Un antivirus o producto de seguridad bloquea la web, pero otro dispositivo la abre con normalidad. El aviso puede corresponder a un payload activo, redirección selectiva, script externo, descarga comprometida o reputación de una infección ya eliminada.
No lo descartes como falso positivo ni pidas a los clientes que desactiven su protección.
Conserva el aviso exacto
Registra producto, nombre de detección, URL bloqueada, hora y captura. Anota si apareció al navegar, pulsar, descargar o solo en una página.
Etiquetas como “troyano”, “phishing” o “script sospechoso” orientan, pero no identifican por sí mismas el archivo. No publiques licencias, identificadores de usuario o logs completos.
Si el producto facilita un ID de evento, hash o dominio, consérvalo sin copiar el payload. Comprueba si varias alertas apuntan al mismo recurso o si son detecciones diferentes. Esa correlación permite separar una única biblioteca comprometida de una infección distribuida por varias capas.
Consulta fuentes de reputación autorizadas
Revisa Google Safe Browsing, Search Console, hosting y el procedimiento para propietarios del fabricante. Utiliza únicamente consultas o recursos de revisión oficiales.
Evita enviar toda la web o datos de clientes a escáneres aleatorios que pueden conservar URLs y muestras. Un resultado limpio de reputación tampoco invalida una detección concreta: el malware selectivo no aparece en cada análisis.
Reproduce de forma segura
Usa un perfil aislado sin sesiones administrativas. Prueba la página, referrer, tipo de dispositivo y primera visita descritos.
Registra la cadena de red y detente si aparece una descarga o solicitud de credenciales. No completes CAPTCHA falsos ni permitas notificaciones. Compara acceso directo y desde búsqueda; algunas infecciones evitan administradores y repetidores.
Identifica el recurso bloqueado
El antivirus puede detener:
- el documento HTML;
- un script externo inyectado;
- un iframe o destino de redirección;
- JavaScript del tema o plugin;
- un ejecutable o archivo comprimido;
- un dominio de publicidad o Tag Manager.
Relaciona el detalle del producto con una petición concreta en las herramientas del navegador. Si procede de un widget legítimo, desactívalo hasta confirmar su seguridad y contacta con el proveedor. No añadas el dominio a permitidos sin investigarlo.
Examina persistencia en WordPress y hosting
Conserva copias de archivos y base. Revisa modificaciones, plugins, temas, uploads, configuración, scripts en base, usuarios, tareas y redirecciones del panel.
Compara el núcleo con su release oficial. Sustituye archivos fiables confirmados como modificados desde paquetes verificados, pero investiga primero cómo cambiaron.
Comprueba webs vecinas y credenciales compartidas. Una vía fuera de la instalación visible puede reinsertar el código.
Distingue malware activo de reputación antigua
Si la cadena original está limpia y una revisión completa no descubre payload, el aviso puede proceder de reputación histórica o caché infectada.
Verifica desde sesiones y regiones CDN limpias y usa la reevaluación oficial del fabricante. Entrega evidencia breve sin credenciales ni copias privadas.
No solicites revisión antes de limpiar. Los rechazos repetidos pueden retrasar la recuperación y reducir confianza.
Verifica después de reparar
Repite la URL y el desencadenante exactos, tanto en origen como por CDN, y confirma que no quedan peticiones o descargas desconocidas. Monitoriza logs y archivos.
Prueba formularios, checkout y Analytics tras retirar scripts, porque el cargador malicioso podía estar mezclado con un recurso importante.
Documenta la versión de cada recurso sustituido y repite la prueba tras un ciclo de caché normal. Una respuesta limpia justo después de purgar no descarta que una tarea programada o despliegue vuelva a publicar el archivo horas después.
Cuándo pedir limpieza de malware
Solicita evaluación urgente si el aviso identifica una descarga, aparece solo a visitantes o afecta varias páginas. Comparte captura, URL y hora, nunca el archivo sospechoso ni contraseñas.
El resultado debe incluir causa demostrada, componentes limpios, vía de entrada cerrada, revisión del proveedor cuando proceda y una verificación repetible.