# Página web hackeada o caída: lo que cuesta cada día sin página > Por qué se cae o hackean la página de un negocio (casi siempre un plugin sin actualizar), qué hacer hoy si ya pasó y cuánto cuesta cada día sin página. *Fuente: https://jahzielcabrera.site/blog/pagina-web-hackeada-o-caida-lo-que-cuesta-cada-dia/* [Jahziel Cabrera](https://jahzielcabrera.site/sobre-mi/) · 29 de septiembre de 2026 · 9 min de lectura Respuesta corta Una página hackeada o caída casi nunca es mala suerte: el 91 % de las vulnerabilidades nuevas de WordPress está en plugins y el 46 % se publica sin parche (Patchstack, 2026), y el 39.1 % de los sitios infectados tenía el sistema desactualizado al momento del ataque (Sucuri). Lo que cuesta no es el arreglo, sino los días sin página: el 37 % de las pequeñas empresas calcula que una hora caída le cuesta entre 1,000 y 5,000 dólares (Calyptix/ITIC, 2025), y si Google te marca como peligroso, quitar el aviso tarda de varios días a varias semanas. La salida es tener menos partes que se rompan y los accesos a tu nombre. En este artículo - Lo que cuesta cada día sin página - Por qué se cae o la hackean: casi siempre es lo que nadie actualiza - Las tres formas en que muere una página - Qué hacer hoy si ya pasó - Cómo evitar que vuelva a pasar: menos partes que se rompan - Ejemplo: un hotel en Boca del Río - Por dónde empezar “Mi página lleva tres días sin abrir y el que la hizo no me contesta.” Me lo dijo el dueño de un despacho, y la versión que más escucho en Xalapa es parecida: “Google dice que mi sitio es peligroso y no sé desde cuándo”. En los dos casos la página existe, se pagó, y hoy vale menos que no tenerla: el que te busca encuentra un error o un aviso rojo, y se va con el de al lado. Aquí te explico por qué pasa (casi siempre por algo que nadie actualizó), cuánto cuesta cada día que sigue así, qué hacer hoy y cómo evitar que se repita. ## Lo que cuesta cada día sin página Una página caída o marcada como peligrosa cuesta tres cosas: los clientes que no llegan, las horas que gastas en resolverlo y la confianza que no regresa. El 37 % de las pequeñas empresas calcula que **una hora** de caída le cuesta entre 1,000 y 5,000 dólares, y un 8 % la ubica por arriba de 25,000 dólares (Calyptix/ITIC, 2025). Son cifras de Estados Unidos, así que ajusta a tu escala, pero el mecanismo es el mismo: si tus reservaciones, cotizaciones o pedidos entran por la página, cada hora sin ella es venta que se fue a otro lado. | Situación | Qué ve tu cliente | Cuánto suele durar | Lo que te cuesta | | --- | --- | --- | --- | | Página caída (hosting, dominio vencido, error) | “No se puede acceder a este sitio” | Horas o días, según quién tenga los accesos | Todos los clientes que llegan por Google o desde tu Instagram | | Hackeada con redirección o spam | Abre y lo manda a un sitio de apuestas o farmacia | Semanas sin que nadie lo note | Clientes que no confían y posiciones en Google que se pierden | | Marcada por Google como peligrosa | Pantalla roja de “sitio engañoso” | Días a semanas después de limpiar | Casi nadie cruza la pantalla roja: la página deja de existir | | Sin accesos (el proveedor desapareció) | Lo mismo, pero no puedes arreglarlo | Lo que tardes en recuperar dominio y hosting | Rehacer lo que ya pagaste, más los días sin página | La tercera fila es la más cara. Cuando Google detecta contenido hackeado, malware o páginas engañosas, muestra advertencias en los resultados y el navegador pone una pantalla completa antes de dejar entrar (Ayuda de Search Console). Después de limpiar, pides una revisión que puede tardar “de varios días a varias semanas”. Mientras, tu página sigue ahí, pagada, y nadie la ve. ## Por qué se cae o la hackean: casi siempre es lo que nadie actualiza No te hackearon porque alguien te tenía ganas. Te hackearon porque un robot revisó millones de sitios buscando un plugin con un hueco conocido, y el tuyo lo tenía. Las cifras del ecosistema de WordPress, que está en el 40.2 % de todos los sitios web del mundo (W3Techs, septiembre 2026), lo dejan claro: - En 2025 se encontraron **11,334 vulnerabilidades nuevas** en WordPress, 42 % más que en 2024. El **91 %** estaba en plugins y el 9 % en temas; el núcleo tuvo solo seis, todas de bajo riesgo (Patchstack, 2026). - El **46 %** de esas vulnerabilidades se hizo pública sin que existiera parche, y para las más atacadas la mediana entre publicarse y explotarse en masa fue de **5 horas** (Patchstack, 2026). - El **39.1 %** de los sitios infectados tenía el sistema desactualizado al momento del ataque, y el 49.21 % quedó con al menos una puerta trasera instalada (Sucuri, 2023). - Las defensas del hosting tradicional bloquearon solo el **26 %** de los ataques medidos (Patchstack, 2026). “Mi hosting tiene seguridad” no te cubre. Esto también pasa en México: más del 60 % de las pymes mexicanas sufrió intentos de robo de datos, ransomware o accesos no autorizados en el último año, y solo cuatro de cada diez tiene un plan de respuesta (Tantius vía Excélsior, junio 2026). Traducido a tu negocio: una página típica de WordPress trae decenas de plugins instalados por quien la hizo, muchos que ni se usan. Cada uno es una puerta. Si nadie las revisa desde que se entregó la página, es cuestión de tiempo. **La página que “no se toca” es la más vulnerable.** Los plugins envejecen solos, los huecos se publican solos y los robots que los buscan trabajan solos. Una página sin mantenimiento tiene fecha de caducidad; solo que nadie la conoce. ## Las tres formas en que muere una página **Se cae.** Venció el dominio o el hosting, una actualización rompió algo o el servidor se llenó. Es la más fácil de arreglar si tienes los accesos y la que más tarda si no los tienes. Ya escribí sobre esto en [qué significa que tu sistema quede a tu nombre](https://jahzielcabrera.site/blog/que-significa-que-tu-sistema-quede-a-tu-nombre/): dominio y hosting son lo primero que se apaga. **La hackean en silencio.** Para ti abre normal, pero a quien llega desde Google lo redirige a otro sitio, o tiene miles de páginas ocultas de spam. El 20.30 % de los sitios infectados que limpió Sucuri en 2023 tenía spam de SEO. Puede durar meses sin que nadie lo note, y mientras tanto pierdes posiciones en Google que costaron años. **Google te marca.** Aparece en el informe de problemas de seguridad de Search Console (si alguien lo configuró; muchos negocios no lo tienen, como conté en [por qué tu página no aparece en Google](https://jahzielcabrera.site/blog/por-que-mi-pagina-web-no-aparece-en-google/)) y tu página se convierte en una pantalla roja. ## Qué hacer hoy si ya pasó Este es el orden. No saltes el primer paso. - **Reúne los accesos:** dominio (dónde se compró y con qué correo), hosting, panel de WordPress, Search Console. Si no los tienes, ese es el cuello de botella real: registrador con documentos del negocio, proveedor con solicitud de exportación. - **Respalda el estado actual, aunque esté infectado**, para saber qué pasó y no perder contenido si la limpieza sale mal. - **Cambia todas las contraseñas** (WordPress, base de datos, hosting, correo del administrador) y borra los administradores que no reconoces. - **Limpia o restaura.** Un respaldo limpio de antes del ataque suele ser más rápido y confiable que limpiar a mano. Si no hay, actualiza todo, elimina plugins que no uses y pasa un escáner. - **Pide la revisión en Search Console** solo cuando estés seguro de que quedó limpio. Cada rechazo son días más de pantalla roja. - **Levanta una página puente** de una sola pantalla (qué vendes, teléfono, WhatsApp, horario, dirección) en un dominio limpio. Se levanta en horas y deja de perder al que te busca hoy. ## Cómo evitar que vuelva a pasar: menos partes que se rompan La forma más barata de mantener una página es que tenga poco que mantener. Es la misma idea que atraviesa todo lo que hago: no necesitas más herramientas, necesitas mejores sistemas. Aplicado a una página, significa cuatro decisiones: | Decisión | Cómo se ve en la práctica | Qué evita | | --- | --- | --- | | Página estática en lugar de un panel con plugins | El sitio son archivos que se sirven desde una red de entrega, sin base de datos expuesta ni panel de administración en internet | La mayoría de las vías de ataque de la tabla de Patchstack, y las caídas por servidor saturado | | El contenido se edita fuera del sitio | Menú o catálogo en una hoja de Google, y el sitio se genera solo | Tener que entrar a un panel para cambiar un precio, y que ese panel sea la puerta | | Todo a nombre del negocio | Dominio, hosting, repositorio y Search Console con tu correo como administrador | Quedarte sin poder arreglar nada cuando el proveedor no contesta | | Alguien vigila | Monitoreo de que la página abre, Search Console configurado, respaldo automático | Enterarte por un cliente semanas después | Así trabajo las páginas que hago. Pollos Amigos y Mayoreo del Sur, por ejemplo, administran el menú y el catálogo desde una hoja de Google Sheets; el sitio se actualiza solo y no tiene costo de servidores. No hay panel de WordPress que parchar ni plugins que envejezcan. Mi propio sitio funciona igual. No es que sea imposible hackear algo así; es que hay muchísimo menos que hackear, y nada que se rompa por no actualizarlo. Si estás decidiendo entre mantener lo que tienes o cambiarlo, la comparación entre [Wix, plantilla y página a la medida](https://jahzielcabrera.site/blog/wix-plantilla-vs-pagina-web-a-la-medida/) te sirve: los constructores resuelven el mantenimiento a cambio de una mensualidad y de no ser tuyos; una página estática a la medida lo resuelve sin mensualidad y a tu nombre. **Si te vas a quedar en WordPress**, que sea con reglas: menos de diez plugins, actualizaciones automáticas, un administrador por persona con autenticación de dos pasos, respaldo diario fuera del hosting y Search Console con tu correo. Y una persona con nombre que responda por eso. Sin esa persona, las reglas no existen. ## Ejemplo: un hotel en Boca del Río Piensa en un hotel de Boca del Río que recibe buena parte de sus reservaciones directas por la página, sobre todo en puentes. La página la hizo una agencia hace tres años con WordPress y un tema comprado. Nadie la ha actualizado desde entonces. Un jueves de puente, un huésped le escribe por WhatsApp: “Oye, tu página me manda a una de apuestas”. Lleva así dos semanas y Google ya la marcó. El dueño no tiene el acceso al hosting; la agencia cerró. Ese fin de semana, cada familia que buscó “hotel en Boca del Río” y dio clic vio una pantalla roja, y reservó en el de junto o en una plataforma que cobra comisión. Lo que hubiera cambiado el resultado no es un plugin de seguridad. Es que el dominio y el hosting estuvieran a nombre del hotel, que la página no tuviera un panel que parchar, y que un monitoreo le avisara al dueño el primer día en lugar del día catorce. Eso es lo que reviso en un diagnóstico, junto con [lo que pasa después del clic](https://jahzielcabrera.site/blog/lo-que-pasa-despues-del-clic/): de nada sirve una página arriba si la reservación la atiende alguien a mano dos días después. Y un error que veo seguido: rehacer la página con el mismo esquema. WordPress con 20 plugins y sin responsable es el mismo problema con otra fecha. ## Por dónde empezar Si tu página está caída o marcada hoy, empieza por los accesos y por la página puente. Si está arriba y “no la tocas desde que la entregaron”, revísala antes de que te la revise un robot. En un diagnóstico de tu operación revisamos qué está a tu nombre, de qué depende que la página siga arriba, cuánto te cuesta cada día que no lo esté y qué pasa con el cliente después del clic. Con eso decides si conviene mantener lo que hay con reglas o pasarlo a una página que no necesite mantenimiento. [Agenda un diagnóstico por WhatsApp](https://wa.me/522221215382?text=Hola%20Jahziel%2C%20quiero%20agendar%20un%20diagn%C3%B3stico%20de%20mi%20operaci%C3%B3n.) o lee [cómo funciona el diagnóstico](https://jahzielcabrera.site/diagnostico/). Trabajo con negocios de [Xalapa](https://jahzielcabrera.site/paginas-web-xalapa/), [Boca del Río](https://jahzielcabrera.site/paginas-web-boca-del-rio/) y [Puebla](https://jahzielcabrera.site/paginas-web-puebla/), y de forma remota con el resto de México. **¿Tu negocio ya vende bien pero opera a mano?** Empecemos por un diagnóstico: mapeo tu operación, encuentro el cuello de botella y te digo qué conviene automatizar primero. ## Fuentes - [Patchstack: State of WordPress Security in 2026](https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/) - [Sucuri: 2023 Hacked Website & Malware Threat Report](https://sucuri.net/reports/2023-hacked-website-report/) - [W3Techs: Usage statistics and market share of WordPress, September 2026](https://w3techs.com/technologies/details/cm-wordpress) - [Uptime Basics: How much website downtime actually costs a small business (Calyptix/ITIC SMB Security Survey 2025)](https://uptimebasics.com/guides/how-much-website-downtime-costs-small-business) - [Excélsior: Más del 60 % de las PyMEs tuvo intentos de robo de datos (Tantius)](https://www.excelsior.com.mx/tecnologia/mas-60-pymes-tuvo-intentos-robo-datos-tantius-empresa-ciberseguridad-mexico) - [Ayuda de Search Console: Informe Problemas de seguridad](https://support.google.com/webmasters/answer/9044101?hl=es) **Jahziel Cabrera** · Desarrollador de software en Xalapa, Veracruz Más de 6 años creando páginas web, chatbots de WhatsApp y software a la medida para negocios de Xalapa, Puebla y todo México. Físico por la Universidad Veracruzana, primer lugar del Datatón Anticorrupción 2022 (Sistema Nacional Anticorrupción) y coinventor de un dispositivo con registro ante el IMPI. Lo que escribo aquí sale de proyectos reales. [Conóceme](https://jahzielcabrera.site/sobre-mi/). ## Preguntas frecuentes Lo que más me preguntan sobre este tema. ### ¿Cómo sé si mi página fue hackeada? Hay cuatro señales que se ven sin ser técnico: la página redirige a otro sitio (apuestas, farmacias, criptomonedas), aparecen textos o enlaces en otro idioma que tú no pusiste, Google o el navegador muestran un aviso rojo de sitio engañoso o peligroso, y en el panel de WordPress hay usuarios administradores que nadie creó. Sucuri encontró cuentas de administrador maliciosas en el 55.2 % de las bases de datos infectadas que limpió en 2023. Si ves cualquiera de las cuatro, no borres nada todavía: respalda, cambia contraseñas y luego limpia. ### ¿Cuánto tarda Google en quitar el aviso de sitio peligroso? Depende de qué tan rápido limpies. Una vez limpio el sitio, pides una revisión desde el informe de problemas de seguridad de Search Console, y Google avisa que esas solicitudes pueden tardar de varios días a varias semanas en revisarse. Si queda algún resto de malware, la rechaza y vuelves a empezar. Durante todo ese tiempo, cada persona que te busca ve el aviso rojo antes que tu página. ### ¿Es culpa de WordPress? No del todo. WordPress está en el 40.2 % de todos los sitios web (W3Techs, septiembre 2026), así que es el blanco más grande, pero el núcleo tuvo solo seis vulnerabilidades en 2025. El problema está en los plugins (91 % de las vulnerabilidades nuevas) y en que nadie los actualiza: es como tener 25 puertas en un local y revisar la cerradura de una sola. Un sitio de WordPress bien mantenido y con pocos plugins puede ser seguro; el problema es que casi nadie lo mantiene. ### ¿Qué hago si el que hizo mi página ya no contesta? Primero recupera los accesos: dominio, hosting y panel del sitio deben quedar a nombre de tu negocio con tu correo como administrador. Si el dominio está a nombre del proveedor, contacta al registrador con tu documentación del negocio; si el hosting es de él, pide la exportación de archivos y base de datos. Mientras tanto, cualquier desarrollador puede levantar una página temporal de una pantalla con tu teléfono, WhatsApp y horario en horas, para que el negocio no siga sin puerta mientras se recupera lo demás. ### ¿Trabajas con negocios de Xalapa y Veracruz que ya tienen página? Sí. Casi todos los negocios de Xalapa, Boca del Río y Puebla que me escriben ya tienen una página; lo que no tienen es alguien que responda por ella. Empiezo con un diagnóstico: reviso qué está a tu nombre, de qué depende que la página siga arriba, y qué pasa después del clic. A veces la salida es mantener lo que ya hay con reglas claras; otras, mover la página a algo que no necesite mantenimiento. ## ¿Lo quieres para tu negocio? Estos son los servicios relacionados con este tema. ## Empecemos por un diagnóstico de tu operación Una llamada para mapear cómo trabajas hoy, encontrar dónde se pierde tiempo o dinero y decidir qué conviene automatizar primero. Sin tecnicismos.