Ya he limpiado la web pero Google sigue mostrando el aviso: por qué tarda

Has limpiado la web, has borrado el malware, todo parece en orden… y sin embargo Google sigue mostrando el aviso rojo de «sitio peligroso» o marcando tus resultados con «Este sitio puede haber sido pirateado». Es de las cosas que más desesperan, porque parece que el trabajo no ha servido para nada. La buena noticia es que casi siempre tiene arreglo y suele deberse a una de dos cosas: o falta un paso que solo tú puedes dar, o la web no está tan limpia como crees. Vamos a ver cuál de las dos es tu caso y qué hacer exactamente.

Por qué el aviso no desaparece solo al limpiar

Google no vigila tu web en tiempo real. Cuando su sistema de navegación segura (Safe Browsing) detecta malware, marca la web y guarda ese estado. A partir de ahí, el aviso no se quita porque tú limpies: se quita cuando Google vuelve a comprobar la web y confirma que está limpia, o cuando tú le pides expresamente que la revise.

Y aquí está el malentendido más común: mucha gente limpia la web y se queda esperando a que Google se dé cuenta solo. Puede pasar, pero puede tardar semanas, porque Google no tiene ninguna prisa en volver a mirar una web que ya marcó como peligrosa. El paso que acelera todo es solicitar la revisión a mano, y lo veremos en un momento.

Primero: asegúrate de que de verdad está limpia

Antes de pedirle nada a Google, para y comprueba una cosa incómoda: que la web esté limpia de verdad. El motivo por el que muchas revisiones se deniegan es que el dueño creía haber limpiado, pero quedaba algo. Y si Google revisa, encuentra que sigue infectada y te deniega, no solo pierdes el tiempo: cada denegación hace que la siguiente tarde más.

El fallo típico es dejar una puerta trasera escondida que reinfecta la web a los pocos días. Limpias lo visible, pides la revisión, y para cuando Google mira, el malware ha vuelto. Antes de dar el paso siguiente, confirma que no queda código sospechoso y que la web no se ha vuelto a infectar. Un escáner externo, que mira tu web como la ve Google desde fuera, es la forma más rápida de tener esa tranquilidad: pasa PathScan gratis y comprueba que no queda nada antes de solicitar la revisión.

Solicitar la revisión en Search Console: el paso que falta

Si tienes verificada la web en Google Search Console (y si no la tienes, este es el momento de hacerlo), el aviso y la solicitud de revisión están ahí. Los pasos son:

1. Entra en Search Console y selecciona tu propiedad.
2. En el menú lateral, ve a Seguridad y acciones manuales > Problemas de seguridad.
3. Verás la categoría del problema y unas URLs de ejemplo de las páginas afectadas. Úsalas para asegurarte de haber limpiado todo lo que Google encontró.
4. Cuando estés seguro de que está limpio, pulsa Solicitar revisión.
5. Te pedirá que expliques qué hiciste. Ese texto importa: sé concreto.

Tenemos una guía específica sobre cómo leer el informe de problemas de seguridad y redactar la solicitud para que no te la denieguen. Si nunca has pasado por esto, léela antes de darle al botón, porque una solicitud bien escrita se aprueba mucho más rápido que un «ya está arreglado» a secas.

Qué escribir para que no te la denieguen

En unas líneas, explica qué encontraste y qué hiciste: qué era la infección, cómo la limpiaste, que cambiaste las contraseñas y cerraste la puerta de entrada, y que has verificado que ya no queda nada. A Google no le sirve un «ya lo he limpiado»: quiere ver que entiendes qué pasó y que has cerrado el agujero, no solo tapado el síntoma.

Cuánto tarda Google de verdad

Aquí va la respuesta honesta, sin promesas de «24 horas» que verás por ahí. Cuando solicitas la revisión desde Search Console, Google indica que la revisión de un sitio con malware suele tardar unos días y la de un sitio con spam, varias semanas, porque puede requerir una investigación manual; una vez aprobada, los avisos se retiran en unos días. No hay un número exacto garantizado, y depende de la categoría del problema y de su carga de trabajo.

Si no solicitas la revisión y esperas a que Google vuelva por su cuenta, ahí sí pueden pasar semanas. Por eso insistimos en pedir la revisión: es la diferencia entre días y semanas.

Un par de cosas que reducen la espera: no pidas la revisión hasta estar seguro de que está limpio (una denegación te penaliza en tiempo), y no la solicites varias veces seguidas pensando que así va más rápido. Una petición bien preparada vale más que tres a la carrera. Mientras esperas, evita tocar la web más de lo imprescindible: si sigues cambiando ficheros, corres el riesgo de reintroducir el problema justo antes de que Google mire.

El aviso rojo de Chrome es otra cosa (y a veces va aparte)

Cuidado con esto, porque genera mucha confusión. Hay varios avisos distintos y no siempre se quitan a la vez:

• La advertencia en los resultados de búsqueda («Este sitio puede haber sido pirateado»), que gestionas desde Search Console.
• La pantalla roja a pantalla completa de Chrome al entrar en la web, que viene de Safe Browsing y afecta también a otros navegadores.

Normalmente, al aprobarse la revisión en Search Console se levantan los dos, pero pueden ir con distinto ritmo. Si el problema es sobre todo la pantalla roja del navegador, mira nuestra guía sobre cómo quitar el aviso de sitio engañoso en Chrome. Y si lo que te preocupa es entender de dónde sale todo esto, empieza por qué significa que Google diga que tu sitio puede estar hackeado.

Si te deniegan la revisión

Si Google te responde que sigue detectando problemas, no entres en pánico: significa que queda algo, y ahora tienes una pista mejor. Vuelve al informe de problemas de seguridad, mira de nuevo las URLs de ejemplo y compruébalas una a una con la herramienta de inspección de URL de Search Console. Los motivos habituales de una denegación son:

• Una puerta trasera que reinfectó la web entre que limpiaste y Google revisó.
• Páginas de spam que creó el atacante y que se te pasaron; si es tu caso, revisa el proceso completo de limpieza para no dejarte ninguna.
• Un plugin, tema o fichero que quedó infectado en una carpeta que no miraste.
• Caché: has limpiado, pero Google (o tu propio CDN) sirve todavía una versión antigua guardada.

Sobre la caché conviene un aviso aparte, porque engaña a mucha gente: puedes haber limpiado el fichero original y aun así estar sirviendo una copia vieja e infectada desde el plugin de caché de WordPress, desde el hosting o desde tu CDN. Vacía todas las cachés que tengas antes de solicitar la revisión y comprueba la web en una ventana de incógnito, para verla como la ve alguien de fuera y no la versión guardada en tu navegador.

Limpia lo que quede, verifica desde fuera y vuelve a solicitar la revisión. Cada vuelta debería acercarte más, y si después de dos intentos honestos sigues sin salir del aviso, es señal de que la infección es más profunda de lo que parece y merece la pena que lo mire alguien con experiencia en vez de seguir dando vueltas.

Mientras tanto: qué ven tus clientes y qué decirles

Durante los días que tarda el proceso, tus clientes siguen viendo el aviso, y eso cuesta ventas y confianza. Si tienes trato directo con ellos, un mensaje breve y honesto ayuda: que hubo un problema de seguridad, que ya está resuelto y que la advertencia desaparecerá en cuanto Google complete la revisión. No hace falta dar detalles técnicos ni dramatizar; sí conviene que se enteren por ti antes que por la pantalla roja.

Y una vez pase todo, no des el tema por cerrado del todo: el aviso se quita, pero recuperar el tráfico y las posiciones que perdiste durante la infección es otro trabajo aparte, que puedes seguir en la guía sobre cómo recuperar el posicionamiento después de una web hackeada.

Preguntas frecuentes

Google ha aprobado la revisión, pero mi resultado sigue mostrando un título o una descripción de spam: ¿qué hago?

Google muestra lo que guardó en su último rastreo hasta que vuelve a indexar la página. Comprueba con la inspección de URLs que la versión publicada ya está limpia y pulsa «Solicitar indexación» en tus páginas clave, empezando por la portada; hay un límite diario, así que no lo uses para cientos. Si la descripción hace daño, la herramienta de retirada permite «Borrar el fragmento de la búsqueda» hasta la siguiente indexación. Lo demás es recuperar el posicionamiento.

¿Hay alguna forma de acelerar la revisión o de hablar con alguien de Google?

Google no indica ninguna vía para acelerarla. Lo que sí dice es que te avisará por correo al recibir la solicitud y al terminar la revisión, y que no envíes otra mientras la primera esté pendiente, porque pedirla con el problema sin resolver retrasa la respuesta. Para dudas concretas está la Comunidad de ayuda del Centro de la Búsqueda de Google, donde responden otros usuarios y Expertos de Producto. Lo que depende de ti es no fallar la primera.

El aviso ya se había quitado y ha vuelto: ¿qué significa?

Casi siempre, que la web se ha reinfectado: quedó una puerta trasera, una tarea programada o un acceso que el atacante sigue usando. Antes de pedir otra revisión, busca el mecanismo que la regenera, como explicamos en cómo encontrar una puerta trasera en tu web. No lo dejes pasar: si Navegación segura detecta el problema varias veces en poco tiempo, puede clasificar el sitio como infractor reincidente y bloquear las solicitudes de revisión durante 30 días.

Fuentes oficiales

• ¿Por qué se ha etiquetado mi sitio como peligroso en la Búsqueda de Google? (Ayuda de Search Console) — cuánto tarda la revisión según el problema (malware: unos días; spam: varias semanas) y cuándo se retiran las advertencias.
• Informe «Problemas de seguridad» (Ayuda de Search Console) — cómo solicitar la revisión, los avisos por correo y por qué no reenviarla mientras está pendiente.
• Herramienta de inspección de URLs (Ayuda de Search Console) — prueba en tiempo real y «Solicitar indexación», con su límite diario.
• Política de Navegación segura de Google sobre infractores reincidentes (Centro de la Búsqueda de Google) — cuándo un sitio se considera infractor reincidente y no puede pedir revisiones durante 30 días.

Si no tienes claro si la web está limpia de verdad, no te la juegues con una solicitud que te pueden denegar. Verifica gratis con PathScan que la web está limpia antes de pedirle a Google que la revise, y ahórrate una vuelta entera al proceso.