Tu web sale en rojo con el mensaje «Sitio engañoso» y nadie puede entrar sin saltarse un aviso que da miedo. Ese bloqueo no se quita cambiando nada del diseño ni escribiendo a Chrome: lo pone el sistema Safe Browsing de Google, se levanta pidiendo una revisión y esa revisión solo la aprueban si primero has eliminado lo que la disparó. Aquí tienes cómo averiguar qué página concreta han marcado, cómo limpiarla del todo y cómo pedir la revisión para que no te la denieguen.
Antes de nada, una advertencia útil: en la mayoría de casos el aviso no significa que tu web esté «infectada» entera. Muchas veces alguien ha subido una carpeta con una copia falsa de la web de un banco o de un servicio de correo en un rincón de tu alojamiento, y Google bloquea el dominio entero por eso. El trabajo consiste en encontrar esa carpeta. Si además la web redirige sola o hay administradores que no reconoces, el problema es más amplio y te conviene seguir el orden completo de la guía de qué hacer con una web hackeada.
Qué es Safe Browsing y por qué el aviso también sale en Firefox y Safari
Safe Browsing es la lista que mantiene Google con las direcciones que considera peligrosas. Chrome la consulta antes de cargar cualquier página, y por eso el aviso aparece antes de que se vea nada de tu web. Lo que casi nadie sabe es que Firefox y Safari consultan esa misma lista, así que el bloqueo también le sale a tu cliente en el iPhone y a tu proveedor en Firefox. Microsoft Edge usa un sistema propio, SmartScreen, que va por libre: puedes estar bloqueado en uno y no en el otro.
Esto tiene una consecuencia práctica: no hay atajo. Mientras tu dominio esté en la lista, todos esos navegadores lo bloquean, y solo sale de la lista cuando Google revisa y aprueba. No existe un teléfono al que llamar ni un botón de urgencia.
El aviso tiene varias redacciones y no dicen lo mismo. «Sitio engañoso» apunta a phishing o a contenido que intenta engañar al visitante. «Contiene programas dañinos» apunta a malware o descargas peligrosas. Si no tienes claro cuál de todos los avisos de Google te ha salido, el artículo sobre qué significa que Google diga que tu sitio puede estar hackeado los distingue uno a uno.
Comprobar el estado real de tu dominio antes de tocar nada
No te fíes de lo que ves en tu navegador, que puede tener la web en caché o el aviso ya descartado por ti. Haz estas dos comprobaciones:
- El informe de transparencia de Google. Escribe tu dominio en
transparencyreport.google.com/safe-browsing/search. Te dirá si está marcado como no seguro y de qué tipo de amenaza se trata. - Search Console. En
search.google.com/search-console, apartado Seguridad y acciones manuales > Problemas de seguridad. Aquí es donde Google te da URLs de ejemplo, que es el dato que de verdad necesitas.
Si no tienes Search Console configurado, configúralo ahora mismo: sin él no puedes ver qué han encontrado ni pedir la revisión después. Verifica la propiedad de dominio mediante un registro TXT en tu DNS, no solo la de una URL concreta; así cubres www, sin www, http y https de una vez. Lo que significa cada categoría que aparece ahí lo explicamos en la guía sobre los problemas de seguridad de Search Console.
Anota las URLs de ejemplo tal cual, con la ruta completa. Van a ser tu mapa durante toda la limpieza.
Las tres causas habituales: phishing alojado, malware y anuncios de terceros
Phishing alojado en tu servidor. Es la causa número uno del aviso de «sitio engañoso». Alguien ha subido un paquete de archivos que imita la web de un banco, de una empresa de paquetería o de un correo corporativo, normalmente en una carpeta escondida dentro de wp-content/uploads o en un subdirectorio con nombre inofensivo. Tu web sigue funcionando con normalidad y por eso tardas semanas en enterarte.
Malware o descargas dañinas. Un archivo que se ofrece desde tu web y que los sistemas de Google identifican como peligroso, o un script que intenta explotar el navegador del visitante.
Contenido de terceros. Anuncios servidos por una red publicitaria de mala calidad, un widget externo o un script incrustado que en algunas cargas lleva a un destino peligroso. Aquí el archivo problemático no está en tu servidor, pero la responsabilidad ante Google es tuya igual.
Hay una cuarta posibilidad menos frecuente pero real: un formulario legítimo de tu web mal planteado, que pide credenciales de un servicio ajeno o imita la pantalla de acceso de otra marca. Google no distingue intenciones.
Encontrar la carpeta o la página concreta que Google ha marcado
Empieza por las URLs de ejemplo de Search Console y sube por la ruta. Si te marca /wp-content/uploads/2024/06/secure/login.html, tu objetivo no es ese archivo: es la carpeta secure entera.
Después, busca por fecha. El kit de phishing se subió todo de golpe, así que los archivos comparten fecha de modificación. Con acceso SSH:
find /home/usuario/public_html -type f -mtime -30 -ls | sort -k8Y para localizar archivos que no deberían existir donde están:
find ./wp-content/uploads -type f ( -name "*.php" -o -name "*.html" -o -name "*.htm" ) -lsEn la carpeta de subidas solo debería haber imágenes, PDF y documentos. Un archivo .php ahí dentro no tiene ninguna justificación legítima, y un .html suelto tampoco.
Si no tienes SSH, el gestor de archivos del panel del hosting sirve: ordena por fecha de modificación descendente y revisa las carpetas que no reconozcas. Muchos paneles permiten además buscar por extensión dentro de un directorio.
Dos pistas más. La primera: mira los registros de acceso del servidor (sección de estadísticas o logs del panel) y busca peticiones a esas rutas; verás desde qué IP se subió y, con suerte, el archivo por el que entraron. La segunda: busca en Google site:tudominio.es junto a palabras que no pinten nada en tu negocio, porque si hay un kit indexado saldrá.
Limpiar y no dejar rastro antes de solicitar la revisión
Antes de borrar, descarga una copia de la carpeta infectada y guárdala aparte. Si luego hay que reconstruir qué pasó o justificarlo ante alguien, esa copia es la única prueba que tendrás.
Luego, y por este orden:
- Elimina la carpeta entera, no solo el archivo marcado. Incluye el
.ziporiginal si sigue por ahí, que casi siempre sigue. - Comprueba que esas URLs devuelven un 404 o un 410 de verdad. Puedes verlo con
curl -sI https://tudominio.es/ruta/marcada/. Si devuelve un 200 con una página bonita de «no encontrado» hecha por un plugin, para Google puede seguir siendo contenido válido; un 410 es la señal más clara de que eso ya no existe. - Busca el resto. Un kit de phishing no llega solo: llega por una puerta trasera y suele venir acompañado de más. Revisa
wp-content/mu-plugins, los plugins que figuran como desactivados y los usuarios administradores en Usuarios > Todos los usuarios. - Cambia todas las contraseñas: panel del hosting, FTP y SFTP, base de datos y administradores de WordPress. Regenera las claves de seguridad de
wp-config.phppara cerrar las sesiones abiertas. - Actualiza el núcleo de WordPress, todos los plugins y el tema. La vía de entrada más habitual es un plugin desactualizado o uno descargado fuera de los canales oficiales.
- Si la causa eran anuncios de terceros, quita ese script de la web mientras hablas con el proveedor. No vale con «he escrito al soporte».
Si tras revisar te encuentras con que tu web además está bloqueada por los antivirus de escritorio de tus visitantes, ese es un circuito distinto y con sus propios formularios: lo tienes en el artículo sobre qué hacer cuando el antivirus bloquea tu web.
Pedir la revisión: dónde se hace y cuánto tarda de verdad
Se hace en Search Console, en Seguridad y acciones manuales > Problemas de seguridad, marcando que has corregido el problema y pulsando el botón de solicitar revisión. Google pide que describas lo que has hecho, y esa descripción cuenta. Un texto útil incluye tres cosas: qué encontraste y dónde, cómo lo has eliminado y qué has cambiado para que no vuelva. Por ejemplo, que había un directorio con un kit de phishing en la carpeta de subidas, que se eliminó junto con dos archivos PHP que lo regeneraban, y que se han cambiado todas las credenciales y actualizado el plugin por el que entraron.
Sobre el plazo, la respuesta honesta es que se cuenta en días, no en horas. Los casos de ingeniería social suelen resolverse antes que los de contenido pirateado, no hay forma de acelerarlo y no existe un contacto humano al que escribir. Mientras esperas, ten preparado un mensaje corto para tus clientes explicando lo que ha pasado: es mejor que se enteren por ti que por la pantalla roja.
Qué hacer si te la deniegan
Una denegación casi siempre significa una de estas cuatro cosas:
- Queda algo. Otra carpeta con el mismo kit en otro sitio, o el archivo que lo regenera sigue vivo y ha vuelto a crearlo entre que pediste la revisión y la revisaron.
- Estás mirando la propiedad equivocada. El problema está en la versión con www y tú tienes verificada la de sin www, o al revés. Verifica la propiedad de dominio por DNS y vuelve a mirar.
- El contenido sigue accesible aunque no se enlace desde ningún sitio. Que no haya enlaces no significa que esté borrado.
- Es contenido de terceros que sigue cargándose porque lo quitaste de una plantilla pero no de otra.
Si has pedido revisión dos veces y te la han denegado las dos, para y cambia de enfoque: seguir borrando a ojo solo alarga el bloqueo. Ahí compensa una limpieza hecha por alguien que revise las puertas traseras a fondo, que ronda los 500 euros y suele cerrar el asunto de una vez. Si en cambio encontraste una carpeta, la borraste, las URLs devuelven 410 y llevas días sin que reaparezca, ya está: no necesitas contratar a nadie.
Sea cual sea tu caso, hay una regla que no conviene saltarse: no pidas la revisión desde la sensación de que «creo que ya está». Antes de pedir la revisión, comprueba con PathScan que ya no queda nada. Es gratuito, mira tu dominio desde fuera igual que lo mira Google y no toca nada de tu instalación, así que puedes lanzarlo tantas veces como quieras hasta que salga limpio.