En resumen: el spam SEO en el índice de Google casi siempre significa que en su servidor se ejecuta código ajeno que genera o sirve páginas de spam. Averigüe primero si las páginas se crean como archivos, como entradas de la base de datos o de forma dinámica mediante código inyectado. Tras la limpieza, cada URL de spam debe devolver de forma permanente 404 o 410; la herramienta de eliminación de Search Console solo las oculta temporalmente.
Cuando su dominio se posiciona de pronto para otros
El hallazgo suele ser casual. Un empleado busca el nombre de la propia empresa y ve debajo resultados en otro idioma. O en Search Console aparecen consultas sobre medicamentos, juegos de azar o artículos de marca, con clics en páginas que nadie ha creado.
Para los atacantes, el dominio de una empresa seria es muy valioso. Los buscadores confían en él, y las páginas de spam bajo esa dirección se posicionan con más facilidad que en dominios recién registrados. Las consecuencias las sufre usted como titular: su reputación se resiente, Google puede mostrar avisos y los contenidos reales pierden visibilidad.
El spam SEO es el síntoma de una intrusión, no un problema de marketing. Después de PHP2Shell, las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 en el propio PHP, esto es especialmente importante: una actualización a una versión corregida de PHP cierra la brecha, pero no elimina el código inyectado. Si Google ya muestra un aviso, la guía Quitar el aviso de Google describe cómo solicitar la revisión. Este artículo se centra en las propias páginas de spam.
Reconocer el spam SEO: lo que muestra Search Console
Google Search Console ofrece varios informes que hacen visible el spam SEO, incluso antes de que aparezca un aviso:
- Rendimiento: consultas y páginas que no encajan con su oferta, a menudo en otros idiomas o alfabetos.
- Indexación de páginas: un aumento repentino de páginas indexadas o detectadas sin que su equipo haya publicado contenido.
- Sitemaps: sitemaps enviados que nadie del equipo conoce.
- Usuarios y permisos: propietarios adicionales a través de los cuales los atacantes pueden enviar sitemaps.
Anote URL de ejemplo y su patrón: ¿están en una subcarpeta, tienen una extensión propia, contienen cadenas de caracteres de apariencia aleatoria? El patrón es la pista más importante sobre dónde se generan las páginas en el servidor.
De dónde vienen las páginas de spam
Las páginas de spam pueden originarse de tres maneras. El tipo determina dónde buscar y cómo limpiar:
| Origen | Rastros típicos | Dónde buscar |
|---|---|---|
| Archivos estáticos | muchos archivos HTML o PHP en una carpeta nueva | sistema de archivos, por fecha de modificación |
| Entradas de la base de datos | entradas o productos de spam en el CMS, a menudo sin publicar u ocultos | tablas de contenido de la base de datos |
| Generadas dinámicamente | no hay archivos, las URL solo existen al ser llamadas | reglas de reescritura, archivos de entrada, código incluido |
La tercera variante es la más difícil de encontrar. Un pequeño fragmento de código en un archivo de entrada o en un .htaccess intercepta las peticiones que siguen un patrón determinado y genera la página de spam a partir de una plantilla o la descarga de un servidor ajeno. A menudo solo los buscadores ven el contenido de spam, mientras que los visitantes normales reciben una página de error o la página de inicio.
Con una consulta de solo lectura comprueba lo que el servidor sirve realmente. Sustituya la URL por una URL de spam de Search Console:
# Respuesta para un navegador normal
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"
# Respuesta para una petición con identificador de Googlebot
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
Si los códigos de estado difieren, el servidor evalúa el identificador de quien llama. Las comprobaciones reales de Google pueden depender además de la dirección de quien consulta; por eso la inspección de URL de Search Console muestra con más fiabilidad lo que ve Google. Si el contenido de spam está en la base de datos, le ayudará el artículo Revisar la base de datos en busca de código inyectado.
Limpiar el índice de forma duradera
Primero va la limpieza del servidor. Solo cuando se ha eliminado el código generador y cerrado la vía de entrada merece la pena trabajar en el índice. La ayuda de Google indica para ello caminos claros:
- Responder 404 o 410 a las URL de spam: las páginas deben haber desaparecido realmente. Compruebe por muestreo con los comandos anteriores que ninguna variante sigue sirviendo contenido.
- No redirigir a la página de inicio: una redirección general mantiene las URL con vida y diluye la limpieza.
- No bloquear con robots.txt: según la ayuda de Google, no es un método adecuado para eliminar, porque entonces Google ya no puede consultar las páginas borradas.
- Eliminar sitemaps y propietarios ajenos: borre en Search Console los sitemaps de spam enviados y elimine a los propietarios desconocidos.
- Si es necesario, ocultar temporalmente: según la ayuda de Google, la eliminación temporal oculta durante unos seis meses las URL especialmente dañinas. No sustituye a la solución definitiva.
Piense también en otros buscadores. Las páginas de spam eran accesibles para todos los rastreadores, no solo para Google. La respuesta correcta y permanente, 404 o 410, surte efecto allí del mismo modo. Quien utilice las herramientas para webmasters de otros buscadores debería revisar también allí los sitemaps y los usuarios autorizados. Conserve además la lista de URL de spam conocidas como parte de la documentación del incidente.
Si tras la limpieza aparecen nuevas URL de spam, se ha pasado por alto una puerta trasera. En ese caso, no se limite a borrar las páginas nuevas: retome la búsqueda en el servidor.
Evitar que vuelva
El spam SEO suele volver porque solo se eliminaron las páginas visibles. Vigile Search Console en las semanas posteriores a la limpieza y haga que las notificaciones por correo lleguen a una dirección que se lea con regularidad. Una supervisión de archivos que avise de nuevos archivos PHP y de cambios en .htaccess lo complementa en el lado del servidor. Si los visitantes son redirigidos a ofertas ajenas en lugar de ver páginas de spam, le ayudará el artículo El sitio web redirige a páginas ajenas.
¿Cómo ayuda PHP SOS en concreto?
- Averiguamos, a partir de los datos de Search Console y de las respuestas del servidor, cómo se generan las páginas de spam.
- Eliminamos el código generador, los contenidos de spam y las puertas traseras en el marco de la eliminación de malware y cerramos la vía de entrada.
- Comprobamos que todas las URL de spam conocidas devuelvan de forma permanente 404 o 410, y depuramos sitemaps y propietarios en Search Console.
- Configuramos una supervisión que haga visibles pronto los archivos nuevos y las cifras de indexación inusuales.
Preguntas frecuentes
¿Por qué aparecen en Google páginas ajenas bajo mi dominio?
Casi siempre los atacantes han colocado en el servidor código que genera o sirve páginas de spam. Aprovechan la confianza que los buscadores tienen en su dominio para posicionar sus propias ofertas. Es señal de una intrusión, no de un error de SEO.
¿Basta con ocultar las URL de spam con la herramienta de eliminación?
No. Según la ayuda de Google, una eliminación temporal solo oculta una URL durante unos seis meses y no impide el rastreo. Las páginas desaparecen de forma definitiva solo cuando el servidor responde 404 o 410 para ellas.
¿Debo bloquear las URL de spam con robots.txt?
No. La ayuda de Google desaconseja expresamente bloquear con robots.txt las páginas que se quieren eliminar. Google ya no puede consultar las URL bloqueadas y, por tanto, tampoco detecta que se han borrado.
¿Cuánto tiempo permanecen las páginas de spam en el índice tras la limpieza?
Depende de cuándo vuelva Google a consultar las URL. No se puede indicar un plazo fiable. Lo importante es que cada URL de spam conocida devuelva de forma permanente 404 o 410 y que no aparezcan otras nuevas.