Si sus visitantes se encuentran con una pantalla roja completa que dice “Sitio engañoso” (en inglés, “Deceptive site ahead”), respire antes de entrar en pánico. Se ve catastrófico, y el momento es durísimo — el tráfico suele caer la misma hora en que aparece la advertencia. Pero es una situación conocida y que tiene arreglo, y hay un camino claro de vuelta. Esta guía explica qué es de verdad la advertencia de “Sitio engañoso”, por qué Google la puso delante de su sitio, cómo encontrar y eliminar lo que la provocó y cómo pedirle a Google que la quite.
“Sitio engañoso” es un aviso de phishing, no de malware
Este es el detalle que confunde a la gente, así que vale la pena aclararlo primero. Google Safe Browsing muestra varias pantallas rojas distintas, y no todas significan lo mismo. “El sitio al que va contiene malware” significa que Google encontró código dañino que se está sirviendo a los visitantes — esa la explicamos en el sitio al que va contiene malware. “Sitio engañoso” es la advertencia de ingeniería social / phishing. Significa que Google cree que una página de su sitio intenta engañar a los visitantes para que entreguen algo — una contraseña, un pago, datos personales — o que se hace pasar por una marca para lograrlo.
La advertencia viene de Google Safe Browsing, la misma lista de bloqueo que consultan Chrome, Firefox y Safari. Por eso la caída se siente total: una sola entrada en la lista muestra la advertencia a la vez en casi todos los navegadores importantes, y Google también puede marcar el sitio en la Búsqueda y en Ads. La pantalla es el síntoma. El contenido de phishing que detectó Google es la enfermedad.
Por qué apareció “Sitio engañoso” en su sitio
En realidad solo hay dos razones por las que aparece esta advertencia, y una es mucho más común de lo que esperan los dueños.
- Hackearon su sitio y ahora aloja una página de phishing. Es, por mucho, la causa habitual. Un atacante que logró entrar en WordPress planta en silencio páginas falsas de inicio de sesión o de pago — muchas veces disfrazadas de un banco, de un servicio de correo web o de una empresa de envíos — en lo más profundo de una carpeta donde nunca miraría. Su página de inicio real no se toca, así que el sitio le parece completamente normal mientras muestra una página fraudulenta a la que el rastreador de Google llegó siguiendo un enlace. Como está dirigida a las víctimas de otros, puede que usted nunca la vea.
- Algo del sitio, de verdad, parece engañoso. Con menos frecuencia, una página real activa el clasificador — un botón de descarga que confunde, un formulario que pide una contraseña por una conexión insegura o un código de anuncios de terceros que redirige a páginas dudosas. Sigue siendo un problema real que hay que arreglar, solo que no es una intrusión.
En cualquier caso, si la pantalla roja ya está puesta, dé por hecho que hay contenido de phishing real en el sitio y vaya a buscarlo. Si primero quiere comprobar las señales más amplias de un hackeo, las repasamos en cómo saber si hackearon su sitio WordPress.
Cómo encontrarlo, eliminarlo y quitar la advertencia
Esto tiene un orden, y saltarse una etapa es la forma en que los sitios vuelven a quedar marcados una semana después.
1. Lea lo que encontró Google
Abra Google Search Console y vaya al informe de Problemas de seguridad. Para esta advertencia normalmente verá “Ingeniería social” o “Páginas engañosas”, y Google suele mostrar URL de ejemplo donde detectó el problema. Esa lista es su mapa — lo lleva directamente a las páginas de phishing en lugar de dejarle adivinar. Si el sitio todavía no está verificado en Search Console, verifíquelo ahora; lo necesitará para pedir la revisión al final.
2. Encuentre y elimine el contenido de phishing
Partiendo de las URL de ejemplo, localice las páginas engañosas y elimínelas. En un sitio hackeado, suelen ser archivos plantados en una carpeta apartada, o entradas inyectadas en la base de datos. Borre las páginas falsas, y no se quede en las que nombró Google — los atacantes casi nunca plantan solo una, y casi siempre dejan una puerta trasera para poder volver a entrar y reconstruir todo después de que limpie. Encontrar cada pieza, incluida esa entrada escondida, es la parte difícil, y es justo donde falla una limpieza hecha con prisa. Toda la secuencia de limpieza — analizar, limpiar, revisar la base de datos, inspeccionar los archivos de configuración — está en cómo arreglar un sitio WordPress hackeado.
3. Cierre el agujero por el que entraron
Limpiar las páginas arregla el hoy; cerrar el agujero arregla el mañana. Antes de pedirle una revisión a Google, cierre la puerta: actualice WordPress, todos los plugins y todos los temas; borre todo lo que no use activamente, porque inactivo solo significa sin vigilancia; y cambie sus contraseñas — de administrador, del hosting, de la base de datos, del acceso a archivos (FTP/SFTP) — con una protección fuerte del inicio de sesión activada para que una contraseña robada o adivinada no se pueda volver a usar. Un sitio que vuelve a quedar marcado justo después de una revisión recibe menos paciencia de Google la segunda vez.
4. Pida una revisión en Search Console
Solo cuando el contenido de phishing haya desaparecido de verdad y el agujero esté cerrado, vuelva al informe de Problemas de seguridad y pida una revisión. Google vuelve a revisar el sitio y, si está de acuerdo en que el contenido engañoso desapareció, quita la entrada de la lista — y la advertencia roja desaparece en todos esos navegadores a la vez.
Esta es la parte honesta, y es la que más importa cuando está en pánico: Google decide cuándo hace esa revisión, y nadie puede prometer un tiempo concreto para quitar la advertencia. Google suele tardar de uno a tres días en quitarla; lo más rápido que hemos visto son 24 horas. Lo que sí puede controlar es no gastar un intento de revisión en un sitio que no está del todo limpio — una revisión fallida solo le cuesta más espera. Hágalo bien una vez, pida la revisión y dele tiempo.
Animación. Empieza con una pantalla roja de advertencia a pantalla completa, dibujada con nuestro propio estilo, con un signo de exclamación blanco y las palabras: Marcado como peligroso. Se está advirtiendo a los visitantes que no entren. Luego la pantalla roja se encoge hasta ser una pequeña imagen roja dentro de una tarjeta de estado, y sigue en rojo mientras avanza una línea de tiempo honesta. Día 0: mudamos su sitio y lo limpiamos, y la tarjeta muestra su sitio como Limpio. Después: le pedimos a Google que lo vuelva a revisar. De uno a tres días, normalmente: Google quita su advertencia; lo más rápido que hemos visto son 24 horas, y todo ese tiempo la tarjeta sigue diciendo Advertencia de Google, Todavía aparece. Hasta que desaparece: seguimos vigilando, con Horatio el hipopótamo de guardia. Al final la pequeña imagen se vuelve verde y dice Advertencia eliminada, y aparece un botón Empezar mi mudanza.
- ¿Google marcó su sitio como peligroso?
- Día 0: mudamos su sitio y lo limpiamos.
- Después le pedimos a Google que lo vuelva a revisar.
- Google suele tardar de uno a tres días en quitar su advertencia.
- Lo vigilamos hasta que desaparece.
Cómo lo maneja SolutionHippo
Seremos claros sobre dónde encajamos. Esta es la situación de la que nuestro hosting administrado está hecho para mantenerlo alejado desde el principio. La búsqueda de malware y de contenido sospechoso es parte del cuidado que viene incluido en todos los planes — no es un extra ni una cuota aparte — así que una página de phishing inyectada suele detectarse y eliminarse antes de que le gane un lugar en la lista de bloqueo de Google. Es prevención, no una garantía: nuestra búsqueda está pensada para detectar este tipo de cosas antes de que lleguen tan lejos, con un buen respaldo: un firewall fuerte frena pronto el tráfico malicioso, la protección contra contraseñas filtradas mantiene fuera los accesos robados y las copias de seguridad externas 3 veces al día significan que incluso un mal día es solo una restauración. Después de cualquier cambio, verificamos que el sitio se siga viendo y funcionando bien.
¿Y si está leyendo esto porque la advertencia ya está puesta? Es un trabajo que hacemos para los sitios que alojamos, así que la oferta es sencilla: mude su sitio con nosotros, y lo limpiamos como parte de la mudanza y lo mantenemos limpio. Hemos limpiado sitios hackeados, arrancado las páginas de phishing inyectadas, cerrado el agujero que usó el atacante y enviado la solicitud de revisión de Safe Browsing para que se quite la advertencia y vuelvan a estar accesibles — sin hacer ruido y sin que el dueño del sitio tuviera que convertirse de la noche a la mañana en analista de seguridad. No prometeremos un plazo para quitar la advertencia que no controlamos, pero sí haremos bien la limpieza a la primera y nos encargaremos de pedir la revisión por usted.
¿Está viendo “Sitio engañoso” ahora mismo? No se va a quitar solo. Mude su sitio con nosotros: lo limpiamos como parte de la mudanza y lo mantenemos limpio. Empezar mi mudanza — su mudanza empieza en cuanto se registra. Encontraremos el contenido de phishing, cerraremos la puerta detrás de él y le presentaremos la revisión a Google para que su sitio y su reputación vuelvan. Precio fijo de $29.99 al mes por un sitio administrado, o desde $39.99 por una tienda, con la protección incluida — sin medidores y sin sorpresas.