Cómo saber si es un hackeo y no un fallo
Un error 500 o una pantalla en blanco casi nunca son un ataque. Lo normal es que sea un plugin que falló al actualizarse o un cambio de versión de PHP, y eso tiene otra solución, la de una web caída o con error 500. Estas señales, en cambio, sí apuntan a que alguien entró:

La web redirige a otra página, a veces solo desde el móvil o solo cuando llegas desde Google. Está hecho así a propósito, para que el dueño, que entra escribiendo la dirección, no lo vea.
Chrome muestra la pantalla roja de sitio peligroso, o en Search Console aparece un aviso en el informe de problemas de seguridad.
Hay usuarios administradores que nadie creó, o tu contraseña de siempre ya no funciona.
Buscas site:tudominio.com en Google y salen páginas que no escribiste, muchas veces en japonés o vendiendo medicamentos.
El hosting te avisa de que tu cuenta envía correo masivo, o tus correos normales empiezan a caer en la carpeta de spam de tus clientes.
Aparecen ficheros PHP dentro de wp-content/uploads, la carpeta de las imágenes, donde no debería haber ninguno.

Lo que no conviene hacer
Con los nervios, lo primero que sale es borrar todo lo que parece raro. Es mala idea por dos motivos. Esos ficheros son la única pista para saber por dónde entraron, y muchas veces el código malicioso va metido dentro de un fichero legítimo del tema o de un plugin, así que al borrarlo la web deja de funcionar.
Restaurar la última copia tampoco suele arreglarlo. Si la infección entró hace tres semanas, la copia de anoche también la lleva. Y aunque fuese anterior, la puerta por la que entraron sigue abierta.
Cambiar solo la contraseña de wp-admin se queda corto, porque quien entra suele dejar puertas traseras que no necesitan ninguna contraseña. Un plugin de seguridad ayuda a detectar lo conocido. Pero las puertas traseras bien hechas van sin disfrazar, dentro de ficheros que parecen normales, y ahí los escáneres automáticos fallan a menudo.

Qué hacer, en este orden

1. Frena lo que está haciendo daño
Si la web redirige a estafas o tu cuenta está enviando spam, eso se corta antes que nada. El spam hunde la reputación de tu dominio, y cuando pasa, tus correos de trabajo acaban en el correo no deseado de tus clientes. Cerrar la web entera solo hace falta si están robando datos, como en una tienda con el pago comprometido.

2. Guarda una copia de todo tal como está
Ficheros y base de datos, guardados fuera del servidor. No es para restaurarla. Es la evidencia que permite averiguar qué tocaron y cuándo, y la que vas a necesitar si luego tienes que explicar a un cliente o a la Agencia de Protección de Datos qué pasó.

3. Busca todo lo que cambió
WordPress permite comparar sus ficheros con los originales, y los plugins del repositorio oficial también. Con WP-CLI son dos órdenes, wp core verify-checksums y wp plugin verify-checksums –all. A eso hay que sumarle lo que ninguna comparación ve: ficheros PHP en uploads, administradores que nadie creó, tareas programadas raras y código metido en la base de datos, sobre todo en las opciones y en las entradas. Apunta cada fichero con su fecha de modificación, porque esa lista es la que te lleva al paso siguiente.

4. Averigua por dónde entraron
El fichero modificado más antiguo da la fecha, y los registros de acceso del servidor de ese día suelen enseñar la petición que lo creó. Lo más habitual es un plugin o un tema sin actualizar con un fallo conocido. Le siguen las contraseñas robadas, muchas veces por un programa espía en el ordenador de quien administra la web. Si el origen no aparece, lo honesto es decirlo y no inventarse un culpable que quede bien en el informe.

5. Limpia reinstalando, no borrando a mano
El núcleo de WordPress y los plugins se vuelven a instalar desde el original, sin tocar tu contenido. Los ficheros legítimos con código inyectado se restauran, y los que no pintan nada ahí, como las puertas traseras, se eliminan. En la base de datos se limpian solo las filas infectadas. Los administradores y las tareas que creó el atacante, fuera.

6. Cambia todas las claves y echa al atacante
No vale con la de tu usuario. Hay que cambiar las de todos los administradores, la de la base de datos, las del FTP y del panel del hosting, y regenerar las claves secretas de wp-config.php. Esto último cierra todas las sesiones abiertas, incluida la del atacante, que puede seguir dentro aunque cambies la contraseña. Hazlo desde un ordenador que sepas limpio. Si el robo vino de un programa espía, la contraseña nueva se va igual en cuanto la escribas.

7. Pide a Google que revise la web
Si Google la había marcado, el aviso no desaparece solo porque la limpies. Hay que entrar en Search Console, en el informe de problemas de seguridad, confirmar que está resuelto y solicitar la revisión.

8. Vigila los días siguientes
Una reinfección a las 24 o 48 horas quiere decir que quedó una puerta abierta. Por eso nosotros repetimos el análisis completo un par de días después, aunque todo parezca en orden.

Por qué vuelve la infección
Cuando una web se limpia y a la semana está igual, casi siempre es por una de estas cuatro razones:

No se encontró la puerta de entrada y la reinfección, que está automatizada, volvió a pasar por ella.
Quedó una puerta trasera en la base de datos, donde ningún escáner de ficheros mira.
Hay otras webs en la misma cuenta del hosting que siguen infectadas y contagian a la vecina.
La contraseña se está robando en el ordenador de quien administra la web.

La tercera es muy común en cuentas con webs antiguas que ya nadie recuerda, como una tienda que se cerró o una web de pruebas sin actualizar desde hace años. Se limpian todas o no se limpia ninguna.

Cuánto cuesta limpiar un WordPress hackeado
Depende sobre todo de cuántas webs haya en la cuenta y de lo extendida que esté la infección. Con nosotros, la limpieza de un WordPress empieza en 190 € + IVA. Si la necesitas empezada el mismo día laborable, desde 290 €, y si la web está alojada en Netsis, desde 150 €. Te damos el presupuesto cerrado cuando hemos visto lo que hay, antes de empezar.
Incluye buscar la entrada y cerrarla, que es lo que evita pagar dos veces, y un informe con lo que encontramos, por dónde entraron y qué claves quedan por cambiar fuera de la web. No hace falta mover la web a nuestro hosting. La limpiamos donde esté.

Cómo evitar que vuelva a pasar
Lo más habitual es que entren por algo que ya tenía arreglo publicado. Tener pocos plugins, quitar los que no se usan, actualizar cada semana y guardar copias fuera del servidor cubre gran parte del riesgo. Si no tienes tiempo para eso, es justo lo que hace nuestro mantenimiento de WordPress, y si quieres saber cómo está tu web antes de que pase nada, la auditoría de seguridad te lo dice.
Y si lo estás viviendo ahora, llámanos al 986 06 02 70 o escríbenos desde el formulario de abajo con la dirección de la web y lo que ves. Todo el detalle del servicio está en limpieza de malware en WordPress.

Qué es el dominio .gal
Es el dominio de internet de la lengua y la cultura gallegas, igual que el .cat lo es de la catalana. Lo gestiona la Asociación PuntoGal, una entidad sin ánimo de lucro, y se registra a través de los agentes que ella acredita. Funciona como cualquier otro dominio y sirve para la web, para el correo (info@tuempresa.gal) y para lo que necesites.

Quién puede registrarlo
Cualquier persona o empresa, esté donde esté, y por orden de llegada, como un .com. Hay dos excepciones. Los nombres de los concellos gallegos están reservados para que los pida su ayuntamiento, y se aplican las limitaciones generales de ICANN, como los nombres de dos letras.

El compromiso con el gallego
Esto es lo que diferencia al .gal. Según la ayuda oficial de dominio.gal, la web tiene que tener un mínimo de contenido significativo en gallego, aunque tenga otros idiomas. Si no tiene contenido en gallego, lo que publique tiene que estar relacionado con la cultura gallega o ser un servicio en línea dirigido a la comunidad gallega.
En la práctica, una empresa gallega con su web también en gallego lo cumple de sobra. Si tu web es solo en castellano y no tiene nada que ver con Galicia, el .gal no es para ti, y nosotros no te lo recomendaríamos aunque esté libre.

¿Un .gal ayuda a posicionar en Galicia?
Por sí solo, no. Google trata los dominios regionales como si fueran genéricos, igual que un .com, y pone de ejemplo el .london y el .bayern. No les da más peso para las búsquedas que se hacen desde esa región.
Lo que te posiciona en Galicia es otra cosa: que tu web hable de lo que haces y de dónde lo haces, tener bien la ficha de Google Business y que otras webs de aquí te enlacen. El .gal ayuda de otra manera. Quien lo ve en los resultados sabe de dónde eres antes de entrar, y para mucha gente de aquí eso cuenta.

.gal, .es o .com

DominioQué dice de tiCuándo lo usaríamos

.galQue eres de aquí y que trabajas también en gallegoComo dirección principal si tu clientela es sobre todo gallega y tu web tiene versión en gallego
.esQue trabajas en EspañaComo principal si vendes en toda España, con el .gal llevando a él
.comNada del lugarSi vendes fuera de España, o para que nadie registre tu marca

Nosotros, a una empresa gallega, le registraríamos el .gal y el .es. Uno queda como dirección principal y el otro lleva a él con una redirección permanente. Lo que no conviene es publicar la misma web en los dos dominios a la vez, porque Google la ve como contenido duplicado y reparte la fuerza entre los dos.

Si ya tienes la web en un .es
Puedes registrar el .gal y hacer que lleve a tu web actual, sin tocar nada más. Es lo más sencillo y no afecta a tu posicionamiento.
Si lo que quieres es que el .gal pase a ser la dirección principal, se puede hacer, pero es una mudanza de dominio. Cada página antigua tiene que redirigir a su equivalente nueva, y hay que avisar a Google con la herramienta de cambio de dirección de Search Console. Aun haciéndolo bien, Google avisa de que las posiciones pueden moverse durante un tiempo, así que conviene planificarlo y no hacerlo en plena temporada.

Cuánto cuesta y cómo lo registramos
Con nosotros, el .gal cuesta 45 € al año + IVA. Lo tramitamos nosotros y te queda el DNS gestionado y preparado para tu web, tu correo, Microsoft 365, Google Workspace o Cloudflare, junto con el resto de tus dominios. Si tienes dudas de si tu web cumple el compromiso con el gallego, lo miramos antes de registrarlo.
Escríbenos desde el formulario de abajo con el nombre que buscas y te decimos si está libre. Tienes los precios del resto de dominios en dominios .gal, .es y .com.

Cómo funciona un skimmer en una tienda online
Hay dos variantes, según cómo cobre tu tienda.
Si el cliente escribe la tarjeta en un formulario de tu propia web, el skimmer es un script que lee esos campos y los envía a otro servidor en el momento de pagar. El cobro se hace igual. El cliente no ve nada raro.
Si tu pasarela te lleva a la página del banco para pagar, como hace el TPV de Redsys, el atacante no puede leer ese formulario. Lo que hace entonces es enseñar uno falso antes, con el mismo aspecto, y después dejar que el cliente siga hasta el pago de verdad. El cliente pone la tarjeta dos veces y lo toma por un fallo de la tienda. Pagar fuera de tu web reduce el riesgo, pero no lo elimina.
Así fue la campaña de julio de 2022 contra PrestaShop. El propio proyecto avisó de que los atacantes metían un formulario de pago falso en la página de pedido aprovechando un fallo del núcleo.

Señales de que tu tienda puede tener un skimmer

Varios clientes, o el banco, te hablan de cargos fraudulentos en tarjetas que se usaron en tu tienda.
En el proceso de pago aparece un formulario de tarjeta que antes no estaba, o se pide la tarjeta dos veces.
Al pagar, la página carga scripts de dominios que no reconoces. Lo puedes ver tú mismo abriendo el pedido en una ventana privada y mirando la pestaña de red de las herramientas del navegador.
Hay ficheros del tema o de módulos modificados en fechas en las que nadie trabajó en la tienda, o ficheros PHP con nombres sin sentido en la carpeta principal.
Aparecen empleados en el back office que nadie dio de alta.

Ninguna prueba es definitiva por separado. Si ves dos, trátalo como un ataque hasta que se demuestre lo contrario.

Por dónde entran
La puerta más conocida es el propio PrestaShop sin actualizar. El fallo de 2022, registrado como CVE-2022-31181, afecta desde la versión 1.6.0.10 hasta cualquier 1.7 anterior a la 1.7.8.7, que es la que lo corrige. Con él, un atacante podía ejecutar código en el servidor sin tener ninguna contraseña. Siguen funcionando muchas tiendas en versiones anteriores, así que la campaña sigue viva.
La segunda puerta son los módulos. Una tienda suele tener decenas, de autores distintos, y algunos llevan años sin mantenimiento. Friends of Presta, una asociación de la comunidad, publica los fallos de seguridad que se van encontrando en módulos conocidos. Merece la pena cruzar esa lista con los tuyos.
Y la tercera, las contraseñas robadas del back office o del hosting, que dan acceso sin necesidad de ningún fallo.

Qué hacer si lo encuentras

1. Guarda una copia antes de tocar nada
Ficheros, base de datos y registros del servidor, fuera de la tienda. Con ellos se sabe desde cuándo estaba el código y qué pedidos pasaron por la página infectada, y eso es lo que te van a preguntar el banco y la Agencia de Protección de Datos.

2. Corta la fuga
Quita el script o el formulario falso. Si todavía no sabes dónde está todo, desactiva el pago con tarjeta y deja los otros métodos mientras se limpia. Perder unas ventas un día sale más barato que seguir regalando tarjetas.

3. Averigua el alcance
Los registros de acceso del servidor dicen cuándo se creó el fichero, desde dónde y cuántas visitas pasaron por el pago desde entonces. Con eso se acota qué clientes pueden estar afectados. Sin ese análisis solo queda avisar a todos.

4. Cierra la entrada y cambia las claves
Actualiza PrestaShop y los módulos vulnerables, o quita los que no tengan arreglo, y cambia las contraseñas del back office, de la base de datos, del FTP y del hosting. Limpiar sin actualizar deja la puerta abierta, y actualizar sin limpiar deja el skimmer dentro. Hacen falta las dos cosas.

5. Avisa a quien toca
A tu banco o a la pasarela de pago, que te dirán cómo proceder con las tarjetas. A la Agencia Española de Protección de Datos, en 72 horas desde que lo sabes, si hay riesgo para tus clientes. Se puede notificar con lo que tengas y completarlo después. Y a los propios clientes afectados cuando el riesgo para ellos es alto, que con tarjetas robadas lo suele ser.

Actualizar o rehacer la tienda
Si tu tienda está en 1.7, lo razonable es subir como mínimo a la última 1.7.8, que es un salto dentro de la misma rama. Si está en 1.6, o si tiene muchos módulos sin mantener, puede que actualizar cueste casi lo mismo que montar una tienda nueva en PrestaShop 8 o 9. Nosotros lo valoramos siempre con una copia de ensayo antes de tocar la tienda real, y te decimos qué haríamos. Lo contamos en actualizar PrestaShop.

Cuánto cuesta
La limpieza de una tienda PrestaShop con nosotros parte de 390 € + IVA. Incluye el análisis de los registros para saber si salieron datos y desde cuándo, que es lo que necesitas para decidir a quién avisar. Si luego quieres alojar la tienda con nosotros, nuestro hosting para PrestaShop lleva la vigilancia de ficheros incluida.
Si crees que tu tienda está afectada, llámanos al 986 06 02 70. Es de las pocas situaciones en las que conviene llamar antes que escribir. Tienes todo el servicio explicado en malware en tiendas PrestaShop.

Qué se muda en un cambio de hosting
La web es lo que todo el mundo tiene en la cabeza, pero en la mayoría de empresas el hosting guarda bastante más:

Los ficheros de la web y su base de datos.
Los buzones de correo con todo lo que tienen dentro, carpetas y enviados incluidos.
La zona DNS del dominio, con los registros del correo (MX, SPF, DKIM y DMARC) y los de servicios externos, como Microsoft 365, Google Workspace o las verificaciones de Google.
Los certificados SSL de la web y de los subdominios.
Las tareas programadas, las cuentas de FTP y las redirecciones.

El dominio no hace falta moverlo. Para cambiar de hosting basta con cambiar hacia dónde apuntan sus DNS, y el traslado del dominio se puede hacer después, sin prisa, o no hacerlo nunca.

Lo que se suele olvidar
Copiar ficheros es la parte fácil. Lo que da problemas es lo que no se ve.
Los formularios de la web que envían el correo con la configuración del hosting viejo dejan de enviar el día que ese hosting se da de baja, y nadie se entera hasta que un cliente pregunta por qué no le contestasteis. Los registros DNS menos visibles, como el DKIM o las verificaciones de servicios, se pierden si se copia la zona a mano. Y si el dominio tiene DNSSEC activado, cambiar los servidores de nombres sin quitarlo antes deja el dominio sin resolver. Te quedas sin web y sin correo, en todas partes a la vez.
El otro clásico es el correo guardado solo en el ordenador. Si alguien de la oficina tiene la cuenta configurada con POP, su correo antiguo está en su equipo y no en el servidor, así que no hay nada que migrar de él. Conviene saberlo antes, no después.

El orden que seguimos

1. Inventario de lo que hay
Webs, bases de datos, buzones y lo que ocupa cada uno, la versión de PHP, la zona DNS completa y los servicios externos que dependen del dominio. Es la lista con la que se comprueba al final que no falta nada.

2. Copia sin tocar el origen
Todo se copia al hosting nuevo con el viejo funcionando igual que siempre. Hasta el cambio final, tus clientes y tus correos siguen yendo al de siempre.

3. Prueba antes de que nadie lo vea
La web se abre en el servidor nuevo con una dirección provisional y se revisa entera: páginas, formularios, pagos si es una tienda y el panel de administración. Si algo falla por una versión de PHP distinta, aparece aquí y no con los clientes dentro.

4. Baja el TTL de las DNS el día antes
El TTL es el tiempo que el resto de servidores de internet recuerdan la dirección antigua de tu dominio. Si está en un día, el cambio tarda un día en llegar a todos. Bajándolo a unos minutos la víspera, el cambio llega casi enseguida.

5. Primera pasada del correo
Se copian los buzones enteros, con todo el histórico, mientras siguen recibiendo correo en el servidor viejo. Es la pasada larga.

6. Cambio de DNS en un momento tranquilo
Fuera de horas o en el momento que elijas tú. Durante un rato, unas visitas llegan al servidor viejo y otras al nuevo, y por eso los dos tienen que tener la misma web y los dos tienen que seguir recibiendo correo.

7. Segunda pasada del correo
Recoge lo que llegó al servidor viejo mientras el cambio se extendía. Es corta y es la que evita que se pierda ningún mensaje.

8. Comprobación final
Envío y recepción de correo desde fuera, formularios, certificados, tareas programadas y la lista del primer paso, punto por punto. El hosting viejo no se da de baja hasta que tú confirmas que todo va bien.

¿Afecta al posicionamiento en Google?
Si las direcciones de las páginas no cambian, mover la web de servidor no cambia lo que Google ve. Google tiene una guía para este caso, el traslado sin cambio de URL, y lo trata como algo normal. Lo que sí puede notar es la velocidad, para bien si el hosting nuevo es más rápido. Donde se pierde posicionamiento es cuando se aprovecha la mudanza para cambiar direcciones sin redirigir las antiguas, y eso es otro trabajo que se planifica aparte.

Qué tienes que hacer tú
Casi nada. Necesitamos el acceso al panel del hosting actual o, si no hay panel, el FTP y el acceso al correo, más el acceso a donde esté registrado el dominio para cambiar las DNS. Si no tienes esos accesos porque la web te la hizo una agencia que ya no existe, suele poder recuperarse. Quien figura como titular del dominio puede pedírselos al proveedor, y en eso te ayudamos.

Cuánto cuesta cambiarse a Netsis
La migración es gratuita al contratar cualquiera de nuestros planes de alojamiento, y el hosting para WordPress empieza en 12 € al mes + IVA. Traemos la web, la base de datos y el correo, lo probamos todo antes del cambio y el día lo eliges tú. Si la web está infectada, antes de moverla hay que limpiarla, con presupuesto aparte, porque llevarse la infección al servidor nuevo no arregla nada.
Si te lo estás pensando, escríbenos desde el formulario de abajo con dónde tienes la web y el correo ahora. Te decimos cómo lo haríamos y qué plan te encaja. Todo el proceso está en migración gratuita a Netsis.