Google dice que mi sitio puede estar hackeado: qué aviso te ha salido y qué significa

Te ha llegado un aviso de Google sobre tu web y no sabes si es grave, si tus clientes lo están viendo o si desaparece solo. Lo primero que necesitas saber es cuál de los tres avisos distintos te ha salido, porque no significan lo mismo, no los ve la misma gente y no se quitan igual. En cinco minutos vas a poder identificar el tuyo, ver exactamente qué está viendo un cliente que te busque ahora mismo y saber en qué orden hay que actuar.

Adelanto lo importante: ninguno de los tres se va solo por esperar, y si pides la revisión con la web todavía infectada te la deniegan y el proceso se alarga.

Los tres avisos distintos de Google y cómo distinguirlos

Google puede marcar tu web de tres maneras muy diferentes, y la gente las mezcla constantemente:

1. Una etiqueta en los resultados de búsqueda, del tipo «Este sitio puede haber sido pirateado». No bloquea nada: quien haga clic entra igual, pero muchos no hacen clic.
2. Una pantalla de aviso a página completa antes de entrar, roja o gris según el navegador. Esa sí bloquea, y la ve todo el mundo, venga de donde venga.
3. Un aviso dentro de Search Console, en el apartado de problemas de seguridad. Solo lo ves tú, pero es el único sitio donde Google te dice qué ha encontrado y en qué URLs.

Puedes tener uno, dos o los tres a la vez. Identifica el tuyo antes de seguir, porque el camino cambia. Y si además la web redirige sola, va lentísima o el hosting te ha suspendido, estás ante un compromiso más amplio: en la guía de qué hacer cuando te hackean la web tienes el orden completo de actuación.

«Este sitio puede haber sido pirateado» en los resultados de búsqueda

Es la etiqueta que aparece justo debajo del título de tu web en Google. Significa que Google ha detectado contenido que él no cree que hayas puesto tú: páginas que no existían, texto oculto, enlaces a sitios de terceros o entradas en otro idioma.

Lo típico es que el dueño de la web no vea nada raro al entrar en su propia página, porque el contenido inyectado solo se sirve al robot de Google. Para comprobarlo tú mismo, busca en Google:

site:tudominio.es

Y ve pasando resultados hasta el final buscando URLs que no existan en tu menú: rutas raras, palabras en otro idioma, nombres de medicamentos o términos de apuestas. Afina añadiendo detrás una palabra que no pinte nada en tu negocio y verás enseguida si hay páginas ajenas indexadas.

Esta etiqueta no bloquea el acceso y muchos negocios la ignoran durante semanas. Es un error caro: mientras está puesta, la caída de clics es inmediata.

La pantalla roja de Chrome antes de entrar

Este es el aviso serio. Ocupa la pantalla entera, sale antes de que se cargue nada de tu web y el texto varía según lo que Google haya detectado: «Sitio engañoso», «El sitio que aparece más adelante contiene programas dañinos» o «Este sitio puede dañar tu ordenador».

Viene del sistema Safe Browsing de Google. Y aquí está el detalle que sorprende a casi todo el mundo: no es cosa de Chrome. Firefox y Safari consultan la misma lista, así que el aviso aparece igual en el iPhone de tu cliente y en el Firefox de tu proveedor. Cambiar de navegador no resuelve nada.

Las causas habituales son tres: una carpeta de phishing que alguien ha subido a tu alojamiento imitando la web de un banco o de un servicio de correo, un archivo descargable con malware, o anuncios y scripts de terceros que llevan a sitios peligrosos. El procedimiento concreto para encontrar la carpeta marcada y conseguir que Google levante el bloqueo lo tienes paso a paso en el artículo sobre cómo quitar el aviso de sitio engañoso de Chrome.

Puedes consultar el estado de tu dominio en el informe público de transparencia de Google Safe Browsing, escribiendo tu dominio en transparencyreport.google.com/safe-browsing/search. Eso te dice si el bloqueo sigue activo sin tener que ir por ahí pidiéndole a la gente que abra tu web.

El aviso de Problemas de seguridad en Search Console

Search Console es la herramienta gratuita de Google para dueños de webs, y es la única fuente donde vas a ver qué ha encontrado exactamente. Entra en search.google.com/search-console, selecciona tu propiedad y ve a Seguridad y acciones manuales > Problemas de seguridad.

Si hay algo, Google te dirá de qué categoría se trata (contenido pirateado, software malicioso, ingeniería social, descargas dañinas) y te dará URLs de ejemplo. Esas URLs de ejemplo son oro: son el punto de partida real de la limpieza, mucho mejor que ponerse a mirar archivos al azar.

Dos cosas que conviene tener claras:

• Problemas de seguridad y acciones manuales no son lo mismo. Las acciones manuales son penalizaciones por incumplir las directrices de calidad; los problemas de seguridad son detecciones de contenido peligroso. Se ven en la misma pantalla, pero se resuelven por vías distintas.
• Google puede tener varias propiedades de tu web: con www y sin www, con http y con https. Si solo tienes verificada una, puedes no estar viendo un aviso que sí existe. Verifica la propiedad de dominio con un registro TXT en el DNS: las cubre todas.

Si no tienes Search Console configurado, deja de leer y configúralo ahora: sin él no puedes ver el diagnóstico ni pedir la revisión después. Cómo interpretar cada categoría lo desarrollamos en la guía sobre los problemas de seguridad de Search Console.

Qué está viendo un cliente tuyo ahora mismo

Esta es la pregunta que de verdad importa para el negocio. Compruébalo en este orden, y hazlo desde una ventana de incógnito o desde el móvil con datos móviles, nunca desde el navegador con el que administras la web:

• Busca el nombre de tu empresa en Google y mira si aparece la etiqueta bajo tu resultado.
• Haz clic en el resultado y comprueba si salta la pantalla de aviso.
• Abre la web escribiendo el dominio directamente. A veces solo se bloquean rutas concretas, no la portada.
• Prueba desde un móvil. Hay ataques que solo se activan con visitantes de móvil, así que puedes estar limpio en el ordenador y marcado en el teléfono.

Si estás en la fase de «no sé si esto es un ataque o un fallo de otra cosa», el artículo sobre cómo saber si tu web tiene realmente un virus te sirve para descartar falsas alarmas antes de mover nada.

Lo que NO hace desaparecer el aviso (y por qué esperar no funciona)

Hay una lista de cosas que la gente hace en las primeras horas y que no sirven de nada:

• Esperar. Google vuelve a revisar por su cuenta, sí, pero mientras encuentre el contenido malicioso mantiene el aviso, y cada revisión fallida no acelera nada.
• Borrar solo la página marcada. Si el archivo que la generaba sigue ahí, vuelve a aparecer y te encuentras igual dentro de tres días.
• Instalar un plugin de seguridad y escanear. Sirve para detectar, pero un plugin que se ejecuta dentro de una web ya comprometida no es juez fiable de su propia limpieza.
• Cambiar la contraseña de administrador y nada más. Necesario, pero insuficiente: si dejaron un archivo que permite entrar sin contraseña, la clave nueva le da igual.
• Restaurar una copia antigua sin más. Si es posterior a la entrada, restauras la infección; si es anterior, pierdes contenido y el agujero sigue abierto.
• Pedir la revisión «por si cuela». Cada denegación alarga el proceso, y Google revisa con más detalle a quien ya ha fallado antes.

El orden correcto: limpiar, verificar y luego pedir la revisión

El proceso que funciona tiene tres fases y no se pueden adelantar:

1. Limpiar. Eliminar el contenido inyectado y, sobre todo, el archivo que lo regenera. Cambiar todas las contraseñas: hosting, FTP, base de datos y administradores de WordPress. Actualizar lo que estuviera desactualizado, que suele ser por donde entraron.
2. Verificar desde fuera. Comprobar que las URLs de ejemplo de Search Console ya no devuelven contenido, que no queda ningún administrador que no reconozcas y que la web no sirve nada distinto a quien llega desde Google o desde un móvil.
3. Pedir la revisión. En Search Console, en la misma pantalla de problemas de seguridad, con el botón de solicitar revisión. Explica en el formulario qué encontraste, cómo lo eliminaste y qué has cambiado para que no vuelva; una descripción concreta se revisa mejor que un «ya está arreglado».

Sobre los plazos, la única respuesta honesta es que se cuenta en días, no en horas, y que depende de la categoría: según Google, la revisión por malware suele tardar unos días y la de un sitio con spam, varias semanas. No hay forma de acelerarlo ni contacto al que llamar. Lo que sí está en tu mano es no fallar la primera revisión.

¿Cuándo llamar a un profesional? Si Search Console te lista decenas de URLs, si el aviso vuelve después de haber limpiado, o si la web cobra o guarda datos de clientes (en ese caso hay además plazos legales que cumplir). Si es una web pequeña, el aviso es una sola página y sabes exactamente qué archivo sobraba, esto lo cierras tú sin pagar a nadie.

Preguntas frecuentes

Chrome dice «No es seguro» junto a la dirección: ¿es el mismo aviso?

No. «No es seguro» en la barra de direcciones indica que la conexión con la web no es privada, normalmente porque no usa HTTPS, y un certificado caducado suele provocar el error a página completa «La conexión no es privada». Ninguno de los dos es una detección de malware: se resuelven con el certificado, desde el hosting. El aviso de seguridad es otro: la pantalla roja de Navegación segura, que Chrome muestra como «Sitio peligroso» y que sí exige limpiar la web y pedir la revisión.

¿Puedo tener la web abierta mientras dura el aviso?

La web sigue funcionando, y Chrome permite continuar desde «Detalles», aunque lo desaconseja. Pero la ayuda de Google para propietarios indica que un sitio pirateado hay que cerrarlo mientras se limpia, y como mínimo conviene hacerlo si está sirviendo malware, phishing o redirecciones a tus clientes: una página de mantenimiento unas horas sale más barata que seguir repartiendo el problema. Antes de cerrarla, guarda una copia del estado actual.

¿Se soluciona si cambio la web a otro dominio?

No. La infección vive en los archivos, en la base de datos o en el alojamiento, no en el nombre del dominio: si trasladas la web tal cual, te llevas el problema al dominio nuevo, que además empieza sin la reputación del antiguo. Lo que retira el aviso es limpiar, cerrar la vía de entrada y pedir la revisión en Search Console para el dominio afectado.

¿El aviso afecta también al correo del dominio?

No bloquea tu buzón, porque Navegación segura marca direcciones web. Pero Google explica que esa protección también actúa en Gmail, avisando a quien hace clic en un enlace peligroso de un mensaje, así que un enlace a tu web en tus correos puede mostrar la advertencia. Si tus correos rebotan o llegan como spam, suele ser otra cosa, una lista negra de correo, y se resuelve aparte: mi dominio está en una lista negra.

Fuentes oficiales

• ¿Por qué se ha etiquetado mi sitio como peligroso en la Búsqueda de Google? (Ayuda de Search Console) — las etiquetas «Este sitio puede haber sido pirateado» y «Este sitio puede dañar tu ordenador», las advertencias del navegador y la revisión.
• Comprobar si la conexión de un sitio es segura (Ayuda de Google Chrome) — diferencia entre «No es seguro» (conexión sin HTTPS) y «Peligroso» (pantalla roja de Navegación segura).
• Estado de sitios en Navegación segura (Informe de transparencia de Google) — consulta si tu dominio está marcado ahora mismo como no seguro.
• Google Safe Browsing (en inglés) — qué protege Navegación segura: navegadores, resultados de búsqueda y enlaces en Gmail.

Antes de dar el paso de pedir la revisión, asegúrate de que no queda nada visible desde fuera: comprueba gratis en un minuto qué está detectando Google en tu dominio. El análisis no toca tu instalación, mira tu web como la ve cualquier visitante y no hace falta registrarse.