¿Con qué frecuencia debes escanear un sitio WordPress en busca de malware?

No hay una única respuesta correcta. La frecuencia adecuada depende de cuánto te juegas en que el sitio siga limpio y de lo rápido que quieras enterarte si algo va mal. Unos pocos factores hacen casi todo el trabajo, y una regla sirve para la mayoría de los sitios: escanea cada semana y vuelve a escanear después de cualquier cosa que cambie el sitio.

Por qué importa la frecuencia

El daño de una infección crece con el tiempo que pasa sin que nadie la note. Unos días de redirecciones de spam son una molestia que se limpia en una tarde. Unos meses pueden significar que los buscadores marquen el sitio, que el dominio acabe en una lista negra, que se suspenda el hosting y que la limpieza sea mucho mayor, porque el atacante ha tenido tiempo de añadir más puertas traseras.

Por eso la velocidad de detección es la variable real. Un escaneo no evita una infección; limita cuánto dura. Escanear una vez al mes deja que una infección corra hasta un mes antes de que alguien mire. Escanear cada semana lo reduce a una semana.

Qué debería empujarte a escanear con más frecuencia

• El sitio maneja datos de clientes. Datos de pago, cuentas o información personal elevan lo que está en juego y cualquier obligación de notificar una filtración.
• Usa muchos plugins. Cada plugin es más código de terceros que puede tener una vulnerabilidad. Más piezas móviles significa más superficie que vigilar.
• Recibe un tráfico considerable. Un sitio muy visitado es un objetivo más atractivo, y una infección extiende su daño a visitantes y posicionamiento más rápido.
• Lo gestionas para un cliente. Los riesgos de reputación y de contrato son mayores cuando no es solo tu propio sitio.
• Genera ingresos mientras está en línea. Una tienda o un sitio de captación de contactos pierde dinero cada hora que una redirección o un defacement sigue activo.

Un valor por defecto razonable

Semanal es una base sólida para la mayoría de los sitios. Detecta una infección en días y no en meses, y una vez automatizado el escaneo no te cuesta tiempo. Los sitios con varios de los factores de riesgo anteriores pueden justificar escaneos diarios. Un blog personal de poco riesgo puede pasar a mensual, aunque el ahorro es pequeño una vez que el escaneo está automatizado.

• Diario: tiendas en línea, sitios de membresía, cualquier sitio que guarde datos de clientes y sitios que gestionas para clientes.
• Semanal: sitios de empresa, sitios de contenido y la mayoría de las instalaciones de WordPress. Es el valor por defecto desde el que empezar.
• Mensual: sitios de aficionados con pocos plugins, sin acceso para el público y poco tráfico.

Eventos que deberían provocar un escaneo adicional

El calendario es solo una parte. Algunos eventos cambian el riesgo de inmediato, así que escanea justo después en lugar de esperar a la siguiente ejecución programada:

• Instalas o actualizas un plugin o un tema, sobre todo si viene de fuera del directorio oficial. Código nuevo es riesgo nuevo.
• Añades un administrador, o alguien deja el equipo y eliminas uno.
• Se anuncia una vulnerabilidad en algo que usas. Comprueba si estuviste expuesto antes de la corrección.
• Algo parece raro: una caída de tráfico, un aviso de Google, páginas desconocidas en los resultados de búsqueda o un sitio lento. Sigue la comprobación de hackeo en cinco minutos y luego escanea.
• Después de limpiar una infección. Vuelve a escanear uno o dos días más tarde para confirmar que no ha regresado nada; consulta cómo eliminar malware.

Qué debe comprobar realmente un escaneo

La frecuencia solo ayuda si cada escaneo mira lo correcto. Un escaneo útil cubre cuatro áreas:

• Los archivos del núcleo, comparados con las sumas de verificación oficiales de tu versión, como describe la guía de integridad de archivos del núcleo.
• Los archivos nuevos o modificados, en particular los archivos PHP de la carpeta uploads, donde no debería haber ninguno.
• Los patrones de malware conocidos en el código, como funciones ofuscadas que decodifican y ejecutan cargas ocultas.
• La base de datos, donde pueden esconderse scripts inyectados, contenido de spam y cuentas de administrador ilegítimas aunque los archivos parezcan limpios.

Un escaneo que solo lee las páginas que ven los visitantes se perderá la mayor parte, porque muchas infecciones se ocultan del front-end. Escanear desde el servidor, por SSH, llega directamente a los archivos y a la base de datos.