Tu WooCommerce está hackeado.
Empezamos hoy a recuperarlo.

El Rescate Express parte de 390 € + IVA (una tienda WooCommerce, infección estándar). Si el caso es más complejo —infección multicapa, meses comprometida, hosting suspendido o multisitio— el Rescate Completo va de 690 a 1.200 € + IVA. Si necesitas intervención en sábado, domingo o festivo, el Rescate Fin de Semana / Festivo parte de 590 € + IVA. Y si hay robo de tarjetas o fuga de datos, el Incidente Crítico / Magecart parte de 1.500 € + IVA. El precio exacto se cierra tras el diagnóstico, que es gratis.

El primer contacto es en menos de 2 horas laborables. La mayoría de tiendas quedan limpias y operativas en 24-72h desde que nos das los accesos. Lo que más alarga el plazo en WooCommerce es el número de plugins y temas a verificar y una instalación multisitio; si tu caso es de esos, te lo decimos en el diagnóstico antes de empezar.

Incluimos blindaje tras la limpieza y una garantía de 30 días: si vuelve a entrar por la misma vía que documentamos en el informe final, lo corregimos sin coste. En WooCommerce el blindaje incluye bloquear la ejecución de PHP en wp-content/uploads, que es donde más veces se deja la puerta trasera. Y con nuestro plan de Guardia gestionada mantenemos al día WordPress, WooCommerce y los plugins, que es de donde vienen la mayoría de reinfecciones.

Es la pregunta honesta y la respondemos antes de que la hagas. La garantía cubre que vuelvan por LA MISMA VÍA que cerramos, y esa vía queda documentada en el informe final: eso es lo que fija la frontera. Tiene dos condiciones —avisarnos dentro de los 30 días y volver a facilitarnos los accesos— y se limita a una única intervención por incidencia. Y no cubre seis cosas: infecciones que entren por una vía distinta (eso es un incidente nuevo y se presupuesta aparte); que se vuelva a instalar el plugin o el tema vulnerable que originó el problema, o lo que entre por plugins instalados o actualizados después de la entrega; que no se apliquen las recomendaciones del informe calificadas como críticas; que el problema venga de credenciales facilitadas, reutilizadas o filtradas por ti o por alguien de tu entorno después de la entrega, incluido no haber cambiado las contraseñas que nos diste; cambios que haga un tercero con acceso al servidor o al alojamiento después de la entrega; e incidencias de la infraestructura de tu hosting que quedan fuera de nuestro control. Tampoco incluye indemnización por lucro cesante ni por daño reputacional: se agota en dejar la tienda otra vez limpia. Lo tienes todo escrito, con el texto literal de la cláusula que firmas, en la página de la garantía.

Sí: acceso al hosting/servidor y al escritorio de WordPress con rol de administrador. En el primer contacto todavía no hace falta ninguno; los pedimos cuando aceptas el diagnóstico, y te indicamos exactamente cómo dárnoslos de forma segura.

Tres documentos, y los tres antes de que nos des un solo acceso. La hoja de encargo, con el alcance, el precio cerrado, los plazos y la garantía de 30 días. El contrato de encargado del tratamiento del artículo 28 del RGPD, porque vamos a ver datos personales de tus clientes en las tablas de WooCommerce. Y la autorización de acceso a sistemas, donde marcas sistema por sistema a qué nos autorizas y a qué no —hosting, SSH, base de datos, escritorio de WordPress, DNS, Search Console—: lo que no marcas, no se toca. Te los enviamos con el presupuesto cerrado para que los leas sin prisa.

Para limpiar un WooCommerce hay que entrar en la base de datos, y ahí están los datos personales de tus clientes: nombres, direcciones, teléfonos y los pedidos completos. Eso nos convierte en encargados del tratamiento y a ti en responsable, y se firma por escrito con un contrato del artículo 28 del RGPD: solo tratamos esos datos siguiendo tus instrucciones y para limpiar y blindar, nunca para fines propios; acceso por canales cifrados y credenciales individuales; no subcontratamos sin tu autorización escrita ni sacamos los datos del Espacio Económico Europeo sin tu instrucción; si hay una brecha te avisamos sin dilación para que puedas cumplir tus plazos; y al terminar suprimimos los datos y las copias temporales que tengamos.

Solo si están infectados, y siempre sobre la copia previa. Un tema hijo y su functions.php son un escondite habitual de código inyectado, así que hay que revisarlos: comparamos contra el original lo que sí tiene original (núcleo de WordPress, WooCommerce, plugins y temas del repositorio) y, en el código que has escrito tú o tu desarrollador, aislamos lo que se ha añadido en lugar de reemplazar el archivo entero. Si algo se toca, va en el informe final.

Es lo primero que hay que acordar en el diagnóstico, porque depende de cada tienda. Antes de tocar nada hacemos copia del estado actual y trabajamos sobre esa base, cuidando las tablas de pedidos y clientes de WooCommerce. Si la tienda sigue vendiendo mientras trabajamos, te decimos en el diagnóstico cómo lo planteamos en tu caso para no perder pedidos, y al terminar comprobamos que la ficha de producto, el carrito y la pasarela funcionan.

No es el objetivo. Los plugins que vienen del repositorio o del desarrollador se pueden reinstalar limpios en su misma versión, conservando su configuración. Lo que sí te diremos es si alguno es la vía de entrada o si ya no lo mantiene nadie: en ese caso te recomendaremos retirarlo o sustituirlo, y la decisión es tuya. Al cerrar comprobamos que el checkout y la pasarela siguen operativos.

Trabajamos sobre prácticamente cualquier hosting o servidor. Si tu proveedor ha suspendido la cuenta por malware o por envío de spam, también gestionamos su reactivación y les aportamos el informe de lo que se hizo, que es lo que suelen pedir para levantar la suspensión.

El objetivo es recuperar tu tienda intacta. Hacemos copia de seguridad antes de tocar nada y trabajamos sobre esa base, cuidando la base de datos de WooCommerce.

Se mira igual, porque en WordPress es muy frecuente: hay inyecciones que viven en wp_options, en el contenido de wp_posts o en usuarios administradores creados en wp_users que el escritorio no siempre muestra. Por eso auditamos los usuarios y el cron contra la base de datos en crudo y no contra lo que enseña el panel, y limpiamos archivos y base de datos a la vez: si limpias solo un frente, vuelve.

Puede pasar, y lo decimos antes: quien te promete que no se tocará nada o no ha limpiado un WooCommerce de verdad, o piensa contártelo el día que ocurra. En WordPress lo habitual es encontrar el código inyectado dentro de un plugin desactualizado, del functions.php del tema o de un mu-plugin que nadie instaló a propósito; al sacarlo de ahí puede resentirse la funcionalidad que ese plugin daba. Por eso hacemos copia del estado actual antes de tocar nada y trabajamos sobre ella, y si vemos que el código viene enredado con un plugin de pago o de envíos que usas a diario te lo decimos antes de seguir. Si algo se rompe por un error nuestro, lo corregimos o revertimos nosotros sin coste. Rehacer desde cero una funcionalidad que dependía de un plugin abandonado, cuando no hay error nuestro, es trabajo aparte y se presupuesta: lo dice la cláusula SÉPTIMA de la hoja de encargo y lo sabrás antes, no en la factura.

Sí. WordPress y WooCommerce son nuestra especialidad, pero también trabajamos con PrestaShop, Magento, Drupal, Joomla y otros sistemas PHP.