Web hackeada: ¿contratar limpieza o arreglarlo tú? Criterio

Descubre en 10 minutos si tu web está comprometida y qué opciones tienes: cuánto cuesta cada una, plazos y riesgos de decidir mal.

01 El problema no es el código: es tu negocio

Cuando una web aparece hackeada, lo primero que piensa un dueño es «¿quién me ha atacado?». Pero la pregunta de negocio es otra: cuánto estás perdiendo mientras tanto. Si Google marca tu dominio como peligroso, los clientes que te buscan ven un aviso rojo y no entran. Si tus formularios de contacto se usan para enviar spam, pierdes oportunidades. Si tu correo corporativo entra en listas negras, tus presupuestos acaban en spam. Y si hay datos de clientes comprometidos, tienes un problema legal con el RGPD.

Un ejemplo típico: una clínica dental con una web de reservas y un formulario de contacto. Un lunes por la mañana dejan de llegar citas. El formulario funciona, pero los envíos van a un servidor externo. Mientras tanto, Google ha detectado la inyección y muestra «Este sitio puede estar hackeado» en los resultados. La clínica pierde varias reservas al día. No es un susto técnico: es dinero que no entra.

02 Comprobación rápida: 10 minutos para saber si estás infectado

Antes de llamar a nadie, haz estas pruebas desde tu móvil o desde un ordenador con una ventana de incógnito. No necesitas conocimientos técnicos.

Abre tu web en modo incógnito y navega por tres o cuatro páginas. ¿Ves ventanas emergentes que no has puesto, redirecciones a páginas de apuestas, farmacias o contenido para adultos? ¿Aparecen páginas nuevas que no recuerdas haber creado? Si es así, hay malware.

Busca tu negocio en Google por su nombre o dominio. ¿El resultado muestra un aviso de «Este sitio puede ser hackeado» o al hacer clic te lleva a otra URL? Eso confirma que Google ya lo sabe.

Revisa tu correo. ¿Tus clientes te dicen que reciben mensajes raros desde tu dirección? ¿Tus propios envíos acaban en spam? Los atacantes suelen usar tu dominio para hacer phishing, lo que daña tu reputación.

Por último, piensa si tus formularios de contacto han dejado de llegar de repente o si el hosting te ha enviado un aviso de seguridad. Cualquiera de estas señales es suficiente para sospechar.

Si has encontrado una o varias, has confirmado el problema. Ahora toca decidir qué hacer.

03 Opciones: no hacer nada, limpiarlo tú, contratar o reconstruir

Tienes cuatro caminos, y cada uno tiene un coste y un riesgo.

No hacer nada: 0 € inmediatos, pero el coste real puede ser enorme. Google puede eliminar tu sitio de los resultados durante semanas. Si tu negocio vive de la web, cada día perdido son clientes. Para una tienda online que factura 3.000 € al mes, una semana fuera de Google puede suponer 700 € en ventas no realizadas, además de la pérdida de confianza. Y si hay datos personales afectados, podrías enfrentarte a sanciones del RGPD. No es una opción.

Limpiarlo tú mismo: 0 € si valoras tu tiempo en nada, pero si no tienes experiencia en WordPress, el riesgo es alto. Puedes dejar malware oculto que se reactive a los pocos días, romper la web al eliminar archivos o no saber cómo pedir a Google que revise el sitio. Si tienes una copia de seguridad limpia anterior al ataque, restaurarla es la opción más rápida: puedes hacerlo tú en 30 minutos o pagar a un técnico 50-100 €. Pero si la copia está infectada o no existe, limpiar a mano supone entre 10 y 30 horas de trabajo para alguien que sepa lo que hace.

Contratar a un profesional: es la opción más habitual para negocios que necesitan la web funcionando ya. El precio de una limpieza de malware en WordPress suele estar entre 150 y 500 €, según la gravedad y el tamaño. La mayoría de profesionales responden en 24-72 horas e incluyen: eliminación del malware, revisión de todos los archivos, cambio de contraseñas, actualización de plugins y temas, y solicitud de revisión a Google. Algunos cobran por hora (40-80 €/h) y otros tarifa plana. Pide siempre un presupuesto cerrado antes de empezar.

Reconstruir la web desde cero: si tu web es antigua, no tiene un valor especial o el malware ha afectado a la base de datos, puede salir más a cuenta rehacerla. Una web corporativa sencilla nueva cuesta entre 500 y 1.500 € y tarda de una a tres semanas. Una tienda online o una web con funciones a medida puede superar los 2.000 €. Esta opción te da un sitio limpio y actualizado, pero pierdes tiempo y posiblemente todo el contenido si no hay copia.

04 Cómo decidir según tu caso

La decisión no es la misma para todos. Responde a estas tres preguntas:

¿Tu web genera ingresos directos (ventas, reservas, citas)? Si la respuesta es sí, contrata a un profesional inmediatamente. Cuanto más tiempo pase, más te cuesta. Las limpiezas caseras pueden prolongar el problema y acabar costando más en horas y pérdidas.

¿Tienes una copia de seguridad anterior al ataque y sabes restaurarla? Si es así, puedes restaurar tú y luego encargar a un profesional que refuerce la seguridad. Si no, no te arriesgues.

¿Tu web es simple y no te importa rehacerla? Si es una página de presentación con pocas secciones, reconstruir puede ser más rentable que limpiar. Pero si tiene blog, posicionamiento SEO o integraciones, no la tires: limpiar es mejor.

En general, si no eres técnico y tu web es importante, la opción de contratar a un profesional es la que ofrece mejor equilibrio entre coste, plazo y resultado.

05 Qué debe incluir una limpieza profesional (y qué preguntar antes de pagar)

No todos los servicios de limpieza son iguales. Antes de contratar, pregunta esto:

¿Qué incluye el precio? Debe cubrir al menos: eliminación del malware, análisis completo del sitio, actualización de WordPress, plugins y temas, cambio de todas las contraseñas (WordPress, hosting, FTP, base de datos), y solicitud de revisión a Google si estás marcado.

¿Dan garantía? Algunos ofrecen 30 días de garantía si vuelves a ser hackeado por la misma vía. Pregunta cómo la cumplen.

¿En cuánto tiempo empiezan? Si te dicen más de 72 horas para una web de negocio, busca otra opción.

¿Te ayudarán con el hosting si el ataque ha afectado a otros sitios del mismo servidor? A veces el malware se propaga entre cuentas; un buen profesional lo detecta y te avisa.

¿Incluye el informe final? Debes recibir un resumen de qué se encontró, qué se eliminó y qué medidas se tomaron. Eso te servirá para el futuro.

Desconfía de precios muy bajos: limpiar por 50 € suele significar que solo borran los archivos visibles y no la puerta trasera. El malware volverá.

06 Después de limpiar: mantenimiento para no repetir

Una web hackeada es un aviso de que algo fallaba: un plugin sin actualizar, una contraseña débil, un hosting sin protección. Si solo limpias y no cambias nada, volverás a caer en semanas o meses.

Un plan de mantenimiento profesional cuesta entre 30 y 150 € al mes según lo que incluya: actualizaciones semanales, copias de seguridad diarias, monitorización de seguridad, informes y soporte. Para un negocio que depende de su web, es un seguro barato. Compáralo con el coste de un hackeo: una limpieza de 300 € más una semana de ventas perdidas ya supera un año de mantenimiento.

La decisión no es «contratar o no contratar», sino qué nivel de protección quieres. Si tu web es estática y la miras poco, puedes limitarte a copias de seguridad y actualizaciones mensuales. Si tiene formularios, tienda o datos de clientes, necesitas monitorización diaria.

Al final, la mejor decisión es la que evita que tengas que volver a tomar esta decisión.

Preguntas frecuentes

¿Puedo limpiar yo mismo una web hackeada si no sé de informática?

No es recomendable. El malware moderno se esconde en varios puntos (archivos, base de datos, archivos ocultos) y es fácil dejarse una puerta trasera. Si no tienes experiencia, puedes empeorar la situación o romper la web. Lo suyo es que un profesional lo haga y tú te centres en tu negocio.

¿Cuánto tarda de media una limpieza profesional de malware en WordPress?

Depende de la gravedad, pero la mayoría de las limpiezas se completan en 24 a 72 horas desde que se encarga. Si el sitio está en la lista negra de Google, la revisión puede tardar uno o dos días más. Pide siempre un plazo orientativo antes de contratar.

¿Qué es más barato: limpiar la web o hacer una nueva?

Para una web sencilla y sin contenido valioso, hacerla nueva puede costar entre 500 y 1.500 €, mientras que una limpieza profesional ronda los 150-500 €. Si tu web tiene buen posicionamiento o mucho contenido, limpiar sale más a cuenta. Pero si no tienes copia de seguridad y el ataque ha corrompido la base de datos, reconstruir puede ser la única opción.