¿“El sitio al que va contiene malware”? Corríjalo y consiga que lo retiren de la lista de sitios peligrosos

Si sus visitantes se encuentran con una pantalla roja a página completa que dice “El sitio al que va contiene malware” (en inglés, “The site ahead contains malware”) — o “Sitio peligroso”, o “Sitio engañoso” — respire. Se siente como el peor de los casos, sobre todo cuando ve que su tráfico se desploma esa misma tarde. Pero es una situación conocida y con arreglo, y el camino de vuelta está claro. Esta guía explica exactamente qué es esa advertencia, por qué la puso Google, cómo limpiar bien el sitio y cómo pedirle a Google que la quite.

Qué es de verdad esa pantalla roja

Esa pantalla intermedia no viene de su proveedor de hosting ni de WordPress. Viene de Google Safe Browsing — una lista negra que mantiene Google de los sitios que cree que sirven malware, software no deseado o contenido engañoso. Cuando su sitio entra en esa lista, el navegador se pone delante y avisa al visitante antes de que pueda cargar la página.

Esta es la parte de la que casi nadie se da cuenta con el pánico: no es solo un problema de Chrome. Safe Browsing es la misma lista que también usan Firefox y Safari, así que una sola inclusión puede mostrar una advertencia en casi todos los navegadores importantes a la vez. La plataforma de anuncios de Google y los resultados de búsqueda también pueden marcar el sitio. Por eso la caída del tráfico se siente tan total — no es un navegador siendo prudente, es el sistema de reputación compartido en el que confía casi todo el mundo.

Así que la advertencia es un síntoma, no la enfermedad. La enfermedad es lo que sea que Google detectó en el sitio. Lo que nos lleva al porqué.

Por qué Google marcó su sitio

Google casi nunca marca un sitio sano por error. Si ve esta advertencia, la causa abrumadoramente más probable es que hackearon el sitio y que ahora sirve algo malicioso — normalmente sin ningún cambio visible que notaría como dueño. Los culpables habituales:

• Malware inyectado. Un atacante metió código malicioso en sus archivos o en su base de datos — muchas veces un script que redirige a los visitantes a una página de estafa, mina criptomonedas o intenta instalar algo en su equipo.
• Una descarga automática sin autorización o una descarga maliciosa. El sitio sirve en silencio un archivo o un script dañino a los visitantes, a veces solo a ciertos dispositivos o desde ciertos países, y por eso puede que usted nunca lo vea.
• Contenido engañoso o de “ingeniería social”. Páginas de inicio de sesión falsas, formularios de phishing o páginas de spam inyectadas que Google considera hechas para engañar a la gente.

La verdad inquietante es que un sitio WordPress hackeado muchas veces se ve completamente normal para su dueño. El malware apunta a sus visitantes, o se esconde detrás de condiciones que usted no activa. Si quiere comprobar las señales antes de pensar lo peor, las repasamos en cómo saber si hackearon su sitio WordPress. Pero si la advertencia roja ya está puesta, puede dar por hecho que el sitio necesita una limpieza de verdad — y el orden en que la haga importa.

Cómo arreglarlo y conseguir que quiten la advertencia

Hay cuatro etapas, y saltarse cualquiera es la forma en que los sitios vuelven a quedar marcados una semana después. Hágalas en orden.

1. Confírmelo en Google Search Console

Abra Google Search Console y vea el informe de Problemas de seguridad. Es Google diciéndole, con sus propias palabras, lo que encontró — “malware”, “páginas engañosas”, “descargas dañinas” — y muchas veces mostrando URL de ejemplo donde detectó el problema. Si su sitio todavía no está verificado en Search Console, verifíquelo ahora; de todos modos lo necesitará para la solicitud de revisión al final. Este informe es su mapa. No adivine qué está mal cuando Google se lo va a decir.

2. Encuentre y elimine el malware

Ahora limpie la infección de verdad. Analice el sitio para localizar el código malicioso, después elimínelo y repare lo que fue manipulado — los archivos de WordPress hackeados, los scripts inyectados, los usuarios administradores intrusos y todo lo plantado en la base de datos. Los atacantes casi nunca dejan un solo archivo, y les encanta esconder una puerta trasera para volver a entrar tranquilamente después de que limpie. Encontrar cada pieza es la parte difícil, y es justo donde falla una limpieza apresurada. Cubrimos toda la secuencia en cómo arreglar un sitio WordPress hackeado, y comparamos hacerlo usted mismo con pedir ayuda en eliminar malware de WordPress: por su cuenta o con profesionales. La versión corta: analizar es fácil, y terminar el trabajo de verdad no lo es.

3. Cierre el agujero por el que entraron

Limpiar el sitio arregla el hoy; cerrar el agujero arregla el mañana. Si limpia el malware pero deja la puerta abierta, volverá a estar aquí — y una nueva infección después de una revisión hace que Google tarde más en confiar en usted la próxima vez. Así que antes de pedir una revisión:

• Actualice todo — WordPress, todos los plugins, todos los temas. Los plugins y temas desactualizados son, de lejos, la forma más común en que los sitios son vulnerados en primer lugar.
• Borre lo que no use. Los plugins y temas inactivos siguen siendo superficie de ataque — estar inactivos solo significa que nadie los vigila.
• Cambie sus contraseñas — de administrador, del hosting, de la base de datos, del acceso a archivos (FTP/SFTP) — y active una protección fuerte del inicio de sesión para que una contraseña robada o adivinada no se pueda volver a usar.

4. Pida una revisión en Search Console

Solo cuando el sitio esté limpio y al día de verdad, vuelva al informe de Problemas de seguridad y pida una revisión. Google vuelve a analizar el sitio y, si está de acuerdo en que el problema desapareció, lo saca de la lista — y la advertencia roja desaparece en todos esos navegadores a la vez.

Esta es la parte honesta, porque es la que más le importa a alguien con pánico: Google decide cuándo hace esa revisión, y nadie puede prometer un momento concreto para salir de la lista. Google suele tardar de uno a tres días en quitar su advertencia; lo más rápido que hemos visto son 24 horas. Lo que sí puede controlar es no desperdiciar un intento de revisión en un sitio que no está del todo limpio — una revisión fallida le cuesta más espera. Hágalo bien una vez, pida la revisión y dele tiempo.

Cómo lo maneja SolutionHippo

Seremos claros con usted sobre dónde encajamos. Esta es la situación de la que nuestro hosting administrado está hecho para mantenerlo alejado desde el principio. La búsqueda de malware es parte del cuidado que viene incluido en todos los planes — no es un extra ni una cuota aparte — así que una inyección normalmente se detecta y se elimina antes de que le gane un lugar en la lista negra de Google. Es prevención, no una garantía: nuestra búsqueda está pensada para detectar el malware antes de que llegue tan lejos, con un buen respaldo: un firewall fuerte que frena pronto el tráfico malicioso, la protección contra contraseñas filtradas que mantiene fuera los accesos robados y copias de seguridad externas 3 veces al día que hacen que incluso un mal día sea solo una restauración. Después de cualquier cambio, verificamos que el sitio se siga viendo y funcionando bien.

¿Y si está leyendo esto porque la advertencia ya está puesta? Es un trabajo que hacemos para los sitios a los que damos hosting, así que la oferta es sencilla: mude su sitio con nosotros, y lo limpiamos como parte de la mudanza y lo mantenemos limpio. Hemos limpiado sitios infectados, cerrado el agujero que dejó entrar al atacante y enviado la revisión de Safe Browsing para sacarlos de la lista — sin ruido, sin dramas y sin que el dueño del sitio tenga que convertirse en analista de malware de la noche a la mañana. No le prometeremos un plazo para salir de la lista que no controlamos, pero sí haremos bien la limpieza a la primera y nos encargaremos de la solicitud de revisión por usted.

¿Lo marcaron ahora mismo? No espere a que se arregle solo — no va a pasar. Mude su sitio con nosotros: lo limpiamos como parte de la mudanza y lo mantenemos limpio. Empezar mi mudanza — su mudanza empieza en cuanto se registra. Quitaremos el malware, cerraremos la puerta detrás de él y le presentaremos la revisión a Google para que su sitio — y su reputación — vuelvan. Precio fijo de $29.99 al mes por un sitio administrado, o desde $39.99 por una tienda, con la protección incluida — sin cobros según el uso y sin sorpresas.