Sitio web hackeado: cómo detectarlo, limpiarlo y recuperar la indexación

Un sitio web hackeado casi nunca se ve distinto: la home sigue igual. La advertencia aparece en Google, el tráfico se hunde y tú no encuentras nada raro al abrir la página. Ese hueco entre lo que ves tú y lo que ve Google es el problema real.

Lo que sigue asume que algo entró en tu sitio y ordena el trabajo en cuatro fases: confirmar con evidencia, limpiar sin romper más cosas, pedir la revisión en el momento correcto y reconstruir el tráfico. Cada paso con su fuente oficial.

Señales de que tu sitio fue hackeado

El hackeo no se ve donde uno mira. Se ve en los datos y en los informes que Google genera solo.

Señales que confirma Google

• La etiqueta "Este sitio puede haber sido hackeado" debajo de tu resultado, o una página de advertencia intermedia del navegador antes de entrar.
• Un correo a la cuenta verificada de Search Console. El informe Problemas de seguridad indica la categoría: contenido hackeado, malware y software no deseado, o ingeniería social.
• Aviso de que alguien que no reconoces se ha verificado como propietario. Es una señal clásica de compromiso: el atacante entra para tocar la geolocalización, los sitemaps o el archivo de verificación.

Señales que ves tú y que Google no te va a contar

• URLs que no creaste: directorios de letras al azar como tusitio.com/ltjmnjp/341.html, rutas en japonés, /cheap-drugs o /buy-now-*.
• Caída de impresiones sin cambios de contenido o, al revés, subida de impresiones con consultas que no son tuyas porque el sitio empezó a posicionar por viagra, casinos o réplicas.
• Redirecciones que solo ocurren cuando el visitante llega desde Google, según referrer, user-agent o dispositivo.
• Un sitemap con URLs ajenas, archivos nuevos en la raíz, un .htaccess modificado, usuarios o plugins que no instalaste, tareas programadas desconocidas.
• Fechas de modificación de archivos que no tocaste: comparar contra el último backup es la forma más rápida de verlo.

Si nada de esto aparece, no cantes victoria todavía.

Por qué un sitio web hackeado se ve normal: cloaking

El atacante muestra una versión al visitante y otra al rastreador, o al visitante que llega desde Google. Se llama cloaking y su único objetivo es que el dueño no vea lo que Google sí ve. Si abres la URL sospechosa y está vacía o da 404, no tienes prueba de nada.

La verificación tiene tres frentes: busca con site:tudominio.com y recorre varias páginas de resultados; pega el texto raro entre comillas en el buscador; y abre la Inspección de URLs en Search Console para leer el HTML que Google obtuvo de verdad. Para comparar por tu cuenta, pide la página con el user-agent de Googlebot:

curl -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" \
  -s https://tudominio.com/pagina-sospechosa | head -c 2000

Si la respuesta no se parece a lo que ves en el navegador, ya tienes la prueba. La guía oficial de recuperación de sitios hackeados lo repite: no te dejes engañar por lo que muestra el navegador.

Cómo confirmar el diagnóstico

1. Verifica la propiedad en Search Console si aún no la tenías. Sin acceso no hay informe ni revisión posible.
2. Abre Problemas de seguridad y anota categoría, fecha de primera detección y URLs de ejemplo. Google repite un detalle: esa lista no es necesariamente completa. Es una muestra, no el inventario.
3. Contrasta el estado público del dominio en el informe de transparencia de Safe Browsing. Si el caso es phishing, ahí está el canal para reportar el error.
4. Si no logras reproducir la advertencia, no concluyas que no existe: la fuente de verdad es el informe y las advertencias dependen del contexto de navegación.
5. Si tras revisarlo todo sigues creyendo que es un falso positivo, el camino es el foro de ayuda de Search Central.

Los cuatro tipos de hackeo que documenta Google

La política de spam agrupa el contenido hackeado en cuatro formas. Reconocer la tuya ahorra horas de limpieza.

• Inyección de código: JavaScript o iframes maliciosos dentro de páginas que ya existían.
• Inyección de páginas: páginas nuevas con spam o phishing; las tuyas pueden estar intactas.
• Inyección de contenido: enlaces o texto ocultos con CSS o HTML, o directamente cloaking.
• Redirecciones: código que manda a algunos usuarios a otro sitio según referrer, user-agent o dispositivo.

Los hackeos con nombre propio

• Japanese keyword hack: páginas autogeneradas en japonés en directorios aleatorios, monetizadas con enlaces de afiliado a marcas falsas.
• Gibberish hack y cloaked keywords: texto sin sentido y enlaces que solo ve el rastreador.
• Malware: el caso más grave, el único que dispara la advertencia de Safe Browsing de "este sitio puede dañar tu equipo".

Paso a paso: limpiar el sitio sin empeorar el SEO

El orden importa más que la prisa.

1. Backup completo fuera del servidor

Archivos, base de datos e imágenes. Guarda una copia de los archivos infectados antes de borrarlos: Google lo recomienda para poder analizarlos.

2. Cuarentena con un 503 servido desde fuera

Baja el sitio con un 503 servido desde fuera de los directorios comprometidos: un proxy, el panel del hosting o una página estática en otro servidor. La guía de cuarentena es clara: las interrupciones temporales durante la recuperación no deberían afectar al ranking futuro. Y también con lo que no funciona:

• robots.txt con Disallow solo bloquea rastreadores: el contenido dañino sigue visible para el usuario.
• noindex durante la limpieza impide que Google verifique tus arreglos después.

HTTP/1.1 503 Service Unavailable
Retry-After: 3600

3. Revocar accesos

En Verification Details de Search Console quita los propietarios desconocidos, incluidos los tokens dinámicos inyectados por .htaccess. Cambia todas las contraseñas sin excepción: FTP, base de datos, SSH, CMS, hosting y correo del dominio. Activa doble factor donde se pueda. Y elimina usuarios, plugins, temas y tareas cron que no reconozcas: desinstalar, no desactivar.

4. Encontrar la vulnerabilidad, no solo el síntoma

Borrar el spam sin cerrar la puerta garantiza que vuelva. Las causas que Google documenta son pocas: contraseñas débiles o reutilizadas, software y plugins sin actualizar, temas y plugins pirateados, agujeros de configuración como subidas sin validar o cuentas con permisos de más, y datos expuestos en mensajes de error. Compara contra el backup y cruza el análisis de logs para ubicar la fecha de entrada.

5. Limpiar, parchear y volver a publicar

Restaura el contenido bueno, borra el del atacante, aplica el parche y actualiza todo. Si el atacante creó URLs nuevas y visibles, usa la retirada de URLs en Search Console, pero igual deben devolver 404. Antes de pedir nada, comprueba con curl que las páginas están limpias y rastreables: sin noindex y sin Disallow.

Solicitar la revisión a Google: qué escribir y cuánto tarda

La solicitud de revisión tiene requisitos previos: propiedad verificada, sitio limpio, vulnerabilidad corregida y sitio publicado y rastreable. El botón Request a review está dentro de Problemas de seguridad, y el canal cambia según el tipo: hackeo, malware o phishing.

Qué escribir: una línea por categoría con el problema, la acción concreta que tomaste y la evidencia. Nada de "ya lo arreglé" a secas. Sobre los plazos, sin promesas: las revisiones de sitios hackeados con spam pueden tardar varias semanas, y reenviar con una solicitud abierta solo alarga la cola.

Una trampa cara: los sitios que alternan entre limpio y sucio en poco tiempo pueden quedar como Repeat Offender, sin poder pedir revisiones durante 30 días.

Qué pasa con las posiciones cuando el sitio vuelve a estar limpio

Aprobada la revisión desaparecen la categoría y las URLs de ejemplo, pero eso no devuelve el tráfico. El contenido tiene que volver a rastrearse: pide recrawl de las páginas que importan y reenvía el sitemap. Las páginas de spam que sigan indexadas continúan contaminando el perfil, así que limpiarlas es parte del trabajo.

La recuperación no es una línea recta: primero vuelven las impresiones y después los clics. El CTR puede quedar deprimido un tiempo si el snippet quedó asociado a consultas basura. Lo que no hay que hacer es comprar enlaces para compensar, borrar medio sitio o cambiar de dominio por pánico.

Cómo evitar que vuelva a pasar

• Doble factor en CMS, hosting y correo del dominio.
• Actualizaciones automáticas de core, temas y plugins, sin "lo actualizo cuando tenga tiempo".
• Eliminar plugins y temas sin mantenimiento: menos código significa menos superficie.
• Permisos mínimos; quien no publica no necesita administración.
• Backups automáticos fuera del servidor y una restauración probada.
• HTTPS en todo el sitio, incluido el login.
• Monitorización de cambios de archivos y alertas de Search Console activas.
• Formación básica contra phishing: Google recuerda que algunas campañas llegan a un 45% de éxito.

Un hackeo SEO no se arregla con una etiqueta ni con un plugin de seguridad: se arregla cerrando la puerta, limpiando lo que entró y demostrándolo con evidencia. El orden de estos pasos importa más que la velocidad con la que los hagas.