Limpiaste la web después del ataque, pero el tráfico de Google no vuelve. Sigues viendo en los resultados páginas de spam que tú no creaste, tus visitas están por los suelos y no sabes qué se arregla solo y qué tienes que pedir a mano. Esta guía es el mapa de la recuperación: qué mirar primero para medir el daño, cómo quitar de Google lo que dejó el atacante, cómo recuperar la indexación de tus páginas buenas y, sobre todo, en cuánto tiempo es razonable esperar que las cosas vuelvan a su sitio. Damos por hecho que la web ya está limpia; si aún no lo está, cualquier trabajo de SEO es tirar el tiempo, así que empieza por ahí.
Medir el daño: qué mirar en Search Console y en Analytics
Antes de arreglar nada, necesitas saber qué te ha pasado exactamente. Dos herramientas gratuitas te lo dicen. En Google Search Console, mira tres informes: Seguridad y acciones manuales (si sigue habiendo aviso, aún no estás para recuperar SEO), Cobertura o Páginas (cuántas URLs conoce Google y cuántas son basura del atacante) y Rendimiento (por qué palabras aparecías y cuánto has caído). En Analytics, compara el tráfico orgánico de las semanas anteriores y posteriores al ataque para ver la magnitud de la caída y desde qué día.
Fíjate en un detalle revelador: si en Rendimiento empiezan a aparecer búsquedas en otro idioma, con nombres de marcas raras o de casino, es que Google indexó las páginas que metió el atacante. Ese patrón, cuando la web se llena de contenido en japonés, lo explico en por qué aparece tu WordPress en japonés en Google.
Apunta cuatro números antes de empezar, porque son los que te dirán si estás recuperando o no: el tráfico orgánico diario de una semana normal previa al ataque, el número de páginas indexadas que Google considera válidas, cuántas URLs de spam siguen apareciendo, y tu posición media en las búsquedas que te traían clientes. Guárdalos hoy y compáralos cada semana. Sin esa foto de partida, dentro de un mes no vas a saber si el gráfico está subiendo o si te lo estás imaginando, y es fácil rendirse justo cuando la cosa empezaba a arreglarse.
Retirar de Google las URLs que creó el atacante
El atacante creó cientos o miles de páginas de spam, Google las indexó y ahora salen con tu dominio. Ya no existen porque limpiaste la web, pero Google todavía las recuerda. Hay que decirle que se olvide, y hay una forma correcta de hacerlo:
- Deja que devuelvan error. Esas URLs, al estar ya borradas, deben responder con un código 404 (no existe) o 410 (borrado para siempre). El 410 es una señal más clara para Google de que no vuelva a pasar por ahí. No las redirijas a tu portada en masa: eso confunde a Google y puede alargar el problema.
- Usa la herramienta de eliminación de Search Console (Retirada de URL) para las páginas de spam más visibles. Es un parche temporal (unos seis meses) que las oculta rápido mientras Google las va sacando de forma definitiva por sí mismo.
- Actualiza tu sitemap para que solo contenga tus páginas reales, y vuelve a enviarlo. Así Google tiene la lista limpia de lo que sí debe indexar.
Si el aviso de seguridad todavía aparece en los resultados, no es un tema de SEO todavía: primero hay que pedir la revisión a Google, un proceso que tiene sus trucos y que detallo en cómo leer los problemas de seguridad de Search Console y pedir la revisión.
Errores 404 masivos: qué redirigir y qué dejar caer
Al borrar todo lo del atacante te van a aparecer cientos de errores 404 en Search Console. Que no cunda el pánico: un 404 en una página que nunca fue tuya es lo correcto, no un problema que arreglar. La regla para decidir qué hacer con cada URL rota es sencilla:
- URL que inventó el atacante (spam, casino, idioma raro): que devuelva 404 o 410 y se quede así. No la redirijas.
- URL tuya de verdad que dejó de funcionar con la limpieza o la restauración (una entrada real, una ficha de producto): redirígela con un 301 a su equivalente actual, o restaura ese contenido.
Dicho de otra forma: redirige solo lo que era legítimo y perdiste; deja caer todo lo que el atacante inventó. Intentar redirigir las miles de páginas de spam «para no tener errores» es contraproducente y le da trabajo inútil a Google.
Recuperar la indexación de tus páginas buenas
Durante el ataque, es posible que Google dejara de indexar tus páginas reales, o que las relegara. Para recuperarlas, no hace falta nada exótico: comprueba que ninguna de tus páginas importantes tenga por error una etiqueta noindex (a veces un plugin de seguridad o una restauración las deja marcadas), asegúrate de que están en el sitemap actualizado, y usa la Inspección de URL de Search Console para pedir la reindexación de tus páginas clave una a una (la portada, las categorías principales, los servicios o productos que más te importan). No abuses: pide reindexar las importantes, no las cientos.
A partir de ahí, la mejor forma de acelerar es volver a la normalidad: publica, actualiza contenido, deja que la web dé señales de vida. Google recupera antes la confianza en un sitio que sigue funcionando con normalidad que en uno que se queda parado esperando. Comprueba también que la web carga rápido y sin errores para el robot de Google: si durante el ataque el servidor iba lento o devolvía errores 500, el rastreo se resiente, y un sitio que responde bien se reindexa antes que uno que tarda cinco segundos en abrir cada página. No hace falta obsesionarse con el rendimiento, pero sí asegurarse de que la limpieza no dejó la web renqueando.
Enlaces entrantes de spam: cuándo desautorizar y cuándo ignorar
Un ataque de spam a veces viene acompañado de enlaces basura apuntando a las páginas que crearon en tu dominio. La reacción instintiva es correr a la herramienta de desautorización (disavow) de Google, pero conviene frenar. Google dice, y lo cumple bastante, que ignora por su cuenta la mayoría de los enlaces de spam evidentes. Desautorizar mal (metiendo dominios buenos por error) hace más daño que no hacer nada.
La pauta razonable: ignora el ruido de enlaces de spam normal, que Google gestiona solo. Plantéate desautorizar únicamente si ves un patrón claro y grande de enlaces tóxicos apuntando a tu web de forma sospechosa y coordinada, y aun así con mano de cirujano. Para una pyme, casi siempre la respuesta correcta es no tocar el disavow y centrarse en limpiar lo de dentro.
Plazos realistas de recuperación
Esta es la parte que nadie quiere oír pero que evita muchos disgustos: la recuperación no es inmediata ni depende solo de ti. Con la web bien limpia y estos pasos hechos, un orden de magnitud honesto es este: el aviso de seguridad desaparece en días una vez Google aprueba la revisión; las URLs de spam se van cayendo del índice a lo largo de varias semanas; y el tráfico orgánico se recupera de forma progresiva en unas semanas o pocos meses, según cuánto durase la infección y lo visible que fuera. No esperes que el gráfico vuelva de un día para otro, y desconfía de quien te prometa una recuperación «en 48 horas»: depende de los tiempos de Google, no de un botón.
Señales de que todavía queda algo sucio
Si haces todo esto y la recuperación no arranca, o peor, vuelven a aparecer páginas de spam nuevas después de haberlas quitado, la causa casi nunca es el SEO: es que la web sigue infectada. Estas son las señales de alarma:
- Aparecen URLs de spam nuevas en Search Console después de haber limpiado.
- El aviso de seguridad vuelve tras haberlo quitado.
- Ves resultados con tu dominio y contenido raro que no recuerdas haber dejado sin borrar.
Todo eso apunta a una puerta trasera que sigue abierta y regenera el spam. Es el momento de volver a la limpieza, no de insistir con el SEO: revisa la guía general de web hackeada para asegurarte de que no queda nada dentro, porque mientras quede, cualquier trabajo de posicionamiento se va a caer solo.
El primer paso antes de invertir un minuto en recuperar el SEO es confirmar que la web está de verdad limpia. Pasa el escáner gratuito de PathScan y asegúrate de que no queda rastro de la infección; solo entonces tiene sentido pelear por recuperar el tráfico.