Has limpiado la web, has borrado el malware, todo parece en orden… y sin embargo Google sigue mostrando el aviso rojo de «sitio peligroso» o marcando tus resultados con «este sitio puede haber sido comprometido». Es de las cosas que más desesperan, porque parece que el trabajo no ha servido para nada. La buena noticia es que casi siempre tiene arreglo y suele deberse a una de dos cosas: o falta un paso que solo tú puedes dar, o la web no está tan limpia como crees. Vamos a ver cuál de las dos es tu caso y qué hacer exactamente.
Por qué el aviso no desaparece solo al limpiar
Google no vigila tu web en tiempo real. Cuando su sistema de navegación segura (Safe Browsing) detecta malware, marca la web y guarda ese estado. A partir de ahí, el aviso no se quita porque tú limpies: se quita cuando Google vuelve a comprobar la web y confirma que está limpia, o cuando tú le pides expresamente que la revise.
Y aquí está el malentendido más común: mucha gente limpia la web y se queda esperando a que Google se dé cuenta solo. Puede pasar, pero puede tardar semanas, porque Google no tiene ninguna prisa en volver a mirar una web que ya marcó como peligrosa. El paso que acelera todo es solicitar la revisión a mano, y lo veremos en un momento.
Primero: asegúrate de que de verdad está limpia
Antes de pedirle nada a Google, para y comprueba una cosa incómoda: que la web esté limpia de verdad. El motivo por el que muchas revisiones se deniegan es que el dueño creía haber limpiado, pero quedaba algo. Y si Google revisa, encuentra que sigue infectada y te deniega, no solo pierdes el tiempo: cada denegación hace que la siguiente tarde más.
El fallo típico es dejar una puerta trasera escondida que reinfecta la web a los pocos días. Limpias lo visible, pides la revisión, y para cuando Google mira, el malware ha vuelto. Antes de dar el paso siguiente, confirma que no queda código sospechoso y que la web no se ha vuelto a infectar. Un escáner externo, que mira tu web como la ve Google desde fuera, es la forma más rápida de tener esa tranquilidad: pasa PathScan gratis y comprueba que no queda nada antes de solicitar la revisión.
Solicitar la revisión en Search Console: el paso que falta
Si tienes verificada la web en Google Search Console (y si no la tienes, este es el momento de hacerlo), el aviso y la solicitud de revisión están ahí. Los pasos son:
- Entra en Search Console y selecciona tu propiedad.
- En el menú lateral, ve a Seguridad y acciones manuales > Problemas de seguridad.
- Verás la categoría del problema y unas URLs de ejemplo de las páginas afectadas. Úsalas para asegurarte de haber limpiado todo lo que Google encontró.
- Cuando estés seguro de que está limpio, pulsa Solicitar revisión.
- Te pedirá que expliques qué hiciste. Ese texto importa: sé concreto.
Tenemos una guía específica sobre cómo leer el informe de problemas de seguridad y redactar la solicitud para que no te la denieguen. Si nunca has pasado por esto, léela antes de darle al botón, porque una solicitud bien escrita se aprueba mucho más rápido que un «ya está arreglado» a secas.
Qué escribir para que no te la denieguen
En unas líneas, explica qué encontraste y qué hiciste: qué era la infección, cómo la limpiaste, que cambiaste las contraseñas y cerraste la puerta de entrada, y que has verificado que ya no queda nada. A Google no le sirve un «ya lo he limpiado»: quiere ver que entiendes qué pasó y que has cerrado el agujero, no solo tapado el síntoma.
Cuánto tarda Google de verdad
Aquí va la respuesta honesta, sin promesas de «24 horas» que verás por ahí. Cuando solicitas la revisión desde Search Console, Google suele responder en un plazo de unos pocos días, a veces menos, a veces algo más. No hay un número exacto garantizado, y depende de la categoría del problema y de su carga de trabajo.
Si no solicitas la revisión y esperas a que Google vuelva por su cuenta, ahí sí pueden pasar semanas. Por eso insistimos en pedir la revisión: es la diferencia entre días y semanas.
Un par de cosas que reducen la espera: no pidas la revisión hasta estar seguro de que está limpio (una denegación te penaliza en tiempo), y no la solicites varias veces seguidas pensando que así va más rápido. Una petición bien preparada vale más que tres a la carrera. Mientras esperas, evita tocar la web más de lo imprescindible: si sigues cambiando ficheros, corres el riesgo de reintroducir el problema justo antes de que Google mire.
El aviso rojo de Chrome es otra cosa (y a veces va aparte)
Cuidado con esto, porque genera mucha confusión. Hay varios avisos distintos y no siempre se quitan a la vez:
- La advertencia en los resultados de búsqueda («este sitio puede estar comprometido»), que gestionas desde Search Console.
- La pantalla roja a pantalla completa de Chrome al entrar en la web, que viene de Safe Browsing y afecta también a otros navegadores.
Normalmente, al aprobarse la revisión en Search Console se levantan los dos, pero pueden ir con distinto ritmo. Si el problema es sobre todo la pantalla roja del navegador, mira nuestra guía sobre cómo quitar el aviso de sitio engañoso en Chrome. Y si lo que te preocupa es entender de dónde sale todo esto, empieza por qué significa que Google diga que tu sitio puede estar hackeado.
Si te deniegan la revisión
Si Google te responde que sigue detectando problemas, no entres en pánico: significa que queda algo, y ahora tienes una pista mejor. Vuelve al informe de problemas de seguridad, mira de nuevo las URLs de ejemplo y compruébalas una a una con la herramienta de inspección de URL de Search Console. Los motivos habituales de una denegación son:
- Una puerta trasera que reinfectó la web entre que limpiaste y Google revisó.
- Páginas de spam que creó el atacante y que se te pasaron; si es tu caso, revisa el proceso completo de limpieza para no dejarte ninguna.
- Un plugin, tema o fichero que quedó infectado en una carpeta que no miraste.
- Caché: has limpiado, pero Google (o tu propio CDN) sirve todavía una versión antigua guardada.
Sobre la caché conviene un aviso aparte, porque engaña a mucha gente: puedes haber limpiado el fichero original y aun así estar sirviendo una copia vieja e infectada desde el plugin de caché de WordPress, desde el hosting o desde tu CDN. Vacía todas las cachés que tengas antes de solicitar la revisión y comprueba la web en una ventana de incógnito, para verla como la ve alguien de fuera y no la versión guardada en tu navegador.
Limpia lo que quede, verifica desde fuera y vuelve a solicitar la revisión. Cada vuelta debería acercarte más, y si después de dos intentos honestos sigues sin salir del aviso, es señal de que la infección es más profunda de lo que parece y merece la pena que lo mire alguien con experiencia en vez de seguir dando vueltas.
Mientras tanto: qué ven tus clientes y qué decirles
Durante los días que tarda el proceso, tus clientes siguen viendo el aviso, y eso cuesta ventas y confianza. Si tienes trato directo con ellos, un mensaje breve y honesto ayuda: que hubo un problema de seguridad, que ya está resuelto y que la advertencia desaparecerá en cuanto Google complete la revisión. No hace falta dar detalles técnicos ni dramatizar; sí conviene que se enteren por ti antes que por la pantalla roja.
Y una vez pase todo, no des el tema por cerrado del todo: el aviso se quita, pero recuperar el tráfico y las posiciones que perdiste durante la infección es otro trabajo aparte, que puedes seguir en la guía sobre cómo recuperar el posicionamiento después de una web hackeada.
Si no tienes claro si la web está limpia de verdad, no te la juegues con una solicitud que te pueden denegar. Verifica gratis con PathScan que la web está limpia antes de pedirle a Google que la revise, y ahórrate una vuelta entera al proceso.