Tienes la web infectada, tres teléfonos delante y ninguno de los tres te dice claramente «esto lo hago yo». El hosting te manda un aviso diciendo que ha detectado archivos maliciosos y te da 48 horas. Tu agencia te contesta que ellos «hacen webs, no seguridad». Y tú no sabes a quién pagar ni cuánto. Vamos a repartirlo: qué hace de verdad cada uno, dónde acaba su responsabilidad y qué pedirle hoy mismo a cada parte.
La respuesta corta, si vas con prisa: el hosting no te la limpia salvo que le pagues un extra por un servicio automático; tu agencia puede hacerlo si es buena, pero casi nunca lo tiene en contrato; y una empresa de seguridad es la única que además te dice por dónde entraron, que es lo que decide si te reinfectas en dos semanas. Si todavía no sabes qué le ha pasado a la web, empieza por la guía general sobre qué hacer cuando te hackean la web y vuelve aquí para decidir a quién llamas.
Qué hace de verdad tu hosting (y qué no va a hacer nunca)
El hosting responde de que el servidor funcione, esté actualizado y no se convierta en un problema para el resto de clientes de esa máquina. De tu WordPress, de tus plugins y de tu contenido no responde. Está escrito en las condiciones del servicio que firmaste, aunque nadie las lea.
Eso no significa que no te sirva de nada. Al contrario: en las primeras horas es la fuente de información más valiosa que tienes, y casi nadie se la pide. Escríbeles hoy y pide, por este orden:
- El listado de archivos detectados por su antivirus, con ruta completa y fecha de modificación. Con eso sabes dónde mirar y cuándo empezó todo.
- Los registros del servidor:
access_logyerror_log, y si los conservan, los de FTP y los del panel de control. Muchos hostings los rotan cada pocos días, así que se piden hoy, no la semana que viene. - Qué copias de seguridad tienen y de qué fecha exacta es cada una. No vale «de los últimos días»: necesitas fechas.
- Si hay más cuentas afectadas en el mismo servidor. Si te dicen que sí, el problema puede no ser tuyo.
Lo que no van a hacer: entrar en tu base de datos a buscar código inyectado, revisar plugin por plugin, ni explicarte por dónde entraron. Algunos ofrecen un servicio de limpieza de pago, casi siempre automatizado: pasan un escáner, borran lo que marca y te devuelven la web. Retira lo evidente, y a veces con eso basta. El problema es que un escáner automático encuentra lo que se parece a malware conocido, no una línea añadida en un archivo legítimo de tu tema ni un usuario administrador de más.
Hay un caso en el que el hosting sí es responsable directo: cuando el fallo está en el servidor y no en tu web. Una versión de PHP fuera de soporte que gestionan ellos, permisos mal puestos entre cuentas, o una web vecina que está infectando a las demás. Si te ha pasado dos veces sin que tú tocaras nada, insiste por ahí. Y si te han suspendido la cuenta, tienes el procedimiento para trabajar con la web apagada en la guía sobre qué hacer cuando el hosting suspende tu cuenta por malware.
Qué puede hacer tu agencia o tu desarrollador web
Tu agencia tiene una ventaja que nadie más tiene: conoce tu web. Sabe qué plugin es normal ahí, qué archivo lo puso ella y qué página es de verdad tuya. Eso ahorra horas. Si además guarda copias propias, fuera del hosting, puede sacarte del apuro en una tarde.
El problema es otro: limpiar no es desarrollar, son oficios distintos. Un buen maquetador de WordPress reinstala el núcleo y los plugins sin despeinarse y, aun así, puede no saber buscar una puerta trasera escondida en wp-content/languages/. Para saber si tu agencia puede con esto, hazle tres preguntas:
- ¿Tenéis una copia anterior a la infección y sabéis de qué día es? Si la copia es de después, restaurarla solo devuelve el problema con otra fecha.
- ¿Vais a mirar los registros del servidor para saber por dónde entraron? Si la respuesta es que no hace falta, ya tienes tu respuesta.
- ¿Qué vais a hacer con las puertas traseras? Si no saben a qué te refieres, no es su especialidad.
Si la propuesta es «restauramos una copia de seguridad y listo», eso no es limpiar. Puede funcionar y puede ser exactamente lo que necesitas, pero solo si la copia es anterior a la entrada y si además cambias todas las contraseñas y tapas el agujero por el que entraron. Hay bastantes matices, y los tienes desarrollados en el artículo sobre cuándo restaurar una copia de seguridad resuelve un hackeo y cuándo no.
Mira también tu contrato de mantenimiento. Un mantenimiento de treinta o cuarenta euros al mes suele cubrir actualizaciones y una copia periódica. La respuesta a un incidente casi nunca está incluida, y es legítimo que no lo esté: son muchas horas. Lo que no es legítimo es que te lo hayan vendido como «seguridad incluida».
Y una situación incómoda que conviene nombrar: si entraron por un plugin pirata que instaló la agencia o por una contraseña suya reutilizada, no es la parte más objetiva para investigar la causa. Sin acusar a nadie, esa parte la debería mirar alguien de fuera.
Cuándo hace falta una empresa de seguridad
No siempre. Si es un sitio corporativo de ocho páginas, sin tienda ni usuarios registrados, y tienes una copia limpia de la semana pasada, probablemente estés pagando de más. Dicho eso, hay señales claras de que esto se te ha ido de las manos:
- Ya la has limpiado y ha vuelto. Es la señal más fiable de todas. Significa que queda algo dentro y que lo estás buscando en el sitio equivocado.
- Hay datos personales de clientes: pedidos, formularios, historiales, currículums. Ahí ya no es solo un problema técnico, es un problema legal con plazos.
- Es una tienda y hay pagos de por medio. Un robo de datos de tarjeta en el proceso de compra no lo detecta un escáner gratuito.
- Tienes varias webs en el mismo servidor. Limpiar una y dejar las otras es tirar el dinero.
- Necesitas un informe para el hosting, tu seguro, un cliente que te lo reclama o una denuncia.
Lo que aporta un analista de seguridad frente a los otros dos no es «limpiar mejor». Es responder a una pregunta que los demás no responden: por dónde entraron, cuándo, y qué hicieron dentro. De ahí sale la lista de puertas traseras a cerrar, que es el punto donde se decide si vuelve o no vuelve. Si quieres hacerlo tú, el método está en la guía para encontrar puertas traseras en tu web; es tedioso pero se puede.
¿Y si lo hago yo?
Es una opción legítima. Hazlo tú si la web es sencilla, no hay tienda ni datos de clientes, tienes acceso completo por SFTP y a la base de datos, y puedes dedicarle una tarde entera sin interrupciones. El procedimiento completo, en orden, está en el paso a paso para limpiar un WordPress hackeado.
No lo hagas tú si la web factura, si es la única fuente de pedidos del negocio, si hay datos personales o si el reloj legal ya está corriendo. Aquí el riesgo no es equivocarse: es tardar tres días en lo que a otro le lleva una mañana, mientras tu web sigue marcada por Google.
El reparto que funciona mejor que elegir a uno solo
Los incidentes que se cierran bien no los resuelve un único actor, sino los tres en este orden:
- El hosting aporta registros, detecciones y copias, y confirma si hay vecinos afectados. Es gratis y es lo primero que pides.
- Quien limpia (tú, tu agencia o una empresa de seguridad) sustituye lo sustituible, revisa lo que no, limpia la base de datos y cierra accesos.
- Tu agencia entra al final a comprobar que la web funciona: formularios, pasarela de pago, plantillas, correos transaccionales. Un sitio «limpio» que no envía los pedidos sigue roto.
Deja por escrito quién hace qué antes de empezar. La mayoría de los desastres no vienen de un malware especialmente listo, sino de tres personas tocando la misma web a la vez sin hablarse.
Qué preguntar antes de pagarle a nadie
Da igual a quién contrates: estas preguntas separan a quien sabe de quien improvisa.
- ¿Vais a investigar la causa de entrada o solo a limpiar los archivos?
- ¿Me entregáis un informe con lo que habéis encontrado y dónde estaba?
- ¿Está incluida una segunda pasada si reaparece en las próximas semanas?
- ¿Vais a revisar también los usuarios, las tareas programadas y el correo del dominio?
- ¿Cuánto tiempo va a estar la web fuera de servicio?
- ¿Qué accesos necesitáis exactamente? (Si te piden la contraseña de administrador por WhatsApp, mala señal.)
- ¿Me dejáis algo puesto para enterarme si vuelve a ocurrir?
Sobre el precio: una limpieza profesional de una web de empresa ronda los quinientos euros y sube con la complejidad (tienda, multisitio, varias webs en el mismo servidor). Un mantenimiento con vigilancia continua está más cerca de los sesenta y nueve euros al mes. Un presupuesto muy por debajo casi siempre es un escaneo automático con otro nombre. Tienes el desglose tramo por tramo en el artículo sobre cuánto cuesta limpiar una web hackeada en España.
Después de la limpieza: ¿quién la vigila?
Aquí es donde se cae casi todo el mundo. La web queda limpia, todos respiran, y a los dos meses nadie mira. La reinfección no suele llegar por un ataque nuevo: llega porque quedó una puerta abierta y alguien volvió a usarla. Decide, antes de cerrar el incidente, quién va a mirar y cada cuánto. Si la respuesta es «ya lo miraré yo de vez en cuando», en realidad es «nadie».
Y antes de dar nada por cerrado, mira desde fuera lo que ve un visitante y lo que ve Google, que no siempre es lo que ves tú con la sesión iniciada. Comprueba tu web gratis con PathScan: sin registro, sin tocar nada, y en un minuto sabrás si desde fuera siguen viéndose señales de compromiso.