Google dice que su sitio es peligroso: qué hacer, paso a paso
Una pantalla roja de aviso en el navegador o una etiqueta de sitio pirateado en los resultados de Google. De dónde salen, cómo confirmarlo en Search Console, limpiar el sitio y solicitar una revisión.
Normalmente empieza con un mensaje de un cliente: «He intentado entrar en su web, pero el navegador no me deja». O busca el nombre de su empresa y ve bajo su dirección una línea que antes no estaba.
Es un momento desagradable, pero hay una salida ordenada. El aviso no es una sanción. Es una señal de que Google ha encontrado en su sitio algo que podría perjudicar a los visitantes. A continuación verá cómo averiguar qué ha encontrado exactamente, cómo limpiar el sitio y cómo pedir que se retire el aviso.
Qué ven sus clientes
Los avisos tienen dos formas.
La primera es una pantalla roja en el navegador que tapa toda la página. En Chrome el encabezado dice algo como «Sitio engañoso» o «Sitio peligroso», según la versión del navegador y el tipo de problema. Firefox y Safari usan la misma lista de Google Safe Browsing, así que sus usuarios también ven un aviso, solo que con otras palabras.
La segunda es una línea bajo su resultado en la Búsqueda de Google, del tipo «Es posible que este sitio haya sido pirateado» o «Este sitio puede dañar tu ordenador». La página sigue abriéndose, pero poca gente hará clic.
La pantalla roja pesa todavía más, porque para pasarla el visitante tiene que abrir los detalles e ignorar el aviso a propósito. Si usa Google Ads, los anuncios que apuntan a un sitio marcado también pueden quedar en pausa.
De dónde sale el aviso
Google revisa los sitios web con regularidad en busca de varios tipos de problemas. En los sitios de pequeñas empresas suele ser uno de estos:
- alguien entró y subió a una carpeta oculta una página falsa de acceso a un banco o de pago de un paquete, es decir, phishing,
- se añadió a los archivos del sitio código que redirige a los visitantes a otra parte o les fuerza una descarga,
- aparecieron en el sitio cientos de páginas de spam sobre casinos, farmacia o en japonés,
- el sitio carga un script o un widget de otro dominio que a su vez está marcado.
En todos estos casos el propietario no suele notar nada. Los atacantes muestran a menudo el spam solo al rastreador de Google o a quien llega desde los resultados de búsqueda. Usted entra directamente en su sitio, con la sesión de administrador iniciada, y lo ve igual que siempre.
Paso 1: confirme el problema en Search Console
La fuente más fiable es Google Search Console. Si su sitio todavía no está dado de alta allí, pida a quien gestione su dominio que lo verifique. La forma más sencilla es un registro TXT en el DNS, que se añade en unos minutos, y después una breve espera hasta que surta efecto.
En Search Console, abra el informe Problemas de seguridad. Muestra el tipo de problema, como contenido pirateado, software malicioso o ingeniería social, junto con direcciones de ejemplo donde Google lo encontró. Son ejemplos, no una lista completa.
Si todavía no tiene acceso, puede comprobar su dominio de inmediato en la herramienta de estado de sitios de Safe Browsing del Informe de transparencia de Google. Indica si el dominio está marcado y por qué.
Abra también las direcciones de ejemplo del informe en una ventana privada, una vez en un ordenador y otra en un móvil, porque algunas redirecciones maliciosas solo se activan en dispositivos móviles. Después busque en Google site:sudominio.com, recorra los resultados y haga clic en algunos. Busca páginas que no reconoce y redirecciones que no deberían existir.
Paso 2: limpie antes de pedir una revisión
Este es un trabajo para su desarrollador o para una empresa especializada en limpiar sitios infectados. La propia ayuda de Google sugiere incluso desconectar temporalmente un sitio pirateado. Avise también de inmediato a su proveedor de alojamiento, porque muchos tienen sus propios escáneres y pueden ayudar.
Una limpieza bien hecha es más o menos así:
- Alguien guarda una copia del estado actual, infectado, para poder averiguar qué pasó.
- Encuentra la vía de entrada: un plugin desactualizado, una contraseña robada, una cuenta de administrador olvidada. Sin este paso el problema vuelve en pocos días.
- Elimina los archivos maliciosos y el código inyectado, o restaura el sitio desde una copia limpia anterior a la infección, y lo actualiza enseguida, porque la copia antigua tiene el mismo agujero.
- Cambia todas las contraseñas: panel de administración, alojamiento, FTP, base de datos y cuentas de correo. Elimina las cuentas que nadie reconoce.
- Revisa todo el sitio, no solo las direcciones del informe. Google espera que todos los problemas estén corregidos en todas las páginas.
Si su sitio guarda datos de clientes y no puede descartar que alguien se los haya llevado, recuerde el RGPD y su plazo de 72 horas. Lo explico en un artículo aparte.
Paso 3: solicite una revisión
Cuando todo esté limpio, vuelva al informe Problemas de seguridad y seleccione Solicitar revisión. Google le pide que describa lo que se hizo. Sea concreto, por ejemplo:
La causa era un plugin de formulario de contacto desactualizado. Eliminamos el código inyectado de los archivos del tema y borramos todas las páginas de spam, actualizamos WordPress y todos los plugins, cambiamos todas las contraseñas y eliminamos una cuenta de administrador desconocida.
Recibirá un correo cuando Google reciba la solicitud y otro cuando termine la revisión. No envíe más solicitudes mientras haya una pendiente. Si Google sigue encontrando algo, rechaza la solicitud y le indica dónde mirar. Usted lo corrige y vuelve a pedirla.
Cuánto tarda
Aquí tengo que ser sincero: nadie puede decírselo. La ayuda de Google dice que una revisión puede tardar desde unos días hasta unas semanas, y no conozco ninguna forma de acelerarla, salvo limpiar a fondo la primera vez. Incluso tras una decisión favorable, los avisos del navegador y las etiquetas de la búsqueda no desaparecen en el mismo minuto.
Mientras tanto, envíe a sus clientes habituales una nota breve diciendo que conoce el problema y lo está solucionando. Pero no les pida que se salten el aviso. Hasta que Google confirme que el sitio está limpio, usted no puede estar seguro de que sea seguro para ellos.
Después, asegúrese de no pasar por esto dos veces. Compruebe que las notificaciones de Search Console llegan a un buzón que de verdad lee, porque la próxima vez Google escribirá ahí antes que sus clientes. Acuerde actualizaciones periódicas con su desarrollador, borre los plugins que no usa, active el inicio de sesión en dos pasos y guarde las copias de seguridad fuera del servidor. Son las mismas medidas que cierran las vías de entrada más habituales.