Abres Google Ads y ves el aviso: la cuenta está suspendida por infringir la política de software malicioso. O, en su versión menos grave, tus anuncios aparecen rechazados por «sitio web vulnerado». Si tú no has instalado nada raro, lo primero que hay que descartar es que alguien haya entrado en tu web y la esté usando para otra cosa sin que lo sepas.
Aquí tienes cómo distinguir los dos avisos, qué comprobar antes de mover un dedo, cómo limpiar y cómo apelar sin desperdiciar la apelación. Sin atajos: la decisión es de Google y nadie puede garantizarte que te reactive la cuenta.
Lo esencial
- «Sitio web vulnerado» rechaza los anuncios afectados y Google avisa al menos siete días antes de suspender; «software malicioso» suspende la cuenta de inmediato.
- Antes de apelar, averigua qué ha visto Google: el motivo en Google Ads, el Estado del sitio de Navegación segura y Search Console.
- Limpia la web entera y cierra la vía de entrada: pedir la revisión con el problema sin resolver puede dejarte 30 días sin poder solicitarla.
- Envía una sola apelación bien documentada. La decisión es de Google y nadie puede garantizarte la reactivación.
Antes de apelar, mira tu web como la ve Google: análisis gratuito desde fuera, en unos segundos y sin instalar nada.
Analizar mi web ahoraDos avisos distintos: anuncios rechazados o cuenta suspendida
Las dos situaciones cuelgan de la misma política, la de uso inadecuado de la red publicitaria, pero sus consecuencias son muy diferentes:
| Sitio web vulnerado | Software malicioso | |
|---|---|---|
| Qué significa | Un sitio cuyo código se ha manipulado para actuar en beneficio de un tercero sin que lo sepa el propietario | Software que intenta dañar un ordenador, dispositivo o red, o conseguir acceso no autorizado |
| Qué pasa | Se rechazan los anuncios afectados | Se suspende la cuenta y dejan de publicarse todos sus anuncios |
| ¿Hay aviso previo? | Sí: Google avisa al menos siete días antes de suspender la cuenta por esta política | No: es una infracción grave y la suspensión es inmediata |
| Cómo se sale | Limpiar el sitio y apelar los anuncios rechazados | Solo con una apelación aceptada; si no, no podrás volver a anunciarte |
Fuentes: políticas de sitios web vulnerados y de software malicioso, y la página sobre qué ocurre si infringes las políticas.
Descarta también un tercer caso: si alguien ha robado el acceso a tu cuenta de Google Ads, Google puede suspenderla temporalmente para evitar cargos no autorizados. Eso no tiene que ver con tu web y se resuelve con el formulario de actividad no autorizada que enlaza su página sobre suspensiones.
Por qué Google Ads ve malware en una web que tú ves bien
Google no revisa solo el texto del anuncio. Para decidir si un anunciante o un destino infringen la política puede mirar tus anuncios, tus sitios web, tus cuentas y fuentes de terceros. Entre los ejemplos de destino vulnerado que da la propia política están los scripts inyectados que envían datos de los usuarios sin su consentimiento (como los skimmers de tarjetas), las instalaciones de malware, los anuncios emergentes, las redirecciones a otros sitios y los gestores de contenido con vulnerabilidades ya explotadas.
¿Y por qué tú no lo ves? Google explica en la ayuda de Search Console que a menudo los atacantes solo atacan a determinados navegadores o a visitas que llegan desde ciertos sitios, y que Navegación segura muestra sus advertencias según el contexto, así que puede que no consigas reproducirlas. Entrar desde tu ordenador de siempre, con la sesión iniciada, es la peor forma de comprobarlo.
Antes de apelar: averigua qué ha visto Google
- Lee el motivo en Google Ads. Para los anuncios rechazados, ve a Campañas > Anuncios y añade el filtro «Detalles de la política: Sitio web vulnerado». En el motivo del rechazo Google indica de dónde se carga el contenido y, a veces, los dominios vulnerados que ha encontrado. Apúntalos: son tu mejor pista.
- Consulta el estado del sitio. La propia política remite al Estado del sitio según Navegación segura para la web o la URL final de tus anuncios.
- Abre Search Console. En Seguridad y acciones manuales > Problemas de seguridad verás la categoría (contenido pirateado, malware y software no deseado o ingeniería social) y URLs de ejemplo, que según Google pueden no ser todas. Si no tienes la web verificada, hazlo ahora y comprueba que no haya propietarios que no reconozcas.
- Mira la web como la ve la víctima. Revisa el código fuente de la página de destino buscando scripts que carguen desde dominios que no reconoces, y pásale un análisis que compare la vista de un visitante con la de Googlebot, como PathScan.
- Busca esos dominios dentro de tu web: en los ficheros del tema, en la cabecera y el pie, en los plugins y en la base de datos.
Limpia la web entera, no solo la página del anuncio
La tentación es arreglar la página de destino y apelar. Google lo descarta: en su ayuda de Search Console pide solucionar el problema en todas las páginas del sitio y, si hay varios problemas, todos ellos.
- Elimina el código inyectado y, sobre todo, lo que el atacante dejó para volver a entrar: puertas traseras, administradores falsos, tareas programadas. Lo tienes paso a paso en cómo limpiar un WordPress hackeado y en cómo encontrar una puerta trasera.
- Cambia las contraseñas del hosting, FTP o SFTP, base de datos y administradores de la web desde un ordenador que sepas limpio.
- Revisa quién tiene acceso a tu cuenta de Google Ads y activa la verificación en dos pasos en las cuentas de Google que la usan.
- Si la web está en la lista de Navegación segura, pide la revisión desde el informe Problemas de seguridad. Según la política de sitios vulnerados, cuando ese proceso termine tus páginas deberían poder volver a mostrar anuncios automáticamente.
Ten paciencia con los plazos: Google indica que las revisiones de seguridad pueden tardar de unos pocos días a unas pocas semanas y pide no enviar otra solicitud mientras haya una pendiente. Si la pides con el problema sin resolver, puedes acabar clasificado como infractor reincidente y quedarte 30 días sin poder solicitar revisiones.
Cómo apelar sin desperdiciar la apelación
Si tus anuncios están rechazados
- En la columna «Estado» del anuncio, pasa el cursor por encima y haz clic en Apelar.
- En «Motivo de la apelación», elige He hecho cambios para cumplir las políticas.
- Selecciona los anuncios y envía. El estado se sigue en el Administrador de políticas de tu cuenta.
Si no puedes arreglar el destino a tiempo, Google permite cambiarlo por otro que cumpla la política; el anuncio vuelve a revisión. Pero eso no limpia tu web: el sitio infectado sigue ahí para el resto de tus visitas.
Si tu cuenta está suspendida por software malicioso
La apelación se envía desde el enlace Contactar de la notificación que aparece en la parte superior de la cuenta. Recibirás el resultado por correo y, si la rechazan, puedes volver a apelar por el mismo procedimiento. A algunos anunciantes Google les pide completar antes la verificación del anunciante.
Lo importante es enviar una sola apelación bien documentada. Google avisa de que enviar muchas por la misma suspensión puede hacer que no se procesen y de que, si detecta un uso inadecuado, puede dejar de procesar apelaciones durante 7 días. También recuerda que solo restaura cuentas cuando hay razones de peso, por ejemplo un error, y que la información debe ser detallada, exacta y veraz. Una estructura que ayuda:
- Qué pasó: la web fue comprometida por un tercero, desde qué fecha aproximada y cómo lo detectaste.
- Qué encontraste: el script o el dominio inyectado, y en qué ficheros o tablas estaba.
- Qué has hecho: limpieza, actualización de todo el software, cierre de la vía de entrada y cambio de credenciales.
- Cómo está ahora: Search Console sin problemas de seguridad, el estado de Navegación segura limpio y, si lo tienes, el informe de la limpieza.
Ninguna plantilla garantiza el resultado. Lo que sí dejan claro las páginas de Google es lo que lo empeora: apelar sin haber limpiado y repetir apelaciones.
Lo que no conviene hacer
- Abrir otra cuenta. Google indica que al suspender una cuenta suspende también las relacionadas (por ejemplo, las que usan el mismo método de pago) y que las cuentas nuevas que crees se suspenderán automáticamente.
- Pedir revisiones «a ver si cuela». Cada solicitud con el problema sin resolver complica la siguiente.
- Pagar a quien prometa la reactivación. La decisión es de Google. Lo que sí puedes encargar es una limpieza bien hecha y documentada, como nuestro servicio de limpieza.
Preguntas frecuentes
¿Cuánto tarda Google en quitar el aviso y volver a aprobar los anuncios?
Las revisiones de seguridad de Search Console tardan, según Google, de unos pocos días a unas pocas semanas. Para las apelaciones de Google Ads no hemos encontrado un plazo publicado en las páginas de ayuda que citamos; el estado se sigue en el Administrador de políticas.
¿Se puede solicitar una revisión antes de limpiar todo el sitio?
Se puede, pero no conviene. Google exige resolver el problema en todas las páginas, y una solicitud prematura alarga la siguiente respuesta o puede llevarte a la categoría de infractor reincidente.
¿Cuántas veces puedo solicitar la revisión a Google?
En Search Console, no envíes otra mientras haya una pendiente. En Google Ads, si rechazan tu apelación puedes presentar otra, pero Google advierte de que muchas apelaciones por la misma suspensión pueden quedarse sin procesar.
¿Si cambio de dominio se soluciona el problema?
No. Con anuncios rechazados puedes cambiar el destino por otro que cumpla la política, pero tu web sigue infectada. Con una cuenta suspendida, cambiar de dominio no la reactiva, y las cuentas nuevas se suspenden automáticamente.
Mi web no está en Search Console, ¿puedo solicitar igualmente una revisión?
La revisión de Navegación segura se pide desde el informe Problemas de seguridad, así que necesitas verificar la propiedad. Es gratis y, de paso, te enseña qué ha detectado Google exactamente.
¿La advertencia de Google afecta también el correo electrónico del dominio?
Navegación segura también protege Gmail señalando enlaces peligrosos en los mensajes, así que los enlaces a una web marcada pueden mostrar avisos. Que tus correos reboten es otro problema, el de las listas negras de correo: lo explicamos en mi dominio está en una lista negra y los correos no llegan.
Fuentes consultadas
- Ayuda de Google Ads: uso inadecuado de la red publicitaria, sitios web vulnerados, software malicioso, suspensiones de cuentas y qué ocurre si infringes las políticas.
- Google Search Central: informe de Problemas de seguridad y política de infractores reincidentes.
- Google: Navegación segura.