Si una web WordPress envía spam, es una incidencia de salida, no solo un problema de correo. Primero hay que saber si los mensajes los genera WordPress, una credencial SMTP/API comprometida o directamente el servicio de correo del hosting.
Identifica la ruta real de envío
Relaciona timestamps del proveedor o de la cola con logs de WordPress, formularios y eventos programados. Registra remitente, patrón de destinatarios, familia de asuntos y cuenta o clave API utilizadas.
Contén la cola sin destruir evidencia
- Pausa la ruta confirmada si el abuso sigue activo.
- Conserva una muestra de metadatos de cola y logs del proveedor.
- No borres toda la cola hasta separar mensajes legítimos y spam.
- Revisa reputación y posibles restricciones del proveedor tras contener.
Orígenes habituales del correo no deseado
- Formularios o registros comprometidos.
- Plugin o tema con código de envío inyectado.
- Callbacks programados que siguen generando mensajes.
- Credenciales SMTP o de API de correo robadas.
Encuentra el origen antes de rotar todas las credenciales
Si el correo aparece con periodicidad, revisa tareas cron maliciosas. Si el código se ejecuta antes de los plugins normales o reaparece, comprueba persistencia en mu-plugins. Rota SMTP/API cuando la fuente activa ya esté contenida.
Reconstruye una ruta de correo fiable
- Elimina la fuente maliciosa o abusada.
- Actualiza o sustituye el componente vulnerable.
- Rota credenciales de correo y cuentas privilegiadas.
- Restaura solo flujos transaccionales esperados.
- Monitoriza volumen y eventos del proveedor.
No desactives wp_mail indefinidamente
Puedes romper recuperaciones de contraseña, emails de pedido y alertas sin corregir una credencial SMTP comprometida.
Verificación
La incidencia queda cerrada cuando se detiene el spam en el proveedor, el correo legítimo funciona, ninguna tarea o sender oculto recrea la cola y la reputación o el estado de la cuenta empiezan a normalizarse.