5 escáneres gratis para saber si tu web está hackeada: qué ve cada uno y qué se le escapa

Si sospechas que a tu web le pasa algo raro, lo primero que suele hacer cualquiera es buscar un escáner online gratuito: pegas la dirección, esperas unos segundos y te dice si hay malware. Es un buen primer paso, siempre que sepas qué estás mirando. Cada herramienta analiza una cosa distinta, y un resultado «limpio» en una de ellas no significa que tu web esté limpia.

Aquí comparamos cinco opciones gratuitas para comprobar una web desde fuera: el Estado del sitio de Navegación segura de Google, VirusTotal, Sucuri SiteCheck, Quttera y PathScan, que es el nuestro. Qué ve cada una, qué se le escapa y cómo combinarlas en diez minutos.

Lo que puede ver un escáner online (y lo que no ve ninguno)

Todas las herramientas de esta lista trabajan desde fuera. Ninguna entra en tu servidor: piden tu web por internet, como un visitante o un buscador, o consultan listas de sitios ya marcados como peligrosos. Eso tiene dos consecuencias:

• Ven lo que tu web sirve: el HTML, los scripts, las redirecciones y las cabeceras. Si alguien ha inyectado un script en tu portada, un escáner remoto puede encontrarlo.
• No ven lo que tu web guarda: ficheros del servidor, base de datos, usuarios administradores, tareas programadas o contraseñas filtradas. Sucuri lo dice en su propia página: su escáner remoto solo accede a lo visible en el navegador y no detecta nada del lado del servidor. Nuestra metodología dice lo mismo de PathScan.

Por eso la documentación oficial de WordPress distingue entre escáneres remotos y escáneres instalados en la propia web, y avisa de que ninguno basta por sí solo: juntos aumentan mucho las probabilidades de encontrar el problema. Además, unas herramientas consultan reputación (si alguien ya te ha marcado) y otras analizan contenido (lo que tu web enseña ahora).

Los cinco escáneres, uno por uno

1. Estado del sitio de Navegación segura (Google)

Te dice si Google Safe Browsing considera ahora mismo que tu web contiene algo peligroso. Importa mucho porque Chrome y otros navegadores usan esa lista para mostrar la pantalla roja antes de entrar. Se consulta gratis en el Estado del sitio de Navegación segura, dentro del Informe de transparencia de Google.

Su límite: es un estado, no un análisis que lances tú. Si el problema no ha llegado a esa lista, saldrás limpio aunque haya algo. Para el contenido pirateado que Google detecta en su buscador, la fuente es Search Console.

2. VirusTotal

Según su documentación, VirusTotal examina lo que le envías con más de 70 antivirus y servicios de listas de bloqueo de URL y dominios, y muestra la etiqueta de cada motor. Es muy útil para saber qué antivirus te está marcando, lo primero que necesitas si un cliente dice que su antivirus le bloquea tu web.

Sus límites: VirusTotal explica que solo agrega datos de terceros, que no emite veredictos propios y que un 0/60 no siempre significa limpio (lo dice en su página sobre falsos positivos). Parte del análisis de webs consiste en consultar bases de datos de los proveedores, así que refleja sobre todo lo ya detectado. Y ojo con la privacidad: los informes se comparten con su comunidad y sus socios, así que no le pases direcciones privadas, como enlaces de un área de clientes.

3. Sucuri SiteCheck

SiteCheck visita la web como un usuario normal y revisa el código fuente en busca de malware conocido, errores, software desactualizado y presencia en listas negras como las de Google o PhishTank. Es rápido, gratuito y de los que más aparecen recomendados en las guías sobre webs hackeadas.

Sus límites: Sucuri avisa en la misma página de que los escáneres remotos tienen un acceso limitado, de que sus resultados no están garantizados y de que no detectan nada del lado del servidor. Interfaz en inglés.

4. Quttera

El escáner online de Quttera descarga a su servidor el contenido accesible de la dirección (HTML, scripts, imágenes) y lo analiza con sus motores. Devuelve un desglose de las páginas afectadas y del motivo de cada detección.

Sus límites: la versión gratuita descarga como máximo 20 MB por análisis y, con mucha carga, el resultado tarda (muestra tu posición en la cola). Quttera también advierte de que ningún proveedor puede garantizar una detección del 100 %. Interfaz en inglés.

5. PathScan (el nuestro)

Lo decimos de entrada para que lo juzgues con esa información: PathScan es el escáner gratuito de PathSentinel. Su diferencia es el doble-fetch: pide tu web como un visitante con Chrome y como Googlebot, y compara las dos respuestas. Si el HTML, las cabeceras o el título cambian según quién pregunte, es la huella del cloaking, el truco que esconde el spam SEO (casino, farmacia, réplicas) a tus ojos mientras Google lo indexa.

Según su metodología publicada, hace además alrededor de 25 comprobaciones: palabras de spam en varios idiomas, redirecciones a dominios de parking o de terceros, firmas de kits de ataque y páginas puerta en el sitemap, ficheros sensibles expuestos, indicios de phishing y de JavaScript ofuscado, plugins con vulnerabilidades conocidas y si la dirección está en la lista de sitios peligrosos de Google (Google Web Risk). El resultado te deja además a un clic la consulta en VirusTotal, Spamhaus y urlscan.io. Está en español y suele tardar entre 10 y 25 segundos.

Sus límites son los de cualquier escáner remoto: no ve la base de datos, ni los ficheros del servidor, ni credenciales filtradas. Un verde significa que lo analizado, a fecha de hoy, está limpio. Si un cortafuegos bloquea la petición o la web no responde, el resultado es «no concluyente», nunca verde. Y un aviso: si la web analizada sale en verde con A o A+, su dominio aparece automáticamente en nuestro Muro de Honor; quien prefiera no salir puede pedir que lo retiremos.

Comparativa rápida

«No lo documenta» significa que no lo hemos encontrado descrito en la página de la herramienta, no que no lo haga.

Cómo combinarlos en diez minutos

1. Consulta el estado en Navegación segura. Si sale marcada, Chrome ya está avisando a tus visitas: ve directo a cómo quitar el aviso de «Sitio engañoso».
2. Abre Search Console. No es un escáner, pero es la fuente gratuita más fiable sobre lo que Google ha detectado: en Seguridad y acciones manuales > Problemas de seguridad verás la categoría y URLs de ejemplo.
3. Pasa la URL por VirusTotal para saber si algún antivirus concreto te marca y con qué etiqueta.
4. Usa un escáner de contenido y PathScan: SiteCheck o Quttera para lo que ve un visitante, y PathScan para compararlo con lo que ve Googlebot.
5. Haz dos comprobaciones a mano: busca site:tudominio.es en Google para ver si aparecen páginas que no son tuyas, y abre la web desde un móvil con datos, llegando desde un resultado de Google.

Si todo sale limpio y no notas nada raro, puedes estar razonablemente tranquilo por hoy. Si algo sale en rojo, no borres nada todavía: lee antes qué hacer cuando tu web está hackeada.

Por qué un escáner puede decir «limpio» y la web seguir infectada

• El código se esconde de quien lo busca. Google explica en su ayuda de Search Console que a menudo los atacantes solo atacan a ciertos navegadores o a visitas que llegan desde ciertos sitios, y que pueden desactivar el ataque si creen que quien visita la web es el propietario. Lo explicamos a fondo en cloaking y doble-fetch.
• No todo se ve desde fuera. En el caso SMILODON que documentamos, 13 plugins falsos pasaron unos doce meses en 8 WordPress sin que el sistema de seguridad comercial del servidor los detectara; los encontró una revisión manual. En 7 de esas webs los cargadores estaban vacíos y no había JavaScript inyectado: desde fuera había poco o nada que ver.
• Las listas llegan después: dependen de que alguien haya detectado y marcado tu web antes.
• Hay inyecciones intermitentes que solo se activan en móvil, en la primera visita o al llegar desde un buscador.

Si los escáneres no ven nada y los síntomas siguen (en la comunidad de Google Ads hay hilos sobre justo eso), toca mirar desde dentro, como explicamos en cómo encontrar una puerta trasera en tu web.

Si alguno sale en rojo

Una sola detección entre decenas de motores puede ser un falso positivo: VirusTotal recuerda que 1/60, e incluso 5/60, no significa automáticamente que algo sea malicioso. Mira qué motor es y contrástalo con Search Console. Si te bloquea un antivirus concreto, en qué hacer si un antivirus o Microsoft Edge bloquea tu web tienes cómo pedir la revisión.

Si varias herramientas coinciden, o Google ya te ha marcado, toca limpiar de verdad: el procedimiento está en cómo limpiar un WordPress hackeado paso a paso, y si prefieres que lo haga un profesional, nuestro servicio de limpieza incluye buscar por dónde entraron y cerrarlo.

Preguntas frecuentes

¿Hasta qué punto es fiable un escáner online gratuito?

Es fiable para lo que mira y nada más. Si encuentra algo, merece la pena investigarlo; si no encuentra nada, solo significa que no lo ha visto desde donde mira. Los propios fabricantes lo advierten: Sucuri dice que sus resultados no están garantizados y Quttera, que no existe una detección del 100 %.

¿Mi análisis es privado? ¿Se guarda algo?

Depende de cada herramienta, así que lee sus condiciones. VirusTotal, por ejemplo, comparte los informes con su comunidad y con sus socios. En PathScan no pedimos datos personales ni enviamos tu web a terceros: solo consultamos la dirección en la lista de sitios peligrosos de Google. Si la web analizada sale con A o A+, su dominio aparece en el Muro de Honor (puedes pedir que lo retiremos).

¿Puede un escáner gratuito eliminar el malware?

No. Los escáneres online solo leen lo que la web publica; limpiar exige acceso a ficheros y base de datos, como explicamos en la guía de limpieza.

¿Con qué frecuencia debo escanear mi web?

Un escaneo es una foto de un momento. Hazlo cuando notes algo raro, después de limpiar y tras cambios importantes (plugins nuevos, cambio de tema o de agencia). Si tu web vende o capta clientes, lo que protege de verdad es la vigilancia continua, como contamos en por qué un escaneo anual no te protege.

¿Qué alternativas hay a Sucuri SiteCheck? ¿Alguna está en español?

Las otras cuatro de esta guía son alternativas o complementos gratuitos: el estado de Navegación segura, VirusTotal, Quttera y PathScan. SiteCheck y Quttera tienen la interfaz en inglés; PathScan está en español.

Fuentes consultadas

• Google: Navegación segura y informe de Problemas de seguridad de Search Console.
• VirusTotal: How it works y False Positive Contacts.
• Sucuri SiteCheck, Quttera Website Malware Scanner y WordPress.org: FAQ My site was hacked.