Sitio marcado como peligroso por Google: cómo quitarlo

Un cliente te escribe por WhatsApp: "Quise entrar a tu página y me salió una pantalla roja que dice que es peligrosa". Abres tu sitio desde el celular y ahí está. Chrome muestra un aviso como "Sitio engañoso" o dice que la página contiene software malicioso. Casi nadie le da clic a "continuar de todos modos". Para tu negocio, eso es lo mismo que tener la cortina abajo.

El aviso no lo pone tu hosting ni tu competencia. Lo pone Google, a través de un sistema llamado Navegación Segura (Safe Browsing), que usan Chrome, Firefox, Safari y otros programas. Aquí te explico qué lo activa, cómo confirmar qué encontró Google y cómo pedir que lo retiren.

Qué significa el aviso

Google revisa sitios de forma automática. Si encuentra algo que puede dañar al visitante, marca el dominio y los navegadores empiezan a advertir. Los motivos más comunes son estos:

• Malware: tu sitio intenta descargar algo en la computadora o el celular del visitante, o lo manda a otro sitio que lo hace.
• Phishing o contenido engañoso: hay una página escondida en tu sitio que imita a un banco, a una paquetería o a un servicio conocido para robar contraseñas.
• Software no deseado: tu sitio ofrece descargas que instalan programas que el usuario no pidió.

En casi todos los casos de negocios pequeños, el dueño no subió nada malo. Alguien entró por un plugin viejo, una contraseña débil o un acceso que nunca se cerró, y dejó archivos que tú no ves al navegar tu propio sitio.

Otras señales de que Google te marcó

La pantalla roja es la más visible, pero no es la única. Pon atención si pasa algo de esto:

• En los resultados de Google aparece debajo de tu sitio la frase "Es posible que este sitio haya sido hackeado".
• Google Ads rechaza tus anuncios por "software malicioso" o "destino comprometido".
• Tus clientes dicen que el enlace que mandaste por correo no abre o les sale una advertencia.
• Recibes un correo de Google Search Console sobre problemas de seguridad.

Una refaccionaria en Puebla puede pasar días sin enterarse, porque el dueño entra a su sitio desde la misma computadora de siempre y a veces el código malicioso solo se activa con visitantes nuevos o desde celular. Si un cliente te avisa, créele aunque tú no veas nada raro.

Paso 1: confirma qué encontró Google

No adivines. Google te dice qué detectó, y para verlo necesitas Google Search Console, una herramienta gratuita donde verificas que el sitio es tuyo.

1. Entra a Search Console con la cuenta de Google del negocio.
2. Si tu sitio no está dado de alta, agrégalo y verifícalo. Lo más sencillo suele ser con un registro DNS; si no sabes cómo, la nota sobre registros DNS para tu negocio te da el contexto.
3. En el menú, abre Seguridad y acciones manuales y luego Problemas de seguridad.
4. Ahí aparece el tipo de problema y, muchas veces, ejemplos de las páginas afectadas.

También puedes buscar tu dominio en la herramienta de estado de sitios del Informe de transparencia de Google. Te dice si el sitio está marcado, aunque con menos detalle que Search Console.

Paso 2: limpia antes de pedir nada

Este es el error que más tiempo cuesta: pedir la revisión a Google sin haber limpiado. Si Google vuelve a revisar y encuentra el problema, rechaza la solicitud y el aviso se queda.

Lo que hay que hacer, en orden:

1. Cambia contraseñas. Panel del hosting, administrador de WordPress, FTP, base de datos y la cuenta de correo con la que entras a todo. Revisa quién tiene acceso; la nota sobre quién debe tener cada contraseña te ayuda a hacer la lista.
2. Busca y borra el código malicioso. Usa los ejemplos de Search Console como pista. Revisa usuarios administradores que no reconoces, archivos modificados recientemente y plugins que no instalaste.
3. Cierra la puerta por donde entraron. Actualiza WordPress, temas y plugins, y elimina los que ya no usas. Si limpias y no corriges la causa, regresan.
4. Considera restaurar un respaldo limpio. Solo sirve si el respaldo es de antes del ataque y después actualizas todo.

Si quieres el detalle de esta parte, tenemos una guía de qué hacer en las primeras horas de un WordPress hackeado y otra sobre señales de malware en WordPress.

Paso 3: pide la revisión a Google

Con el sitio limpio, regresa a Problemas de seguridad en Search Console y marca la casilla que confirma que corregiste el problema. Luego da clic en Solicitar revisión.

Google te pide explicar qué hiciste. Sé concreto. Algo así funciona mejor que un "ya quedó":

Encontramos un plugin de formularios desactualizado por el que entraron. Eliminamos 14 archivos PHP que no eran nuestros en la carpeta de subidas, borramos un usuario administrador desconocido, cambiamos todas las contraseñas y actualizamos WordPress y los plugins a su versión más reciente.

La revisión no es inmediata. Google no promete un plazo fijo y depende del tipo de problema. Mientras esperas, no hagas cambios grandes en el sitio y revisa tu correo, porque ahí llega la respuesta.

Mientras el aviso sigue activo

El negocio no se detiene mientras Google revisa. Algunas cosas que puedes hacer para no perder ventas:

• Avisa a tus clientes frecuentes por WhatsApp o redes que están atendiendo un problema técnico y que pueden pedir por teléfono.
• Pausa tus campañas de anuncios. Pagarías clics de gente que se topa con la pantalla roja.
• No mandes campañas de correo con enlaces al sitio hasta que el aviso se quite.

Cómo evitar que vuelva a pasar

Un despacho de arquitectos en Monterrey que ya pasó por esto suele llegar a la misma conclusión: el problema empezó con algo pequeño que nadie revisaba. Lo que más reduce el riesgo:

• Actualizaciones de WordPress y plugins con calendario fijo, no "cuando me acuerde".
• Verificación en dos pasos en el administrador del sitio y en el panel del hosting.
• Search Console dado de alta desde hoy, para que Google te avise por correo antes que tus clientes.
• Respaldos que de verdad funcionen. Aquí explicamos cada cuánto respaldar y cómo probarlos.

Un detalle que confunde a muchos: tener el candado de HTTPS no significa que el sitio esté limpio. El certificado cifra la conexión, pero no revisa lo que hay dentro. Necesitas las dos cosas. En koode.mx puedes revisar las opciones de certificado SSL y seguridad para tu sitio, y si ya tienes la alerta roja, nuestro soporte en español te puede orientar sobre por dónde empezar.