Quitar el aviso «sitio peligroso» de Google, paso a paso

Qué aviso tienes

Hay varios avisos distintos y no se resuelven exactamente igual. Identifica el tuyo:

• «Este sitio puede haber sido pirateado», debajo de tu resultado en Google. Google ha detectado contenido que ha añadido un tercero, casi siempre páginas de spam o enlaces. Según su propia ayuda, la etiqueta no se retira hasta que el propietario toma medidas: no desaparece sola.
• «Sitio engañoso» (pantalla roja en Chrome): Navegación segura cree que la web intenta engañar a los visitantes, por ejemplo con páginas de phishing que imitan a un banco o a una empresa de mensajería. Muchas veces las ha creado un atacante dentro de tu web sin que lo sepas.
• «El sitio web que vas a visitar contiene malware» o «programas dañinos»: la web intenta instalar algo en el ordenador del visitante o carga recursos de un sitio que lo hace.
• «No es seguro» en la barra de direcciones: no es malware. Indica que la página no usa HTTPS o que el certificado falla. Se arregla con un certificado, no con una revisión.

Paso 1: comprueba el estado desde fuera

Busca tu dominio en el informe de transparencia de Navegación segura de Google. Te dice si Google considera la web peligrosa en este momento. Apunta lo que diga: es tu punto de partida y te servirá para comprobar el resultado al final.

Haz también la búsqueda site:tudominio.com en Google. Si aparecen páginas que no son tuyas (japonés, casino, farmacia, réplicas falsas), ya sabes qué tipo de contenido tendrás que eliminar.

Paso 2: entra en Search Console

Google Search Console es la herramienta gratuita de Google para propietarios de webs, y es el sitio desde el que se pide la revisión. Si no tienes la web verificada, hazlo ahora. Te recomiendo la propiedad de tipo Dominio, verificada con un registro TXT en el DNS: cubre http, https, con y sin www y todos los subdominios, y no depende de un archivo dentro de la web que el atacante podría tocar.

Paso 3: lee el informe «Problemas de seguridad»

En el menú lateral, abre Seguridad y Acciones manuales → Problemas de seguridad. Si todo está bien, verás una marca verde. Si no, verás la lista de problemas detectados. Google los agrupa en tres familias:

• Contenido pirateado: malware, inyección de código, inyección de contenido o inyección de URL (páginas nuevas creadas por el atacante).
• Malware y software no deseado: descargas maliciosas o enlaces a ellas.
• Ingeniería social: páginas engañosas, recursos insertados engañosos (por ejemplo, anuncios que imitan botones del sistema) y otras variantes de phishing.

Despliega cada problema: verás una lista de URL de ejemplo. Google avisa de que es una muestra, no la lista completa. Cópialas en un documento, porque son el punto de partida de la limpieza y las usarás para comprobarla. Lee también el enlace Más información de cada tipo de problema: explica qué ha visto exactamente.

Paso 4: limpia la web de verdad

Es la parte que decide si la revisión sale bien. Hay que eliminar todo lo que Google ha visto y también lo que no ha visto:

• Las páginas de spam o phishing creadas por el atacante (y quitarlas del sitemap si se habían añadido). Lo correcto es que devuelvan 404 o 410.
• El código inyectado en archivos, plantillas y base de datos.
• Las puertas traseras, usuarios y tareas programadas que permitirían volver a infectar la web.
• El fallo por el que entraron: un plugin o módulo desactualizado, una contraseña filtrada, un formulario de subida mal protegido.

Si la web es WordPress, la guía para saber si tu WordPress está hackeado recorre los sitios donde mirar; si es una tienda PrestaShop, la de qué hacer si hackean tu PrestaShop; para cualquier otra, cómo recuperar una web hackeada.

Paso 5: comprueba antes de pedir nada

Antes de pulsar ningún botón, revisa la web como la vería Google:

1. Abre en incógnito, y desde el móvil con datos, todas las URL de ejemplo de Search Console. Deben dar error 404 o mostrar tu contenido legítimo.
2. En Search Console, usa la Inspección de URLs sobre algunas de ellas y pulsa Probar URL publicada: verás el HTML que recibe Googlebot, que puede ser distinto del que ves tú si el malware distingue al buscador.
3. Repite la prueba con curl simulando a Googlebot, para descartar contenido que solo se sirve al rastreador:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://tu-web.com/ | grep -iE "casino|viagra|<script[^>]+src=" | head

Si algo de esto falla, todavía no has terminado. Pedir la revisión antes de tiempo solo retrasa la siguiente.

Paso 6: pide la revisión

Vuelve a Problemas de seguridad y pulsa Solicitar revisión. Google pide que el problema esté corregido en todas las páginas afectadas y en todos los problemas de la lista, no solo en algunos. En el texto, explica en pocas líneas y de forma concreta:

• Qué has encontrado (por ejemplo: «2.300 páginas de spam generadas por un archivo PHP en /wp-content/uploads/ y un usuario administrador creado por un tercero»).
• Qué has hecho para limpiarlo (archivos sustituidos por los originales, páginas eliminadas con 404, base de datos revisada).
• Qué has hecho para que no vuelva a pasar (actualización o eliminación del plugin vulnerable, cambio de contraseñas, revisión de usuarios).

Si has comprado el dominio hace poco y el problema venía del dueño anterior, dilo en la solicitud: Google lo tiene en cuenta. Para avisos de phishing, además de Search Console existe el formulario de error de Navegación segura, que también lanza una revisión de las páginas ya limpias.

Cuánto tarda

Google recibe la solicitud, te manda un correo de confirmación y otro con la decisión. Según su documentación sobre cómo solicitar una revisión, las revisiones de phishing se resuelven en torno a un día, las de malware en unos días y las de sitios hackeados con spam pueden llevar varias semanas. Cuando se aprueba, el aviso desaparece de Chrome y de los resultados de forma progresiva.

No envíes otra solicitud mientras haya una pendiente. Y no la pidas sin haber limpiado: Google advierte que eso puede alargar la respuesta y hacer que te consideren infractor reincidente. Su política de infractores reincidentes se aplica a las webs que alternan una y otra vez entre limpias y dañinas, y las bloquea 30 días sin poder pedir revisiones.

Si Google rechaza la revisión

Un rechazo significa que sigue encontrando el problema. No vuelvas a pedirla con el mismo estado: vuelve al paso 3, mira si han cambiado las URL de ejemplo y busca lo que se ha quedado. Lo habitual en mis casos es una de estas tres cosas: una puerta trasera que ha vuelto a generar las páginas, contenido que solo se sirve a Googlebot o un subdominio olvidado (un staging. o un blog. antiguo) que también está infectado.

Otras listas negras

Además de Google, tu dominio puede estar en listas de otros servicios (antivirus, filtros de correo, Microsoft Defender SmartScreen). Cada una tiene su propio procedimiento de retirada. El análisis gratuito comprueba las más habituales.

Si quieres que me encargue

Limpio la web, pido la revisión en Search Console con el texto adecuado y hago el seguimiento hasta que el aviso desaparece. La revisión de Google va incluida en la limpieza; las listas negras de otros servicios son un trámite aparte.

• WordPress: 219 € (IVA no incluido), con 90 días de garantía (limpieza de malware en WordPress).
• PrestaShop o WooCommerce: 349 € (IVA no incluido), con la revisión del pago incluida (PrestaShop hackeado).
• Cualquier otra web: todas las opciones, y cómo pedir la limpieza con prioridad sobre el resto de trabajos, en web hackeada.

Fuentes

• Ayuda de la Búsqueda de Google: mensaje «Este sitio puede haber sido pirateado» (no se retira hasta que el propietario toma medidas).
• Ayuda de Search Console: informe Problemas de seguridad (las tres familias de problemas, las URL de ejemplo como muestra y la revisión cuando todo está corregido).
• Ayuda de Search Console: añadir una propiedad (la propiedad de dominio, verificada por DNS, incluye http, https y los subdominios).
• web.dev: solicitar una revisión (plazos de revisión: phishing en torno a un día, malware unos días, spam hasta varias semanas).
• Google Search Central: infractores reincidentes de Navegación segura (el estado dura 30 días).
• Informe de transparencia de Navegación segura (estado actual del dominio).