Las redirecciones maliciosas pueden ser condicionales —se activan solo en móvil, solo desde buscadores o una vez por visitante—, y por eso el propietario a menudo no consigue reproducirlas desde su propio ordenador. Encontrar la inyección exige conocer todas las capas donde puede esconderse.
En una tienda, acuerda cómo conservar actividad actual y pedidos recientes antes de cambiar o restaurar. Distingue salidas previstas al proveedor de pago de destinos inesperados y concreta recorridos afectados y seguimiento. La guía de WooCommerce que redirige a otra web desarrolla esa valoración para ecommerce y las condiciones que debe volver a comprobar la reparación.
Paso 1 — Reproduce y registra las condiciones
Registra ruta pública inicial, destino visible, dispositivo, navegador, origen de visita y hora aproximada. Estas condiciones ayudan a investigar y definir un caso conocido que volver a comprobar. Superarlo documenta el resultado observado; no establece que se hayan eliminado todos los disparadores o mecanismos de persistencia posibles.
Paso 2 — Busca en cada escondite
- Base de datos: revisa
wp_optionsporsiteurlyhomemanipulados, y busca en las tablas<script>inyectado o dominios externos. - Archivos del tema:
header.php,footer.phpyfunctions.phpson puntos de inyección habituales. - Reglas del servidor:
.htaccesssuele llevar reglas de redirección condicional según user-agent u origen. - Componentes must-use: revisa archivos PHP cargados directamente y los cargadores que utilicen. Estar en un subdirectorio no implica carga automática; los componentes legítimos aparecen en el listado Must-Use separado.
- Tareas programadas: una entrada de cron que reinyecta el código tras la limpieza.
¿Tu web está afectada ahora mismo?
Envía la URL y el síntoma que ves. Jordi Ensenyat revisa el caso personalmente y define el alcance y el presupuesto antes de tocar nada. Este formulario nunca pide contraseñas.
Paso 3 — Por qué una sola edición no basta
La redirección visible suele ser la última fase de la carga. Si queda una puerta trasera o la credencial robada sigue siendo válida, la redirección puede volver. La eliminación tiene que ir acompañada del cierre de la vía de entrada —el componente vulnerable o la cuenta comprometida— y de la rotación de credenciales.
Paso 4 — Verifica bajo el disparador original
Repite el recorrido afectado y compara las respuestas pertinentes del origen y de la capa de entrega. Si persiste una respuesta afectada en caché, invalida las entradas identificadas en la capa correspondiente después de corregir el origen. Las sesiones de clientes y los datos de operaciones quedan fuera de un vaciado rutinario de caché. Registra qué condiciones se comprobaron y cuáles siguen pendientes.
Cuándo escalar
Las redirecciones recurrentes, el efecto sobre varias webs o un aviso de buscador justifican ampliar la investigación. Aporta ruta pública inicial, dominio de destino y condiciones observadas, retirando valores sensibles. El alcance distinguirá configuración, origen del salto e indicios que requieran tratar una intrusión más amplia.
RECUPERACIÓN WORDPRESS BASADA EN EVIDENCIA
Rastrear las redirecciones en todas sus capas
En recuperación de incidencias WooCommerce y ecommerce, el síntoma visible puede estar lejos de la causa. recuperar los recorridos de venta preservando pedidos, datos de clientes y evidencias de pago. El malware de redirección puede aparecer solo en móvil, para el tráfico de búsqueda o en la primera visita. La carga puede vivir en un plugin, el tema, una opción de la base de datos, una regla del servidor, un script inyectado o una tarea programada, así que un único escaneo de archivos no basta.
Qué comprobamos
- El recorrido completo, no solo la pantalla donde aparece el error
- Dependencias externas, registros y evidencias antes de cambiar configuración
- Comportamiento de la redirección por dispositivo, origen, sesión y URL afectada
- PHP y JavaScript modificados, inyecciones en base de datos y plugins falsos
- Reglas del servidor, tareas programadas y dependencias de scripts externos
- Peticiones limpias tras vaciar caché y señales de vigilancia posterior
Qué significa un resultado verificado
El cierre documenta la causa encontrada, el cambio aplicado y las pruebas realizadas. El resultado debe ser observable y repetible, no una impresión de que “parece funcionar”.
ANTES DE LA EVALUACIÓN
Preguntas frecuentes sobre esta incidencia
¿Cómo se comprueba que el problema está realmente resuelto?+
Se reproduce el recorrido afectado, se revisan sus dependencias y se documenta la evidencia posterior al cambio.
¿Por qué la redirección ocurre solo en móvil o desde Google?+
Los atacantes suelen condicionar las redirecciones por dispositivo, origen, cookie o número de visitas para que el propietario no las detecte.
¿Sustituir el .htaccess elimina la infección?+
Solo si ese archivo es la única causa. Las redirecciones también pueden persistir en PHP, JavaScript, la base de datos, tareas cron o recursos externos.
¿Cómo comprobáis que la redirección ha desaparecido?+
Se vuelven a probar las condiciones que la activaban y se tienen en cuenta las cachés. Se revisan registros y avisos externos cuando están disponibles.