Sitio web hackeado: cómo detectarlo, limpiarlo y recuperarlo

Puntos clave

Revisa primero el informe de Problemas de seguridad en Search Console: es la fuente oficial de Google sobre contenido hackeado y malware.
Páginas de spam en una búsqueda site:, propietarios desconocidos en Search Console y redirecciones raras son señales clásicas.
Haz copia de seguridad, limpia todo, corrige la vulnerabilidad y cambia todas las contraseñas antes de pedir la revisión.
La revisión de un sitio hackeado con spam puede tardar varias semanas; pedirla antes de tiempo la alarga.

Desde afuera, un problema de seguridad parece un problema de SEO: cae el tráfico, aparecen páginas raras en Google y una advertencia en los resultados. En mi trabajo de SEO técnico trato un hackeo como una urgencia, porque cada día que sigue en línea, Google y tus clientes ven el spam. Esta guía sigue la ayuda oficial de Google para sitios hackeados. Si sospechas una penalización y no un hackeo, lee primero penalizaciones de Google; los dos casos se revisan en informes distintos.

¿Cómo sé si mi sitio web fue hackeado?

Las señales más claras son un aviso en el informe de Problemas de seguridad de Search Console, la etiqueta "Es posible que este sitio haya sido hackeado" bajo tu resultado en Google, páginas que nunca creaste en una búsqueda site:, a menudo en japonés o de farmacia, propietarios desconocidos en Search Console y páginas que redirigen a otro sitio.

Abre Search Console y ve a Seguridad y acciones manuales, luego Problemas de seguridad.
Busca en Google site:tudominio.com y recorre los resultados: busca URL y títulos que no creaste.
En la configuración de Search Console, revisa Usuarios y permisos por si hay propietarios que no conoces.
Abre desde el celular una URL sospechosa que salga en Google: muchas páginas hackeadas solo muestran el spam a quien llega desde el buscador.
Revisa tu sitemap por si tiene URL o sitemaps que no reconoces.
Pregúntale a tu hosting si detectó malware en tu cuenta.

¿Qué significa la advertencia de Google de sitio hackeado?

Google muestra esa etiqueta cuando cree que un hacker pudo cambiar páginas existentes o agregar páginas de spam a tu sitio, y así advierte a la gente antes de hacer clic. La etiqueta sigue hasta que limpias el sitio, corriges la vulnerabilidad, pides una revisión en Problemas de seguridad de Search Console y Google confirma que está limpio.

Esa explicación está en la ayuda de la Búsqueda de Google sobre el mensaje de sitio posiblemente hackeado. El informe de Problemas de seguridad lista los tipos de problemas que Google detecta, agrupados en contenido hackeado, malware y software no deseado, e ingeniería social, con URL de ejemplo. También explica la diferencia con las acciones manuales: una acción manual suele bajar o quitar páginas sin ninguna advertencia visible, mientras que un problema de seguridad puede mostrar una etiqueta de advertencia a los usuarios.

	Problema de seguridad (hackeo)	Acción manual
Qué es	Tu sitio fue comprometido o perjudica a los visitantes	Un revisor encontró que el sitio incumple las políticas de spam
Qué ve el usuario	Posible etiqueta de advertencia o página de aviso del navegador	Ninguna advertencia; bajan posiciones o se quitan páginas
Dónde se revisa	Informe de Problemas de seguridad	Informe de Acciones manuales
Guía	Este artículo	Penalizaciones de Google

¿Qué es el hackeo de palabras clave en japonés?

Es un hackeo que crea en tu sitio páginas con texto en japonés generado automáticamente, en carpetas con nombres al azar y llenas de enlaces de afiliado a tiendas de imitaciones. Google puede indexarlas, así que salen en tu búsqueda site:. El atacante suele agregarse como propietario en Search Console y mostrar el spam solo a los buscadores.

La guía de Google para corregir el hackeo de palabras clave en japonés lo explica paso a paso y advierte que los atacantes intentan que la página parezca eliminada o arreglada, por ejemplo mostrándote un 404 a ti mientras le siguen mostrando spam a Google. Usa la herramienta de inspección de URL de Search Console para ver lo que ve Googlebot. Otros hackeos parecidos inyectan páginas de farmacia, casinos o texto sin sentido; la lógica de limpieza es la misma.

¿Cómo se limpia un sitio web hackeado, paso a paso?

Sigue este orden: haz copia del sitio hackeado, quita los propietarios desconocidos de Search Console, encuentra y borra los archivos y cambios del atacante en la base de datos, reinstala el CMS, temas y plugins desde fuentes limpias, corrige la vulnerabilidad, cambia todas las contraseñas, haz que las URL de spam devuelvan 404 y luego pide la revisión.

Haz copia de seguridad de los archivos y la base de datos actuales antes de tocar nada, aunque estén infectados.
Contacta a tu hosting: muchos tienen herramientas y soporte para cuentas comprometidas.
Quita los propietarios desconocidos en Search Console y borra sus archivos o códigos de verificación.
Restaura una copia limpia si la tienes, o limpia el sitio: reemplaza el .htaccess, reinstala el núcleo del CMS, temas y plugins, y busca archivos desconocidos o modificados hace poco.
Borra los plugins, temas y aplicaciones que no uses.
Actualiza todo a las versiones vigentes.
Cambia todas las contraseñas: hosting, FTP o SFTP, base de datos, administradores del CMS y correo ligado al sitio. Activa la verificación en dos pasos.
Haz que las URL de spam devuelvan 404 (no encontrada) para que salgan de Google.
Comprueba que las páginas reales funcionen y no estén bloqueadas para Google.

La guía de Google para limpiar y mantener tu sitio cubre cada caso: copia limpia reciente, copia vieja o sin copia. También dice que la herramienta de retirada es opcional para las páginas creadas por el atacante; devolver un 404 funciona, solo que más lento. Usa la herramienta de retirada de URL solo para URL que nunca quieres en Google, nunca para tus propias páginas que solo fueron modificadas. Para el proceso general, mira cómo desindexar una página de Google. Si pudieron quedar expuestos datos de clientes, revisa tus obligaciones legales con tu asesor antes de borrar evidencia.

¿Cómo se pide la revisión a Google después de un hackeo?

Cuando todo el sitio esté limpio y la vulnerabilidad corregida, abre Problemas de seguridad en Search Console, elige Solicitar revisión y explica qué hiciste con cada problema. Google dice que revisar un sitio hackeado con spam puede tardar varias semanas, el malware unos días, y que las advertencias se quitan en 72 horas tras aprobarse.

Esos tiempos están en la guía de Google para solicitar una revisión, que también advierte que pedirla antes de que el problema esté resuelto de verdad solo alarga el tiempo que el sitio queda marcado. Espera la decisión antes de volver a enviarla.

¿Vuelven las posiciones después de un hackeo?

Muchas veces sí, pero no de inmediato. Cuando las páginas de spam devuelven 404 y Google vuelve a rastrear el sitio, el spam sale del índice y tus páginas reales pueden recuperarse, aunque nada garantiza un plazo. Suele tardar más si el hackeo duró meses, si hubo enlaces de spam o si se borraron páginas reales.

Síguelo en los informes de Rendimiento e Indexación de páginas de Search Console, que explico en Google Search Console. Ten en cuenta que las políticas contra el spam de Google también cubren el contenido hackeado, así que limpiar no es opcional si quieres que tus páginas compitan.

Cómo evitar que tu sitio vuelva a ser hackeado

Google enumera las formas más comunes en que los spammers hackean sitios: contraseñas comprometidas, actualizaciones de seguridad pendientes, temas y plugins inseguros, ingeniería social como correos de phishing, huecos en las políticas de seguridad y filtraciones de datos. Prevenir es, en buena parte, hacer lo contrario de esa lista.

Contraseñas fuertes y únicas

Una por cuenta, en un gestor de contraseñas y con verificación en dos pasos.

Actualizaciones

Mantén al día el CMS, el tema y los plugins, siempre después de una copia.

Menos plugins

Quita lo que no uses e instala solo desde fuentes confiables.

Menos administradores

Da a cada persona solo el acceso que necesita y retira a quienes ya no trabajan contigo.

Copias automáticas

Diarias, guardadas fuera del servidor y probadas de vez en cuando.

Monitoreo

Alertas de Search Console por correo y un escáner de seguridad que no bloquee a Googlebot.

Sobre ese último punto: las herramientas de seguridad pueden pasarse. En un caso que trabajé, el firewall de una clínica médica estaba bloqueando al mismo Google, como cuento en este caso de SEO técnico. Protege el sitio, pero prueba que Google lo pueda seguir leyendo. Como consultor SEO, puedo revisar tu informe de Problemas de seguridad y tu indexación en un diagnóstico gratis: agéndalo aquí.

Preguntas frecuentes

¿Basta con borrar las páginas de spam?

Es solo una parte. Si la vulnerabilidad sigue abierta, el atacante suele volver a crearlas en pocos días.

¿Debo bloquear las URL de spam en robots.txt?

No. Google necesita rastrearlas para ver que ahora devuelven 404 y sacarlas del índice.

¿Un hackeo significa que tengo una acción manual?

No necesariamente. Los hackeos aparecen en Problemas de seguridad y las acciones manuales en otro informe. Revisa los dos.

¿Debo avisarles a mis clientes?

Si pudieron quedar expuestos datos personales, puede haber obligaciones legales. Consúltalo con tu asesor.

¿Se puede hackear una tienda en Shopify o Wix?

Las plataformas alojadas cuidan la seguridad del servidor, pero una contraseña robada o una app riesgosa igual pueden comprometer tu tienda o tu cuenta.

Sobre el autor

Juan José Giraldo es consultor SEO en Medellín, Colombia, con más de 5 años de experiencia. Trabaja el SEO técnico y local de más de 600 concesionarios en EE. UU. en Reunion Marketing, agencia de la lista Inc. 5000, y supervisa el SEO de 18 tiendas online en EE. UU. con más de 3 millones de productos en Prontomowers. Ver más · LinkedIn.

Sitio web hackeado: cómo detectarlo, limpiarlo y volver a Google.