En resumen: para quitar la advertencia de Google sobre un sitio web hackeado, primero debe cerrar la causa y eliminar todos los contenidos dañinos. Solo después solicita la revisión en Google Search Console. Quien la solicita demasiado pronto o borra solo los rastros visibles corre el riesgo de un rechazo, porque las puertas traseras y las páginas de spam ocultas suelen seguir existiendo.
Qué advertencias muestra Google y por qué
Google advierte de dos maneras sobre los sitios web comprometidos. En los resultados de búsqueda puede aparecer bajo su entrada un aviso de que el sitio web posiblemente ha sido hackeado. En hallazgos más graves, como software malicioso o phishing, los navegadores muestran, a través de Google Safe Browsing, una página de advertencia roja antes de que el sitio web se cargue siquiera.
La causa son casi siempre contenidos que han introducido los atacantes: numerosas páginas de spam de medicamentos, juegos de azar o falsificaciones de marcas, redirecciones a sitios ajenos, código malicioso para los visitantes o páginas de inicio de sesión falsas. Para su empresa significa menos visitantes, clientes inseguros y, en la tienda, pérdidas directas de ventas.
Qué problemas ha encontrado Google figura en Google Search Console, en Seguridad y acciones manuales, en el informe Problemas de seguridad. Allí suelen indicarse URL de ejemplo que dan un primer indicio.
Primero limpiar, después solicitar la revisión
El orden es decisivo. La advertencia de Google es un síntoma; mientras la vulnerabilidad siga abierta y exista una puerta trasera, los contenidos vuelven, a menudo poco después de borrarlos.
Una actualización del CMS por sí sola no cierra todas las vulnerabilidades. En PHP2Shell, la debilidad está en el propio PHP, y un parche no elimina el software malicioso ya introducido. Revise la versión de PHP, el estado del parche y los archivos antes de pedir a Google una revisión.
Para la limpieza es razonable poner el sitio web temporalmente en modo de mantenimiento o desconectarlo de la red. Así protege a los visitantes mientras trabaja y evita que el atacante deposite más contenidos. El modo de mantenimiento debería devolver el código de estado 503, para que los buscadores reconozcan la interrupción como temporal.
Quitar la advertencia de Google por sitio hackeado: paso a paso
- Conservar las pruebas: guardar los registros, una copia de los archivos y de la base de datos antes de borrar nada.
- Revisar Search Console: leer el informe de problemas de seguridad, anotar las URL de ejemplo y buscar propietarios desconocidos en Configuración, Usuarios y permisos.
- Cerrar la vulnerabilidad: actualizar PHP, el CMS, los temas y las extensiones, eliminar las extensiones que no se usan y reiniciar los workers de PHP tras la actualización.
- Eliminar el código malicioso: sustituir los archivos del núcleo del CMS desde una fuente limpia, buscar archivos PHP en los directorios de subidas y de caché, revisar
.htaccessy la configuración del servidor en busca de redirecciones ajenas. - Limpiar la base de datos: eliminar las entradas de spam, los scripts introducidos en contenidos y opciones y las cuentas de administrador desconocidas.
- Renovar los accesos: cambiar las contraseñas del CMS, el hosting, la base de datos, FTP y SSH, y volver a generar las claves de seguridad del CMS.
- Controlar el resultado: probar las URL de ejemplo con la inspección de URL y abrir el propio sitio web tal como lo ve Google.
- Solicitar la revisión: pedir la revisión en el informe de problemas de seguridad y describir brevemente qué se encontró y qué se corrigió.
Rastros ocultos: páginas de spam, cloaking y propietarios ajenos
Muchos hackeos están construidos para que los responsables no los noten. Los contenidos de spam aparecen solo para Googlebot o para los visitantes que llegan desde la búsqueda. Los administradores conectados ven el sitio web normal. La inspección de URL de Search Console muestra, en cambio, la obtención desde el punto de vista de Google.
Otro indicio es una búsqueda con site:sudominio.de combinada con términos típicos de spam. Si allí aparecen páginas que usted nunca ha creado, es una señal clara. Revise también los sitemaps enviados: los atacantes crean a veces sitemaps propios para que sus páginas de spam se indexen más rápido.
En el servidor, unas comprobaciones sencillas, de solo lectura, ayudan a buscar archivos modificados:
# Archivos PHP y HTML modificados en los últimos 14 días
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# Archivos PHP en directorios de subidas (normalmente no debería haberlos)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Reglas de redirección en archivos .htaccess
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Las reglas que redirigen de forma distinta según el referer o el user agent son una característica típica del cloaking. En WordPress, proceda además de forma específica según las indicaciones de la guía Encontrar puertas traseras en WordPress.
Qué ocurre tras la solicitud
Google vuelve a revisar el sitio web y comunica el resultado en Search Console. Si la solicitud se acepta, las advertencias desaparecen. Si se rechaza, Google suele indicar más URL de ejemplo. Entonces busque de forma específica los contenidos que quedan y vuelva a solicitar la revisión solo después de la limpieza.
Las URL de spam que Google ya conoce deberían devolver, tras la limpieza, un estado 404 o 410, para que salgan del índice. No las redirija de forma generalizada a la página de inicio. Siga vigilando Search Console en las semanas siguientes, porque una nueva aparición de spam apunta a una puerta trasera pasada por alto. Un seguimiento completo lo describe nuestra lista de comprobación tras un hackeo.
Para que la advertencia no se repita, tras la limpieza deberían quedar resueltas de forma permanente algunas cosas:
- Las actualizaciones de PHP, el CMS, los temas y las extensiones se instalan sin demora, y alguien es responsable de ello.
- Las extensiones que no se usan, las instalaciones de prueba antiguas y los subdirectorios olvidados se han eliminado.
- Los accesos de administración son personales y están protegidos con un segundo factor.
- Una supervisión de archivos avisa de los archivos PHP nuevos en los directorios de subidas y de caché.
- Las notificaciones por correo de Search Console llegan a una dirección que se lee con regularidad.
En caso de caídas prolongadas o de datos de clientes afectados, informe también a sus clientes, de forma objetiva, sobre la situación. Una comunicación abierta y serena suele proteger mejor la confianza que el silencio.
¿Cómo ayuda PHP SOS en concreto?
- Primero conservamos los rastros y aclaramos por qué vulnerabilidad entró el atacante.
- Limpiamos archivos, base de datos y configuración del servidor en el marco de la eliminación de malware y cerramos la causa.
- Revisamos el sitio web desde el punto de vista de Google, eliminamos propietarios ajenos de Search Console y preparamos con usted la solicitud de revisión.
- En caso de infección aguda, nuestra ayuda de emergencia para sitios web hackeados asume la contención hasta que el incidente quede cerrado y documentado.
Preguntas frecuentes
¿Cuánto tarda Google en quitar la advertencia?
No se puede predecir con fiabilidad. La revisión solo comienza cuando usted la solicita en Search Console y depende del tipo y el alcance del problema. El estado lo ve en el informe de problemas de seguridad.
¿Qué ocurre si solicito la revisión demasiado pronto?
Si Google sigue encontrando contenidos dañinos en la comprobación, la solicitud se rechaza y la advertencia permanece. Los rechazos repetidos pueden retrasar la siguiente revisión. Solicite por eso la revisión solo después de una limpieza completa.
¿Por qué yo mismo no veo las páginas de spam?
Muchos hackeos muestran el spam solo a los buscadores o a los visitantes que llegan desde Google, y a los administradores conectados les muestran la página normal. Esta técnica se llama cloaking. Con la inspección de URL de Search Console ve lo que Google obtiene realmente.
¿Tengo que reconstruir mis posiciones tras la limpieza?
Tras quitar la advertencia, la visibilidad suele recuperarse, aunque no necesariamente hasta el nivel anterior. Lo decisivo es que las URL de spam desaparezcan del índice y que los contenidos reales sigan accesibles sin cambios.