Copiar archivos limpios encima de una web hackeada cambia fechas, elimina payloads y hace poco fiable cualquier comparación posterior. Es más seguro congelar la raíz comprometida y construir otra limpia.
Conserva una instantánea fiable antes de cualquier operación destructiva.
Contén la ejecución pública
Utiliza controles de hosting/CDN o mantenimiento estático externo. Deshabilita checkout, descargas o login inseguros mientras mantienes acceso controlado para responder.
No dejes ejecutable la raíz infectada por conservarla. El aislamiento protege visitas y evidencia. Registra método y bypass temporal.
Captura la raíz original
Crea una instantánea con archivos ocultos, propietarios, permisos y configuración superior relevante. Conserva por separado logs web, PHP, FTP y panel antes de su rotación.
Guarda fuera de rutas públicas con acceso limitado. Anota origen, hora, tamaño y checksum. No envíes archivos por correo ni a una unidad compartida ordinaria.
Si el proveedor genera el snapshot, conserva también el identificador de trabajo y confirma si incluye enlaces simbólicos, archivos abiertos y directorios superiores. Registra quién descargó cada copia y evita volver a comprimir el único original, porque cambiaría el artefacto utilizado como referencia.
Conserva listados de metadatos
Captura rutas, tamaños, propietarios, permisos, fechas de modificación/cambio y hashes. El listado permite comparar aunque cambie la copia de trabajo.
Las fechas pueden falsificarse y una copia puede alterarlas; conserva metadatos del snapshot del proveedor. No abras archivos sospechosos desde el navegador.
Crea una raíz limpia
Instala núcleo, plugins y temas mantenidos desde fuentes fiables en otro webroot. Recrea configuración con secretos nuevos y permisos limitados.
Valida desarrollo propio desde un repositorio o versión conocida. No copies carpetas completas desde el incidente. Mantén sin cambios el DNS o mapeo productivo hasta probar.
Configura propietarios y permisos
Crea la raíz bajo el usuario del sistema y handler PHP previstos. Aplica solo directorios escribibles necesarios; no conviertas todo en escribible para resolver despliegues.
Separa despliegue de uploads cuando sea viable. Registra baseline de usuario, grupo y modo. Prueba actualizaciones y medios sin dar escritura a toda la cuenta.
Importa medios selectivamente
Copia tipos validados, no caché, backups, temporales o ejecutables. Busca PHP, reglas de servidor y extensiones inesperadas en uploads.
Regenera miniaturas y recursos. Guarda muestras sospechosas aparte y nunca publiques evidencia. Documenta exclusiones intencionadas.
Importa la base con cuidado
Usa una captura protegida y revisa usuarios, opciones, cron, snippets, redirecciones y contenido de constructores antes de conectarla al código limpio.
Evita sustituciones amplias o restauración total si sospechas persistencia. Protege filas afectadas y utiliza cambios compatibles con WordPress. Mantén el original solo lectura.
Compara antes del cambio
Utiliza hosts controlados o preview del proveedor con el hostname canónico. Prueba redirecciones, cookies, REST/AJAX e indicadores sin correo o pagos reales.
Compara logs y archivos de la raíz nueva durante cron, caché y login administrador. Una portada estática limpia no valida la aplicación.
Cambia de forma reversible
Tras probar, cambia document root, virtual host o symlink de release según el hosting. El rollback debe volver a mantenimiento seguro y no reactivar la web infectada.
No muevas o borres con patrones amplios. Registra rutas antiguas y nuevas exactas. Purga caché después de confirmar el mapeo.
Conserva y elimina responsablemente
Retén evidencia durante el periodo aprobado y limita accesos. Retira copias temporales, ZIP/SQL públicos y credenciales obsoletas tras recuperar.
Si aplican obligaciones legales o de pago, usa su calendario. Registra custodia y eliminación final.
Verifica la nueva producción
Prueba redirects, login, usuarios, formularios, checkout, cron, correo, uploads y copias. Monitoriza archivos, base, cuentas y peticiones a rutas antiguas.
Confirma que la raíz infectada no ejecuta ni recibe tráfico. Reconcilia la actividad del mantenimiento. Si la única copia sigue activa, solicita recuperación urgente mediante inventarios y acceso gestionado, nunca archivos públicos.