Aparecen páginas en mi web que yo no he creado: qué son y cómo eliminarlas

Has buscado tu web en Google, o has abierto tu mapa del sitio, y te has encontrado páginas que tú nunca creaste: en otro idioma, sobre pastillas, préstamos rápidos, casinos o réplicas de relojes. Esas páginas casi siempre son la parte visible de una intrusión. Aquí aprendes a inventariar lo que hay, distinguir esas páginas de las tuyas y borrarlas sin llevarte por delante las URLs buenas.

No necesitas ser informático para hacer la primera parte. Sí conviene que, antes de borrar nada, tengas una copia de seguridad reciente de la web (backup): si te equivocas, poder volver atrás lo cambia todo.

Páginas puente: para qué las usa el atacante

Las páginas que no reconoces suelen ser páginas puente (doorway pages). Son páginas que el atacante genera dentro de tu web para aprovechar la reputación de tu dominio: tu web ya está indexada en Google y tiene cierta confianza, así que sus páginas de spam posicionan más rápido colgando de tu dominio que en un dominio nuevo.

El objetivo puede variar: vender productos falsos, colar enlaces hacia otras webs, redirigir a quien llega desde Google a una página de estafa, o simplemente inflar el número de enlaces de una red. A ti te da un poco igual el motivo concreto; lo que te importa es que están ahí, que las ha puesto alguien que no debería tener acceso, y que Google acabará penalizando tu dominio por alojarlas.

Cómo acaban en Google aunque no estén en tu menú

La duda habitual es: si yo no las he enlazado desde ningún sitio, ¿cómo las encuentra Google? De varias formas. El atacante suele añadir esas URLs a tu propio mapa del sitio (sitemap), que es justo el fichero que tu web le entrega a Google para decirle qué indexar. También puede enlazarlas desde otras webs que controla, o dejar un fichero que las lista para que los rastreadores las sigan.

Por eso ves páginas indexadas que no aparecen en tu menú ni en ninguna parte visible de tu web. Están pensadas para los buscadores, no para tus visitantes. De hecho, muchas muestran una cosa a Google y otra distinta a una persona: es lo que se llama cloaking. Tenlo presente, porque cambia cómo tienes que buscarlas.

Inventariar lo que hay: site:, sitemap y listado de archivos

Antes de borrar necesitas una lista completa. Cruza tres fuentes:

• Búsqueda site: en Google. Escribe en el buscador site:tudominio.com y revisa los resultados página a página. Prueba variantes para sacar lo escondido: site:tudominio.com casino, site:tudominio.com replica, o palabras en el idioma que hayas visto. Anota cada URL rara.
• Tu mapa del sitio. Abre tudominio.com/sitemap.xml (o sitemap_index.xml) y busca URLs que no reconozcas. Si el sitemap lo genera un plugin de SEO, mira también si hay otro sitemap suelto que tú no configuraste.
• Listado de ficheros del hosting. Entra por el administrador de archivos de tu panel (cPanel, Plesk) o por FTP y ordena las carpetas por fecha de modificación. Fíjate en carpetas nuevas en la raíz con nombres raros, o en ficheros .php sueltos donde solo debería haber contenido.

Google Search Console también ayuda: en Páginas verás cuántas URLs tiene indexadas tu sitio, y muchas veces el número es muy superior al de páginas que tú has hecho. Esa diferencia es tu problema.

Distinguir páginas del CMS, de un plugin y del atacante

No todo lo que no reconoces es del atacante. Antes de borrar, clasifica cada URL en uno de tres grupos:

• Páginas legítimas del gestor. WordPress crea páginas de autor, de categoría, de etiqueta y de adjuntos. URLs como /author/admin/ o /category/noticias/ son normales aunque tú no las hayas creado a mano.
• Páginas de un plugin. Una tienda, un foro o un plugin de eventos crean sus propias URLs. Si tienes WooCommerce, verás /producto/, /carrito/ y similares. Reconócelas antes de tocarlas.
• Páginas del atacante. Aquí entra todo lo demás: idiomas que no usas, temáticas que no tienen nada que ver con tu negocio, URLs con caracteres extraños, o ficheros .html y .php colgando de la raíz que no forman parte de tu web.

Una señal muy fiable es la fecha. Si veinte páginas se crearon el mismo día y a la misma hora, y ese día tú no publicaste nada, ya sabes de dónde vienen. Si el patrón es contenido en japonés, tienes un caso muy concreto que puedes reconocer en el artículo sobre el WordPress infectado que aparece en japonés.

Borrarlas sin cargarte URLs legítimas

Con la lista clasificada, borra por el origen, no por la URL:

• Si son entradas o páginas del gestor: bórralas desde el propio panel de WordPress (Entradas, Páginas) y vacía la papelera. No las dejes en borrador.
• Si son ficheros sueltos en el hosting: bórralos desde el administrador de archivos o por FTP. Ojo: un fichero suelto casi nunca viene solo. Antes de darlo por cerrado, busca lo que lo generó.
• Si son entradas de la base de datos que no salen en el panel: aquí ya conviene ir con cuidado. Trabaja siempre sobre una copia, y si no te manejas con la base de datos, es un buen momento para parar y pedir ayuda.

El error clásico es borrar la página que se ve y dar el trabajo por hecho. Casi siempre hay un fichero que las está regenerando: una puerta trasera. Si no la encuentras, en un par de días vuelven a aparecer. Por eso el borrado tiene que ir acompañado de una búsqueda de puertas traseras que reinfectan la web.

Evitar los 404 masivos: qué redirigir y qué dejar caer

Cuando borras cientos de páginas que Google tenía indexadas, todas pasan a dar error 404 (no encontrado). Y aquí mucha gente se equivoca por exceso de celo: redirige todas esas URLs a su portada. No lo hagas.

Las páginas de spam deben dejar de existir. Lo correcto es que devuelvan un 404 o, mejor todavía, un 410 (contenido eliminado para siempre). Eso le dice a Google que esas URLs ya no existen y que las saque de su índice. Redirigirlas a tu portada solo confunde a Google y arrastra la mala reputación de esas URLs a tu página principal.

Solo tiene sentido redirigir una URL antigua cuando era una página legítima tuya que has movido de sitio. Para las del atacante: fuera, sin red de seguridad.

Comprobar que no se vuelven a generar

Has borrado las páginas y has revisado el hosting. Ahora toca confirmar que el grifo está cerrado. Dos comprobaciones a los pocos días:

• Repite la búsqueda site:tudominio.com y vuelve a mirar tu sitemap. Si no reaparecen URLs nuevas, buena señal.
• Vuelve a ordenar los ficheros del hosting por fecha. Si algo se ha vuelto a modificar solo, todavía queda una puerta abierta.

Cuando estés seguro de que la web está limpia, pide en Search Console la retirada de las URLs de spam y trabaja la recuperación. Si además tu web había recibido un aviso de Google, tendrás que solicitar una revisión, y para eso conviene tener todo esto cerrado antes. Tienes el proceso completo de limpieza y prevención en nuestra guía para recuperar una web hackeada.

Si quieres ir sobre seguro, lanza el escáner gratuito de PathScan y compara lo que hay publicado ahora mismo en tu dominio con lo que tú creaste: en unos minutos verás si quedan páginas o ficheros que no deberían estar ahí.