Qué importa primero: Google puede indexar páginas maliciosas que no existen como publicaciones de WordPress. La solicitud puede ser interceptada antes de la plantilla normal, generada a partir de cadenas de consulta o ocultada de administradores registrados.
Qué indica realmente este síntoma
La brecha entre wp-admin y la respuesta pública es evidencia. Comience desde URLs afectada, no desde la lista de publicaciones, y rastree la ruta de código que devuelve 200.
Recopila pruebas antes de cambiar nada
- Recopila una muestra en diferentes patrones y fechas de spam.
- Obtener cada URL loged out y como un rastreador, registro de estado, encabezados y cuerpo.
- Inspecciona las reglas de reescritura, los archivos automáticamente preparados, los plugins mu y los puntos de entrada activos de tema.
- Buscar opciones de base de datos y transitorios para plantillas codificadas o listas de palabras clave.
Causas más habituales
- Reescribir la intercepción: Las reglas maliciosas conducen caminos arbitrarios a un cargador oculto.
- Compromiso de auto-prepensión: La configuración de PHP carga código malicioso antes de WordPress.
- Carga útil basada en opciones: Una opción descargada automáticamente almacena código o un punto final remoto.
- Capas condicionales: Los administradores ven páginas normales mientras que los rastreadores reciben spam.
Secuencia segura de diagnóstico y reparación
- Preservar la configuración del servidor así como los archivos WordPress.
- Eliminar el punto de ejecución malicioso más temprano y cada mecanismo de persistencia.
- Compara el núcleo, plugins y temas con los paquetes anteriores de confianza.
- Limpie los mapas del sitio, devuelva los estados precisos y monitorice los nuevos patrones URL indexados.
Cómo distinguir entre las causas probables
No trates Reescribir la intercepción y Compromiso de auto-prepensión como causas equivalentes. Las reglas maliciosas conducen caminos arbitrarios a un cargador oculto. En cambio, la configuración de PHP carga código malicioso antes de WordPress. Para distinguirlas, usa estas dos comprobaciones: Recopila una muestra en diferentes patrones y fechas de spam; y obtener cada URL loged out y como un rastreador, registro de estado, encabezados y cuerpo. Con esos datos podrás decidir si conviene aplicar la primera acción controlada —Preservar la configuración del servidor así como los archivos WordPress— o si debes conservar el estado actual y ampliar la investigación.
En una web comprometida, contener y limpiar son decisiones distintas. Conserva el archivo sospechoso y los registros de acceso antes de eliminar la persistencia, y rota las credenciales solo después de cerrar la vía activa. Documenta la fecha y hora exactas, la URL o transacción afectada, el último estado correcto conocido y cada cambio realizado durante el diagnóstico. Ese registro permite distinguir una reparación reproducible de una desaparición temporal del síntoma.
Qué no debes hacer
No redirigir cada spam URL a la página de inicio. Puede preservar las señales de mal índice y ocultar si la generación realmente se ha detenido.
Cómo verificar la reparación
- Las muestras de Spam ya no devuelven contenido malicioso a ningún agente de usuario probado.
- URLs inesperado ya no se añade a los mapas de sitio o a la consola de búsqueda.
- Después de cron y reinicie, no se devuelve ningúna carga útil oculta del cargador ni de la base de datos.
Que el síntoma visible desaparezca no es suficiente. Cierra la incidencia solo cuando la acción original que fallaba, el recorrido de negocio relacionado y los registros relevantes confirmen que el problema ha desaparecido.