Seguridad web en 2026: cómo escanear vulnerabilidades y proteger tu sitio
Cómo saber si tu sitio fue hackeado o infectado, las principales formas en que se vulnera WordPress y cómo escanear vulnerabilidades y malware en un minuto. Lista de protección paso a paso + un escáner gratuito.
Decenas de sitios web son hackeados cada minuto. La mayoría de los dueños se enteran al final: cuando el sitio ya está marcado como "peligroso" en Google, los correos llegan a spam y las páginas se llenan de enlaces ajenos a casinos y farmacias. Según diversas estimaciones, hasta el 40% de todos los sitios web funcionan con WordPress, y son el objetivo número uno de los ataques automatizados. Esta guía explica cómo hackean los sitios, cómo saber si ya estás infectado y cómo escanear y proteger tu sitio en minutos.
Por qué hackean los sitios web y por qué WordPress es el objetivo #1
El hackeo de un sitio web casi siempre es automatizado. Los bots rastrean internet las 24 horas en busca de debilidades conocidas: un plugin viejo con una vulnerabilidad, un archivo .env olvidado con contraseñas, un xmlrpc.php activado, una contraseña de administrador débil. Cuando encuentran una coincidencia, el sitio se infecta sin que intervenga ninguna persona.
WordPress sufre más ataques por tres razones:
- Plugins y temas. Un sitio típico tiene entre 15 y 30, y cada uno es una posible brecha. Basta con un plugin sin actualizar.
- Escala. Una falla en un plugin popular equivale a millones de sitios vulnerables que vale la pena atacar en masa.
- Descuido. El sitio se construyó y se olvidó: sin actualizaciones, sin copias de seguridad y sin nadie que vigile la seguridad.
7 señales de que tu sitio ya está infectado
La infección rara vez es evidente: el código malicioso se oculta a propósito. Mantente alerta si notas al menos una de estas señales:
- Spam SEO en los resultados de búsqueda. Google muestra páginas sobre casinos, préstamos, réplicas o "viagra" que tú nunca creaste.
- Redirecciones. El sitio envía a los visitantes (sobre todo desde móviles o desde buscadores) a un recurso ajeno.
- Advertencia de Google. "Este sitio puede dañar tu computadora" o una alerta del navegador.
- Los correos van a spam. El dominio entró en listas de bloqueo por enviar spam desde el sitio hackeado.
- Nuevos administradores. Aparecieron en el panel de administración usuarios que tú no creaste.
- Caída de posiciones y tráfico. Un descenso repentino en las búsquedas sin una razón clara.
- Archivos desconocidos. Aparecieron archivos
.phpextraños en la raíz del sitio o en la carpeta de uploads.
Las formas más comunes en que hackean los sitios
Conocer las brechas típicas ayuda a cerrar el 90% del riesgo. Estos son los vectores principales:
1. Plugins, temas y versión del CMS desactualizados
La causa más común. Miles de plugins tienen vulnerabilidades conocidas públicamente (CVE) con exploits ya listos. Un peligro aparte son los plugins eliminados del repositorio de WordPress.org por una falla sin corregir: ya no reciben actualizaciones, pero siguen instalados en los sitios.
2. Encabezados de seguridad débiles y mala configuración del servidor
La ausencia de HSTS, Content-Security-Policy, X-Frame-Options y de protección de cookies abre la puerta al robo de sesiones, el clickjacking y XSS.
3. Archivos de servicio expuestos
Los archivos .git, .env, las copias de seguridad (backup.sql, wp-config.php.bak), phpinfo.php y las claves de la nube (.aws/credentials) accesibles públicamente son un manual listo para los atacantes.
4. Contraseñas débiles, usuario admin por defecto y XML-RPC abierto
El usuario admin + una contraseña débil + un xmlrpc.php activado equivale a un sitio vulnerado en cuestión de horas. XML-RPC también se usa para amplificar ataques DDoS.
5. Inyecciones, XSS y SSRF
Las fallas en formularios y parámetros permiten a los atacantes inyectar código, robar datos y acceder a servicios internos.
Cómo escanear tu sitio en busca de vulnerabilidades y malware
Hay dos tipos de escaneo, y necesitas ambos para tener el panorama completo:
| Tipo | Qué detecta | Qué NO detecta |
|---|---|---|
| Externo (desde fuera) | Vulnerabilidades que ve un atacante: encabezados, TLS, archivos expuestos, CVE de plugins, inyecciones, spam SEO | Backdoors ocultos y malware en los archivos y la base de datos |
| Interno (desde el servidor) | Web shells, backdoors, código malicioso en archivos y base de datos, integridad del núcleo del CMS | — |
Puedes ejecutar ambos análisis gratis en un minuto con PromoPilot Shield, un escáner de seguridad para sitios web. Realiza más de 40 comprobaciones según la metodología OWASP, de forma segura y sin explotar nada, y entrega un veredicto claro: "Limpio", "Vulnerabilidades encontradas" o "Infectado".
Lista paso a paso para proteger tu sitio web
Incluso las medidas básicas bloquean la mayoría de los ataques automatizados. Revisa la lista:
- HTTPS + HSTS. Todo el tráfico por HTTPS, con el encabezado Strict-Transport-Security activado.
- Actualizaciones. CMS, plugins y temas siempre al día. Elimina los que no uses.
- Contraseñas seguras + 2FA. Un usuario de administrador que no sea de diccionario (no
admin), autenticación en dos pasos y límite de intentos de inicio de sesión. - Encabezados de seguridad. CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
- Cierra los archivos de servicio. Bloquea el acceso a
.git,.env, copias de seguridad,phpinfoy listados de directorios. - Permisos de archivos. Archivos 0644, directorios 0755,
wp-config.php0640. Nada de 777. - Correo. Configura SPF, DKIM y DMARC para que nadie envíe spam en tu nombre.
- Copias de seguridad. Copias automáticas en un almacenamiento aparte + una prueba de restauración.
- WAF / protección. Cloudflare o similar delante del sitio.
- Monitoreo. Análisis periódicos y alertas sobre nuevas amenazas.
PromoPilot Shield: analiza y protege en un minuto
PromoPilot Shield cubre toda la cadena: desde "descubrir qué falla" hasta "solucionarlo". Funciona con WordPress, Joomla, OpenCart y sitios a medida.
- Más de 40 comprobaciones OWASP: encabezados, TLS, archivos expuestos, vulnerabilidades de CMS (más de 1600 CVE), SSRF/inyecciones, spam SEO, filtración de claves, listas de bloqueo.
- Agente en el servidor: entra al sistema y busca web shells, backdoors y código malicioso en archivos y en la base de datos, y verifica la integridad del núcleo del CMS. Solo lectura, no cambia nada.
- Veredicto claro + informe con IA: una calificación de A a F, explicación en lenguaje sencillo y un plan de corrección paso a paso.
- Corrección automática: un fragmento listo de
.htaccesso nginx soluciona al instante los problemas de configuración. - Monitoreo: análisis periódicos y alertas por correo y Telegram cuando aparece una nueva amenaza.
Preguntas frecuentes
¿Cómo sé si mi sitio está infectado?
Señales clave: páginas de spam de tu sitio en los resultados de búsqueda, redirecciones a recursos externos, una advertencia de Google, correos que llegan a spam, administradores nuevos y archivos .php desconocidos. Una respuesta precisa llega con un análisis de adentro hacia afuera: el agente en el servidor encuentra el código malicioso oculto.
¿Es seguro el análisis para mi sitio?
Sí. El análisis usa un método seguro y no destructivo, sin explotar vulnerabilidades. El agente en el servidor es de solo lectura y no cambia nada.
¿En qué se diferencia un análisis externo de uno en el servidor?
Un análisis externo detecta las vulnerabilidades que un atacante puede aprovechar desde fuera. Un análisis en el servidor (el agente) encuentra una infección que ya entró: backdoors y malware en archivos y en la base de datos que no se ven desde fuera.
¿Qué debo hacer si mi sitio ya fue hackeado?
Cambia todas las contraseñas, desconecta el sitio o activa el modo de mantenimiento, encuentra y elimina los archivos maliciosos y las inyecciones en la base de datos, actualiza el CMS y los plugins, restaura una copia de seguridad limpia y cierra la brecha original.
¿Cuánto cuesta un análisis de seguridad?
Un escaneo rápido es gratis. Un informe completo con CVSS y un plan de corrección cuesta desde $19; una auditoría integral con el agente de servidor cuesta $49.
