Resultados de casino y pharma en tu web: cómo borrarlos del índice de Google

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Buscas el nombre de tu empresa en Google y, entre tus resultados, aparecen páginas de casino online, farmacia ilegal, apuestas o productos de imitación que tú jamás publicaste. Es uno de los ataques más frecuentes y desconcertantes que existen, porque tu web «se ve bien» al visitarla y aun así Google muestra esa basura. Si necesitas eliminar resultados de spam de Google en tu web, aquí tienes el proceso completo para encontrar el contenido oculto, borrarlo y sacarlo del índice. Este artículo forma parte de nuestra guía para recuperar tu web y su reputación en Google.

Por qué aparecen resultados de casino y pharma que no publicaste

Este patrón es la firma clásica del SEO spam inyectado. Un atacante que ha comprometido tu sitio no lo desfigura: lo aprovecha en silencio para posicionar sus propias páginas usando la autoridad de tu dominio. Las técnicas habituales son:

• Cloaking: el servidor detecta si quien visita es un usuario normal o el rastreador de Google (por su user-agent o su IP) y solo le muestra el spam a Google. Por eso tú no ves nada al navegar tu web, pero Google sí indexa las páginas de casino.
• Páginas puerta (doorway): miles de URL generadas automáticamente, escondidas en carpetas o parámetros, cada una optimizada para una palabra clave de spam.
• Inyección en base de datos: enlaces y texto oculto insertados en tus propias entradas o en plantillas, a menudo con CSS que los hace invisibles al ojo humano.
• Redirecciones condicionales en .htaccess que envían al visitante que llega desde Google a un sitio de apuestas.

Cómo encontrar el spam que no ves

La clave es mirar tu web como la ve Google, no como la ves tú:

• Operador site: busca site:tudominio.com junto a términos como «casino», «viagra», «réplica» o el idioma del spam. Verás las URL inyectadas que siguen indexadas.
• Inspección de URL en Search Console: pide ver la página «tal como la ve Google». Si el contenido renderizado no coincide con lo que muestra el navegador, tienes cloaking.
• Simula el rastreador: solicita tus URL con el user-agent de Googlebot y compáralo con una petición normal. La diferencia delata la inyección.
• Revisa el informe de páginas en Search Console: busca picos de URL indexadas y patrones de ruta que no reconoces.

Eliminar los resultados de spam de Google en tu web, paso a paso

1. Limpia el compromiso de raíz

Localiza y elimina los ficheros que generan las páginas puerta, revierte las inyecciones en la base de datos y quita las reglas de cloaking o redirección en .htaccess. Rota todas las credenciales y actualiza núcleo, plugins y temas. Mientras el atacante conserve acceso, el spam volverá.

2. Devuelve 404 o 410 en las URL de spam

Para que Google des-indexe las páginas basura, deben responder 410 (eliminado permanentemente) —la señal más rápida— o 404. No las redirijas a la home con un 301: eso le dice a Google que existen y solo se han movido. No las bloquees en robots.txt: si Google no puede rastrearlas, no ve que han desaparecido y las mantiene en el índice.

3. Fuerza la retirada de las más visibles

Usa la herramienta de eliminación de URL de Search Console para las páginas de spam que ya posicionan y ensucian los resultados de tu marca. Es una retirada temporal que compra tiempo mientras el 410 hace la retirada definitiva.

4. Reafirma tu contenido legítimo

Regenera y reenvía un sitemap XML limpio con solo tus URL buenas, y solicita la indexación de tus páginas clave. Así ayudas a Google a reconstruir la imagen correcta de tu dominio.

Verifica la reputación y la seguridad en paralelo

El SEO spam suele venir acompañado de sanciones de seguridad y bloqueos. Comprueba tu estado en el portal de Google Safe Browsing y, si envías correo, revisa que no figures en listas como Spamhaus. Si hay una acción de seguridad activa, tendrás que pedir revisión: Google explica el flujo en su documentación sobre cómo solicitar una revisión. Si el navegador muestra la advertencia roja, revisa además cómo salir de Safe Browsing paso a paso, y si tu dominio quedó bloqueado, nuestra guía para pedir el des-listado.

Cuando el spam toca un entorno con datos sensibles

Un compromiso capaz de inyectar SEO spam es un compromiso capaz de mucho más. Si tu web es una tienda que procesa datos de tarjeta o un entorno regulado, no basta con borrar las páginas de casino: hay que determinar el alcance real del acceso y preservar evidencia. En PathSentinel atendemos incidentes exigentes, incluidos entornos de banca y e-commerce con datos de pago, y coordinamos la limpieza con el análisis forense del alcance. Escríbenos desde contacto si estás en ese escenario.

Cuánto tarda en desaparecer

Con el 410 aplicado y el vector cerrado, Google va des-indexando el spam a medida que vuelve a rastrear esas URL: las más visibles pueden salir en días con la herramienta de eliminación, y el grueso desaparece en las semanas siguientes. Lo importante es no dejar ni un fichero ni una regla de cloaking atrás: un solo superviviente regenera cientos de páginas y reinicia el problema.