Una suspensión por malware cambia el orden de recuperación. El proveedor ya ha contenido una parte del riesgo, así que conserva su informe y prepara una base limpia antes de solicitar la reapertura de la cuenta.
Recoge evidencia y alcance del proveedor
Guarda rutas marcadas, hora del escaneo, motivo de suspensión y dominios afectados. Determina si se detectó un único archivo, un compromiso de cuenta más amplio o abuso de salida.
Conserva una copia recuperable antes de limpiar
- Haz una copia offline o aislada de archivos y base de datos si el proveedor lo permite.
- Guarda muestras maliciosas fuera de rutas ejecutables.
- Registra versiones de WordPress, PHP, plugins y tema.
- Enumera otras webs que compartan cuenta o credenciales.
Construye el baseline limpio fuera del tráfico público
Reinstala core y componentes de confianza, clasifica código propio y elimina persistencia confirmada. Contrasta cambios inesperados con el triaje de alertas de integridad y el core con checksums fiables de WordPress.
Cierra la vía de entrada antes de reactivar
- Actualiza o sustituye el componente vulnerable.
- Rota credenciales de hosting, WordPress, SFTP, base de datos y APIs relevantes.
- Elimina administradores desconocidos e invalida sesiones.
- Revisa permisos y directorios escribibles.
Cumple de forma explícita los requisitos del reescaneo
Una home que “se ve bien” no basta. El escáner del proveedor ya no debe encontrar los artefactos marcados y debe detenerse cualquier comportamiento de salida abusivo.
No restaures un backup completo a ciegas
Si la copia ya contiene el compromiso, solo devuelves la incidencia a un timestamp anterior.
Controles antes de volver a servicio
Reactiva cuando el proveedor acepte el estado limpio, el acceso privilegiado esté rotado, la integridad permanezca estable y el tráfico normal no recree los archivos o comportamientos que causaron la suspensión.