formulario de contacto nuevo sin WordPress, con un servicio de envío seguro y protección antispam, para no perder consultas.
4. Hice que las páginas de spam respondieran «410, eliminado». Es la forma de decirle a Google que esas páginas ya no existen y no van a volver, para que las quite antes que con un simple error 404.
5. Pedí a Google que las ocultara ya: en Search Console, en el apartado de Retiradas, solicité la retirada de cada carpeta de spam. Las aprobó el mismo día.
6. Redirigí los artículos antiguos que valía la pena conservar a sus versiones nuevas y reescritas, para no perder lo que ya funcionaba en Google.
7. Envié el nuevo mapa del sitio a Search Console para que Google conociera la web nueva.

El resultado

El mismo día en que se aprobaron las retiradas, la búsqueda site:josecabello.net casino pasó de unos 630 resultados a 5, y esos 5 eran páginas antiguas que ya respondían como eliminadas o redirigidas.

Hay que ser honesto con los plazos: la retirada en Search Console oculta las páginas durante unos meses, y el 410 es lo que hace que Google las elimine para siempre a medida que vuelve a rastrearlas. Por eso hay que revisar los resultados durante las semanas siguientes hasta que lleguen a cero.

Además, aproveché para cambiar de estrategia: en lugar de artículos para sumar visitas, guías que responden a lo que preguntan mis clientes. Lo cuento en la cruda realidad del SEO.

Lo que aprendí

• Los plugins de seguridad ayudan, pero no blindan. Yo los tenía y entraron igual. La seguridad está en tener menos piezas expuestas, no en añadir más.
• Un servidor saturado sin motivo es una alarma. Si el uso de CPU o memoria se dispara y no tienes más visitas, investígalo: puede ser un hackeo.
• Hay que mirar Google de vez en cuando. Una búsqueda site: con tu dominio te dice más que muchos paneles.
• Una copia de seguridad no sirve si también está infectada. Yo tenía copias, pero la infección llevaba meses dentro y todas la arrastraban. Guarda copias antiguas durante más tiempo, fuera de la web, y no confíes solo en la más reciente.
• Elige la tecnología por lo que necesitas. Para una web de presentación, una web estática es más sencilla de mantener y mucho más difícil de atacar.
• Actúa rápido y con orden. Cuanto antes se retira el spam, menos tiempo asocia Google tu dominio con él.

Preguntas frecuentes