¿Qué hacer si Google marca tu web como peligrosa?

Pocas cosas paralizan tanto una web como la pantalla roja de Chrome. El visitante escribe tu dirección y, en lugar de tu portada, ve un aviso a pantalla completa: «Sitio engañoso» o «El sitio al que vas a acceder contiene software malicioso». Casi nadie pulsa en «continuar», así que, a efectos prácticos, la web deja de existir.

Lo primero que conviene saber es que casi nunca es culpa directa del dueño y que el aviso tiene solución. Lo segundo, que la solución no pasa por reclamar a Google, sino por encontrar y limpiar lo que lo provocó.

¿Qué es Google Safe Browsing?

Safe Browsing es una lista que mantiene Google con direcciones web consideradas peligrosas. Sus robots la alimentan mientras rastrean la web, y la consultan Chrome, Firefox, Safari y muchos otros programas antes de abrir una página. Si la dirección está en la lista, el navegador muestra el aviso en vez del sitio.

Por eso el problema aparece en casi todos los navegadores a la vez, y por eso también puede afectar a los enlaces que envías por correo: algunos clientes de correo y antivirus usan la misma fuente.

La lista distingue varios tipos de amenaza:

Tipo	Qué significa	Aviso típico
Malware	La página intenta instalar software malicioso o carga código que lo hace	«Contiene software malicioso»
Ingeniería social	Suplanta a otra entidad para robar datos: phishing	«Sitio engañoso»
Software no deseado	Ofrece descargas que hacen cosas no declaradas	«Contiene programas dañinos»
Aplicación potencialmente dañina	Distribuye aplicaciones móviles peligrosas	Aviso en Android

Google puede marcar una página concreta, una sección o el dominio entero.

¿Por qué marcan tu web si no has hecho nada?

Porque lo habitual es que alguien haya entrado en ella. Las causas más frecuentes:

• Plugins, temas o el propio CMS sin actualizar. Es la puerta más común con diferencia. Un fallo conocido en un plugin popular se explota de forma automática en miles de sitios a la vez.
• Contraseñas débiles o reutilizadas en el panel de administración, el FTP o el hosting. Si una de ellas apareció en una filtración, alguien la ha probado; lo explicamos en cómo saber si tu contraseña ha sido filtrada.
• Páginas de phishing alojadas en tu servidor. El atacante sube una copia falsa del inicio de sesión de un banco o de un servicio de correo a una carpeta escondida y la usa en sus campañas. Tu portada puede verse perfecta.
• Código inyectado que redirige a parte de los visitantes a otros sitios, a menudo solo a los que llegan desde Google o desde el móvil, para que el dueño no lo note.
• Recursos de terceros comprometidos: un script, un anuncio o un widget que cargas de otro dominio y que ha sido manipulado.

¿Qué hacer primero?

Antes de limpiar, contén el daño y guarda pruebas:

1. Haz una copia completa de archivos y base de datos tal como están. Sirve para analizar qué pasó y para volver atrás si la limpieza rompe algo.
2. Cambia todas las contraseñas: hosting, FTP o SFTP, base de datos, usuarios administradores del CMS, claves de API. Hazlo desde un equipo limpio.
3. Revisa Search Console. En la sección «Seguridad y acciones manuales», el apartado «Problemas de seguridad» indica qué ha encontrado Google y, a menudo, ejemplos de URLs afectadas. Es la mejor pista para saber dónde buscar.
4. Si el sitio está distribuyendo malware activamente, considera ponerlo en modo mantenimiento mientras trabajas.

¿Cómo se limpia de verdad?

Limpiar no es borrar el archivo que salta a la vista. Si queda la puerta trasera por la que entraron, el problema vuelve en días.

• Actualiza todo: núcleo del CMS, plugins y temas. Elimina los que no uses; un plugin desactivado sigue siendo código en el servidor.
• Compara los archivos con una copia limpia. En WordPress, por ejemplo, los archivos del núcleo se pueden reemplazar por los oficiales de la misma versión. Busca ficheros PHP en carpetas de subidas, archivos modificados recientemente y nombres que imitan a los legítimos.
• Revisa la configuración del servidor: .htaccess, reglas de redirección, tareas programadas y usuarios que no reconozcas.
• Revisa la base de datos: usuarios administradores nuevos, scripts insertados en entradas, opciones o widgets.
• Encuentra la entrada. Los registros del servidor y la fecha de los primeros archivos alterados suelen señalar el plugin o la cuenta por donde entraron. Sin cerrar eso, cualquier limpieza es temporal.

Si no sabes qué plataforma o qué plugins tiene la web, porque la heredaste o la hizo alguien que ya no está, empieza por averiguar con qué está hecha. En sitios grandes o muy dañados, a veces lo más seguro es restaurar una copia anterior al ataque y actualizarla, en lugar de limpiar pieza a pieza.

¿Cómo se pide la revisión?

Cuando estés seguro de que el sitio está limpio, en el mismo apartado de Problemas de seguridad de Search Console aparece la opción de solicitar una revisión. Describe con concreción qué encontraste, qué hiciste para eliminarlo y cómo cerraste la entrada. Una explicación genérica del tipo «ya está arreglado» tiene más probabilidades de ser rechazada.

Google vuelve a analizar el sitio y, si no encuentra el problema, retira el aviso. Suele tardar días, no semanas. Si la revisión falla, hay que volver a buscar: algo quedó.

Si no tienes la web dada de alta en Search Console, este es el momento. Sin ella no puedes pedir la revisión ni ver qué ha detectado Google.

¿Cómo evitar que vuelva a pasar?

• Actualizaciones aplicadas con regularidad, no una vez al año.
• Contraseñas únicas y verificación en dos pasos en el panel y el hosting.
• Copias de seguridad automáticas guardadas fuera del servidor.
• Pocos plugins, y todos con mantenimiento activo.
• Alguien que mire Search Console de vez en cuando: Google avisa por correo, pero solo a quien tiene la propiedad verificada.

¿Cómo comprobar la tuya?

Nuestro comprobador de sitio seguro consulta la API de Google Safe Browsing con la URL que indiques y te dice si está limpia o marcada, y en ese caso por qué tipo de amenaza: malware, ingeniería social, software no deseado o aplicación dañina. Como Google puede marcar solo una parte del sitio, si sospechas de una sección concreta compruébala aparte además de la portada.

Es útil también después de la limpieza, para confirmar que el aviso se ha retirado, y como revisión periódica de los dominios que gestionas. Para el detalle completo de lo que Google ha encontrado, la fuente sigue siendo Search Console.

---

Un aviso de Safe Browsing asusta, pero tiene un camino claro: contener, limpiar a fondo, cerrar la entrada y pedir revisión. Lo que más alarga el problema es saltarse el tercer paso.