Recupera el SEO de tu web tras un hack en 72 horas

Protección y recuperación de SEO tras hack es la respuesta técnica para salvar rankings dañados: consiste en aislar el sitio, limpiar malware, restaurar indexación y pedir revisión a Google. Muchas acciones críticas de contención y evidenciación pueden completarse en las primeras 24–72 horas, pero la recuperación visible del tráfico y rankings depende del daño y de la reindexación por Google y suele tardar más (habitualmente 7–30 días, con casos extremos hasta 90 días). Ajuste expectativas según alcance de la infección y documente plazos estimados en el plan de respuesta.

Resumen del proceso

1. Aislar el sitio y ponerlo en mantenimiento. Esto preserva evidencia y evita más daño.
2. Hacer copias forenses y validar backups. No restaurar sin analizar la copia.
3. Escanear y eliminar malware en archivos, base de datos y crons. Usar comandos reproducibles.
4. Restaurar o reconstruir según validación de backup. Indicar por qué se elige.
5. Solicitar revisión en Search Console con evidencias y lista de URLs. Adjuntar logs.

6. Reconstruir sitemap, revisar canonicales y revisar backlinks tóxicos. Medir progreso diario.

7. Prioridad 0–72h (checklist priorizado). Las primeras 24–72 horas requieren un orden de operaciones claro: 0–2h: aislar el tráfico (poner modo mantenimiento o bloquear IPs sospechosas) y avisar a hosting; 2–6h: snapshot forense del sistema (archivos + DB) y extracción de logs clave (access/error, php-fpm, firewall) con hash SHA256; 6–12h: identificación rápida de puertas traseras (buscar archivos .php en uploads, crons anómalos, usuarios nuevos) y bloqueo de cuentas administrativas; 12–24h: decisión sobre restaurar o reconstruir parcial, aplicar limpieza sobre copia forense y comenzar comunicación a partes interesadas (hosting, equipo interno, legal si procede); 24–72h: solicitar revisión en Search Console con CSV de URLs y hashes, reconstruir sitemap prioritario (páginas con más tráfico primero), y activar monitorización intensiva. Esta secuencia prioriza contención y evidencia, dejando tareas de endurecimiento secundarias hasta tener la superficie de ataque bajo control.

Protección y recuperación de SEO tras hack

En el contexto de la protección y recuperación de SEO tras hack, la prioridad son las primeras 24–72 horas. Estas horas definen si se conserva tráfico orgánico y la evidencia forense. Cada acción debe ser trazable y reproducible.

Paso 1 Contención y copias forenses

1) Poner el sitio en modo mantenimiento o una página estática desde hosting. Esto tarda entre 2 y 10 minutos.
2) Clonar el sitio en una máquina forense separada (SFTP/rsync). No trabajar sobre el sitio en producción. Esto tarda entre 10 y 40 minutos según tamaño.
3) Exportar la base de datos y comprimirla con gzip. Mantener una copia sin tocar.

Comandos reproducibles para detección rápida en servidor con SSH (ejecutar desde la copia forense):

cd /ruta/a/wordpress

find . -type f -mtime -7 -printf "%TY-%Tm-%Td %TT %p/n" | sort -r



grep -R --line-number -E "eval/(|base64_decode/(|gzinflate/(|preg_replace/(.*//e" .



find wp-content/uploads -type f -name "*.php" -ls



wp core verify-checksums --path=/ruta/a/wordpress



wp user list --fields=ID,user_login,user_email,roles,registered --path=/ruta/a/wordpress

Error típico aquí es restaurar backups sin comprobarlos. Si se restaura un backup infectado, el hack vuelve en minutos.

Paso 2 Limpiar malware y restaurar indexación

La limpieza correcta exige revisar archivos, base de datos, crons y reglas de servidor. No basta con cambiar contraseñas. Hay dos caminos rápidos y uno correcto.
- Rápido 1: Restaurar backup reciente verificado y luego escanear. Usar solo si el backup está limpio. Toma entre 30 minutos y 3 horas.
- Rápido 2: Aplicar un escaneo y eliminar reglas conocidas con regex. Útil para inyecciones pequeñas. Toma entre 1 y 6 horas.
- Correcto: Auditoría manual de archivos + verificación de integridad + limpieza de DB + revisión de crons y usuarios. Toma entre 6 y 48 horas según alcance.

Infografía de flujo 24–72 horas:

Comandos para limpiar entradas maliciosas en base de datos (ejemplo reproducible):

wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%<iframe%src=%' LIMIT 50;"



wp db query "UPDATE wp_posts SET post_content = REPLACE(post_content, 'payload_sospechoso', '') WHERE post_content LIKE '%payload_sospechoso%';"

Comprobar crons del sistema y crons de WP. Revisar wp-config.php y mu-plugins por auto_prepend_file.

• Procedimientos para plataformas no-WordPress. En entornos PHP a medida, Joomla, Magento o tiendas eCommerce la lógica es similar pero cambian rutas y artefactos: buscar ficheros de configuración comunes (config.php, configuration.php en Joomla, app/etc/env.php en Magento), revisar directorios vendor/ y composer.json para dependencias comprometidas, y auditar plantillas y módulos personalizados. Comandos reproducibles útiles: grep -R --line-number -E "eval/(|base64_decode/(|shell_exec/(|system/(|passthru/(|exec/(" /ruta/proyecto para detectar payloads en PHP; find var vendor pub/static -type f -mtime -7 -printf "%p/n" en Magento para archivos modificados; revisar tablas de usuarios (SELECT id, username, email FROM jos_users LIMIT 50; en Joomla) y orders/customers en eCommerce por cambios anómalos. Para sitios estáticos en Nginx/Apache, limpiar cachés del CDN y purgar los endpoints afectados, inspeccionar .htaccess, rewrite rules y archivos de configuración del servidor. Documentar cada comando y resultado en el informe forense para la revisión en Search Console y para la trazabilidad legal.

Paso 3 Recuperar tráfico orgánico y enlaces

La auditoría de backlinks y contenido define la recuperación de rankings. Un SEO técnico mal gestionado retrasa la recuperación.
1) Exportar las URLs indexadas antes y después del incidente desde Search Console.
2) Reconstruir sitemap y enviar en Search Console. Esto acelera el recrawling.
3) Revisar canonicales, noindex y redirecciones 301; corregir errores 4xx y 5xx.

Comandos y acciones para backlinks y contenido:

• Descargar lista de URLs indexadas con Search Console y comparar con sitemap.
• Usar curl -I https://dominio/URL para comprobar encabezados y canonical.

Caso práctico anónimo

Un ecommerce WooCommerce perdió 75% de tráfico en 48 horas por inyección masiva. Se aisló el sitio en 3 horas. La limpieza forense y reconstrucción parcial tardó 5 días. En 21 días el tráfico llegó al 90% del original. Coste aproximado: 1.200–3.500 EUR según alcance.

Paso 4 Restaurar confianza y gestionar reputación

Comunicar rápido reduce impacto reputacional. Informar a hosting, Google y usuarios en las primeras 24 horas. Adjuntar evidencia simple y pasos tomados.
Plantillas reproducibles para notificaciones (editar datos):

Asunto: Incidente de seguridad en dominio.com

Texto: Hemos detectado actividad maliciosa en nuestro WordPress. El sitio está en modo mantenimiento. Estamos haciendo una limpieza forense. Le informaremos cuando el sitio vuelva. Usuario: nombre. ID incidencia: 2026-0001.

Asunto: Solicitud de revisión por seguridad en Search Console

Texto: Sitio limpiado y backdoors eliminados. Adjuntamos listado de URLs afectadas, logs con hashes SHA256 y pasos ejecutados. Solicitamos revisión urgente para eliminar la advertencia.

Asunto: Comunicación a usuarios

Texto: Se detectó actividad no autorizada que pudo afectar datos. Contraseñas reseteadas. Recomendamos cambiar su contraseña y vigilar movimientos. Más info en enlace.

Involucrar al departamento legal tan pronto como exista riesgo de datos personales o cuando no se pueda descartar su exposición. La coordinación legal debe iniciarse en paralelo a la contención (primeras 24 horas) para gestionar obligaciones regulatorias y comunicaciones a usuarios. Si tras la investigación inicial se confirma que no hubo fuga, legal ayudará a matizar el mensaje público y evitar notificaciones innecesarias.

Protección y recuperación de SEO tras hack post-limpieza

Después de limpiar, el trabajo SEO es operativo y continuo. Reindexación, sitemaps y seguimiento diario son obligatorios. Hacer un seguimiento con Search Console durante 14–30 días.
Según Google 2024, las revisiones de seguridad suelen tardar entre 1 y 14 días, con picos hasta 21 días en casos complejos.
Según Wordfence 2024, la mayoría de intrusiones aprovecha plugins desactualizados. Esto justifica un plan de parches estricto.

• Plan de monitorización post-limpieza (KPIs y alertas). Tras limpiar, active una monitorización intensiva 0–30 días y luego observación extendida 90 días: KPIs recomendados:

• Tráfico orgánico diario (sesiones orgánicas en GA4) con umbral de caída >20% día a día

• Impresiones/clicks en Search Console por página principal, alerta si caen >30% en 3 días
• Índice de cobertura (Search Console) para detectar nuevas entradas 'no index' o errores 4xx/5xx
• Número de páginas canonicalizadas erróneamente
• Nuevas entradas en logs de WAF o patrones de tráfico inusuales. Herramientas y alertas: configurar alertas por correo/Slack para errores 5xx recurrentes, umbrales en GA4 para caídas de sesiones, y una regla de SIEM/ELK que notifique ejecución de comandos sospechosos o creación de ficheros .php en uploads. Informes: resumen diario durante 14 días, semanal hasta 90 días, con CSV de URLs recrawleadas y captura de correlación entre cambios y volúmenes de tráfico

Medidas preventivas backups actualizaciones y endurecimiento WP

1) Backups automáticos diarios con retención de 30 días y almacenamiento fuera del servidor.
2) Actualizaciones programadas de core, plugins y temas con testing en staging.
3) Hardening: desactivar edición de archivos, limitar intentos de login, usar 2FA y firewall de aplicaciones.

Comandos y settings rápidos:

wp config set DISALLOW_FILE_EDIT true --raw

Tiempo estimado y coste según alcance

• Infección leve (scripts en uploads): 3–8 horas, 150–600 EUR.
• Infección moderada (backdoors en archivos y DB): 1–3 días, 600–2.000 EUR.
• Infección grave (reconstrucción necesaria): 3–10 días, 2.000–10.000 EUR.

Comprobaciones técnicas con Search Console robots.txt y sitemap

La diferencia principal entre pedir una revisión apresurada y preparar evidencia es la velocidad de respuesta. Preparar evidencia acelera la retirada de advertencias.
Pasos exactos para solicitar revisión en Search Console:

1. En Google Search Console ir a Seguridad y Acciones Manuales.
2. Seleccionar la advertencia y clicar Solicitar revisión.
3. Incluir lista de URLs limpiadas, hashes SHA256 de archivos, logs de acceso y resumen de pasos.

Evidencias recomendadas para adjuntar

• CSV con URLs afectadas.
• ZIP con logs de acceso en ventanas de ataque (gz).
• Hashes SHA256 de archivos antes/después y comandos usados.

Enlace de ayuda de Google para acciones de seguridad: Google Search Central seguridad

Errores que arruinan el resultado

• Restaurar backup sin analizarlo. Esto reintroduce la amenaza y retrasa la recuperación.
• No informar a hosting o a Google. El sitio puede seguir marcado y el tráfico seguirá cayendo.
• Cambiar solo contraseñas sin revisar archivos, crons y usuarios. Los backdoors persisten.

Cuándo no funciona este método

No aplica si la pérdida de tráfico se debe a un cambio de algoritmo o a una caída del CDN, sin compromiso del backend.
Si el sitio es estático en CDN, la limpieza forense del back-end no repara cachés externas; contactar al proveedor CDN.

Preguntas frecuentes

¿Cómo saber si mi WordPress ha sido hackeado?

La señal más clara es contenido desconocido o redirecciones a sitios externos. También aparecerán avisos en Search Console. Revisar archivos modificados y usuarios nuevos. Ejecutar los comandos de detección del Paso 1. Si hay cambios en rankings y mensajes de Google, hay indicios fuertes.

¿Qué hago si Google marca mi sitio como peligroso?

Poner el sitio en mantenimiento y clonar para análisis forense. Limpiar malware y generar evidencia. Solicitar revisión en Search Console con logs y lista de URLs. Google suele responder en 1–14 días.

¿Cuánto tarda Google en eliminar la advertencia de seguridad?

Normalmente entre 1 y 14 días según Google 2024. Casos complejos pueden tardar hasta 21 días. Entregar evidencia clara reduce tiempos.

¿Cómo pedir una revisión de seguridad en Google Search Console?

En Search Console ir a Seguridad y Acciones Manuales. Seleccionar la advertencia y clicar Solicitar revisión. Adjuntar CSV de URLs, logs y resumen técnico de limpieza.

¿Puedo recuperar mi SEO después de un hack?

Sí, con limpieza completa y acciones SEO correctas se recupera la mayor parte del tráfico. En casos medio-graves la recuperación visible tarda entre 7 y 30 días. Monitorizar diariamente.

¿Debo restaurar una copia de seguridad o limpiar la web infectada?

Si el backup está verificado y limpio, restaurar es más rápido. Si hay dudas, reconstruir parcial o total es la opción segura. Error común: restaurar sin validar.

¿Cómo evitar que mi sitio vuelva a ser hackeado?

Mantener backups, aplicar actualizaciones, eliminar plugins no necesarios y usar 2FA. Revisar logs y programar auditorías cada 7–30 días.

Informe y recursos de Wordfence

• Con 1.000 productos, salva pedidos en Woo: nube o local
• El último backup no siempre es el seguro tras un hackeo

Josu Barrios

Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.