Abres tu web y Chrome te planta la pantalla roja entera: «Sitio engañoso». O un cliente te manda una captura de Google con un «Este sitio puede haber sido hackeado» debajo de tu nombre. Desde ese momento casi nadie entra. El aviso se quita, pero Google solo lo retira cuando la web está limpia de verdad, y pedirlo antes de tiempo te hace perder días.
Contenido
Los tres avisos de Google y qué significa cada uno
«Sitio engañoso»: la pantalla roja de Chrome
Google cree que tu web intenta engañar a quien la visita: páginas que imitan a un banco o a una empresa de paquetería, descargas falsas o el CAPTCHA falso de ClickFix. Es el más grave de los tres, porque Chrome corta la entrada y muy poca gente se atreve a pulsar en «detalles» para seguir.
«Sitio peligroso» o «puede dañar tu ordenador»
Aquí el motivo es malware o software no deseado: tu web intenta instalar algo en el ordenador de quien entra, o carga código de un sitio que sí lo hace. También bloquea la entrada desde Chrome.
«Este sitio puede haber sido hackeado» en los resultados
Sale debajo de tu enlace en Google cuando ha encontrado contenido que tú no pusiste, casi siempre páginas de spam. No bloquea la entrada, pero con esa frase debajo pocos hacen clic. Suele ir de la mano del spam japonés y las redirecciones.
Si quieres comprobar el estado de tu dominio sin entrar en Search Console, el Informe de transparencia de Google tiene un buscador de Navegación segura: pones tu dominio y te dice si lo considera peligroso y por qué.
Cómo ver el motivo en Search Console
Entra en Search Console, en Seguridad y acciones manuales › Problemas de seguridad. Ahí Google te dice qué ha encontrado (malware, phishing, contenido hackeado) y te enseña algunas direcciones de ejemplo. Mira también Acciones manuales en el mismo menú, porque el spam a veces acaba ahí.
Dos cosas que conviene saber. Las URLs de ejemplo son solo unas cuantas, no la lista completa, así que limpiar esas no basta. Y si tu web no está dada de alta en Search Console, hazlo ya verificando el dominio por DNS: sin eso no ves el informe ni puedes pedir la revisión.
Limpia la web antes de pedir la revisión
El error que más vemos: borrar la página que Google pone de ejemplo y pedir la revisión al día siguiente. Si queda algo, Google la rechaza y vuelves a esperar. Y si insistes sin haberlo arreglado, la siguiente revisión puede tardar más. Antes de pulsar el botón:
- Limpia la web entera, archivos y base de datos, y cierra la vía por la que entraron.
- Comprueba las URLs de ejemplo con la herramienta de Inspección de URLs, que enseña lo que ve Google y no lo que ves tú.
- Revisa en Configuración › Usuarios y permisos que no haya propietarios que no conoces.
- Cambia todas las contraseñas: WordPress o PrestaShop, hosting, FTP y base de datos.
Si no sabes por dónde empezar con la limpieza, en cómo detectar malware en WordPress tienes qué revisar, y en nuestra página de limpieza de webs hackeadas cómo lo hacemos nosotros, incluida la revisión de Google.
Cómo redactar la solicitud de revisión
En Problemas de seguridad, cuando todo está limpio, pulsas «Solicitar revisión» y Google te pide que expliques lo que has hecho. Esa explicación la lee alguien, así que sé concreto: qué había, por dónde entraron y cómo lo has solucionado, problema por problema. Algo así:
«Contenido hackeado (páginas de spam en /productos-baratos/). Entraron por un plugin de formularios sin actualizar. Hemos reinstalado WordPress, el tema y todos los plugins desde sus fuentes oficiales, eliminado 1.240 páginas de spam y un administrador falso, actualizado el plugin vulnerable y cambiado todas las contraseñas. Las URLs de spam devuelven ahora un error 410.»
Lo que no funciona es un «ya está arreglado, quitad el aviso». Si el problema es de phishing y no tienes acceso a Search Console, también puedes pedir la revisión desde el formulario de Navegación segura de Google.
Cuánto tarda Google en quitar el aviso
Depende del tipo de problema. Según la propia Google:
- Phishing («sitio engañoso»): alrededor de un día.
- Malware: unos días.
- Hackeado con spam: hasta varias semanas, porque suele revisarlo una persona.
La respuesta te llega a los mensajes de Search Console. Si la rechazan, es que Google sigue viendo algo: vuelve a revisar antes de mandar otra solicitud. Y mientras esperas, avisa a tus clientes habituales por correo o por WhatsApp de que estás en ello. Es mejor que se enteren por ti que por la pantalla roja.
Preguntas frecuentes sobre el aviso de sitio peligroso
¿Por qué Google dice que mi web es peligrosa si yo no veo nada raro?
Porque mucho malware se esconde de los administradores y solo se muestra a visitas nuevas o al robot de Google. Abre la web en incógnito desde el móvil con datos y usa la Inspección de URLs de Search Console para ver lo que ve Google.
¿Puedo quitar el aviso sin limpiar la web?
No. Google vuelve a analizar la web antes de aceptar la revisión, y si encuentra lo mismo la rechaza. Lo único que consigues es perder tiempo.
¿El aviso afecta a mi posicionamiento en Google?
Mientras está puesto, sí: te quita casi todos los clics y las páginas de spam compiten con las tuyas. Cuando Google retira el aviso y desaparece el spam, en las webs que hemos limpiado el tráfico ha ido volviendo, aunque no de un día para otro.
¿Y si Google se ha equivocado?
Pasa poco, pero pasa. Revisa antes que no cargues scripts o archivos de una web externa que sí esté infectada, porque el aviso te puede llegar por ahí. Si todo está bien, pide la revisión explicando que no has encontrado nada y qué has comprobado.
¿Google ha marcado tu web como peligrosa?
Te la limpiamos y nos encargamos de pedir la revisión a Google. El diagnóstico es gratis, la limpieza empieza desde 150 € + IVA y, si escribes en horario laboral, te contestamos el mismo día.
Pedir diagnóstico gratisEscrito por Juan Jesús Santos García, fundador de Soluciones Web 365. Más de 18 años manteniendo y reparando webs WordPress, WooCommerce y PrestaShop desde Alfafar (Valencia), con hosting propio.
