Usted busca el nombre de su negocio en Google y encuentra páginas de productos que nunca ha vendido. O un cliente le envía una captura de pantalla, o una herramienta marca enlaces en su sitio que apuntan a páginas de casinos y farmacias que usted nunca escribió.
Las páginas de spam como estas en su sitio web pueden significar que alguien agregó contenido sin su permiso. La vía de entrada puede ser un complemento con una falla conocida, una contraseña robada u otro acceso.
Es un mal momento, pero se puede arreglar siguiendo un orden. Guarde la lista de direcciones extrañas sin abrirlas. Determine qué páginas fueron inyectadas. Limpie los archivos, la base de datos y las cuentas. Cierre la vía de entrada. Luego revise de nuevo y pida a Google una revisión.
Quitar la página visible es solo la mitad del trabajo. Hay dos frentes: limpiar lo que Google ya indexó, y reparar la debilidad que dejó entrar el contenido. Si se salta el segundo, el spam puede volver.
Puntos clave
Busque su dominio con site: y palabras como casino o pastillas, revise Search Console y guarde cada dirección sospechosa en un documento antes de borrar algo.
Compare cada dirección con su CMS, su mapa del sitio, la base de datos, los archivos y una copia de seguridad limpia, porque un complemento puede crear páginas a propósito.
Quite las páginas inyectadas, los enlaces, las cuentas y los archivos, y luego repare la vía de entrada con actualizaciones, archivos limpios y credenciales nuevas.
Solicite la revisión de Security issues (problemas de seguridad) solo cuando todo el sitio esté limpio. Google dice que las revisiones pueden tardar de unos pocos días a varias semanas.
¿Qué significa que aparezcan páginas o enlaces extraños en mi sitio?
Google describe el contenido hackeado como material colocado en su sitio sin su permiso, por medio de una debilidad de seguridad. Su página de ayuda sobre contenido hackeado enumera ejemplos como términos farmacéuticos, enlaces no relacionados y texto de spam agregado a páginas existentes. Las políticas de spam de Google cubren la técnica de cloaking (mostrar contenido distinto a los buscadores y a las personas) que a menudo acompaña a estos casos.
Cloaking significa mostrar a los buscadores una cosa y a las personas otra. Por eso su propio navegador puede mostrar una página normal mientras Google enumera algo distinto. Una página de inicio que se ve limpia no le dice que el sitio esté limpio.
El informe de Security issues de Search Console puede mostrar el tipo de problema, la fecha en que se detectó y direcciones de muestra. La muestra puede no ser la lista completa. Tómela como punto de partida.
El informe de Sucuri de 2023 sobre sitios web hackeados analizó 39,594 sitios que su propio equipo de respuesta a incidentes limpió, y encontró spam de SEO en el 20.30% de ellos. Esa es la cifra de Sucuri para su propia carga de casos, no una tasa para todos los sitios web. Sí muestra que se trata de un patrón reconocido, con una ruta de limpieza conocida.
Si el problema es más grande que el spam, como una cuenta de administrador bloqueada o un sitio caído, empiece con nuestros pasos de las primeras 24 horas después de un hackeo y vuelva aquí para la limpieza del spam.
¿Cómo encuentro cada página de spam sin abrirla?
Empiece en Google, no en las páginas sospechosas. Unas cuantas búsquedas muestran lo que Google ha indexado para su dominio, y nunca tiene que hacer clic en un resultado. Reemplace yourdomain.com con su propia dirección.
| Búsqueda | Lo que puede mostrar |
|---|---|
| site:yourdomain.com | Cada página que Google ha indexado, para comparar con las páginas que sabe que son suyas |
| site:yourdomain.com casino | Páginas de apuestas agregadas a su dominio |
| site:yourdomain.com pills | Páginas de farmacia, y lo mismo con palabras como viagra o préstamos |
| site:yourdomain.com más una palabra desconocida en otro idioma | Páginas en un idioma en el que nunca publicó |
| site:yourdomain.com intitle:casino | Páginas cuyos títulos llevan el término de spam |
| site:yourdomain.com inurl:wp- | Direcciones que contienen wp- para comparar con su propia configuración de WordPress |
Busque títulos, descripciones, idiomas, productos, autores y fechas que no reconozca. Abra un resultado sospechoso solo con cuidado. Estas búsquedas muestran lo que está indexado, pero no pueden probar que los archivos y la base de datos estén limpios.
Luego use las herramientas propias de Google, siguiendo su guía sobre sitios hackeados y su página sobre las búsquedas site: y el informe Page indexing (indexación de páginas):
- Security issues (problemas de seguridad): Abra el informe en Search Console y lea los ejemplos que enumera.
- Page indexing (indexación de páginas): Compare las direcciones indexadas con las páginas que sabe que son suyas.
- URL Inspection (inspección de URL): Ejecútela en una dirección sospechosa, y luego revise tanto la vista indexada como una prueba en vivo.
- Un rastreo de enlaces: Rastree su sitio, exporte cada enlace interno y externo, y revise los destinos que no reconozca. Así es como aparecen los enlaces salientes ocultos.
- Registros del servidor: Revise qué le pide Googlebot y qué recibe, porque el contenido con cloaking puede no aparecer en un navegador normal. La guía de seguridad de Google recomienda vigilar los registros.
Copie cada dirección sospechosa en un documento antes de cambiar algo. Una vez guardada la lista, podrá comprobar después que cada una ya no está.
¿Cómo distingo una página inyectada de una que mi sitio creó a propósito?
Algunas páginas desconocidas son legítimas. Un complemento, una tienda o una herramienta de reservas pueden crear páginas con direcciones que usted nunca escribió. Borrar una de esas rompe algo real, así que identifique la página antes de quitarla. La guía de Google para diagnosticar un sitio hackeado es un buen complemento para este paso.
Una página tiene más probabilidades de estar inyectada cuando muestra señales como estas:
- Tema no relacionado: Una página de casino o farmacia en un sitio de plomería, por ejemplo.
- Patrón de dirección desconocido: Una cadena de letras o números que nunca usó.
- Repetición antinatural: La misma palabra clave repetida en el título y en el texto.
- Texto en otro idioma: Un idioma que su negocio no usa.
- Fechas o autores que no encajan: Una fecha de publicación o un nombre de autor que no corresponde a su sitio.
- Ausente del CMS: La página está en Google pero no en su lista de páginas.
Una página creada por un complemento suele tener un propósito claro, una plantilla consistente, un patrón de dirección reconocible, enlaces que funcionan desde su sitio y un registro coincidente en el complemento o en la base de datos.
Compare cada dirección con su CMS, su mapa del sitio, la base de datos, los archivos del servidor, una copia de seguridad limpia, su analítica y su historial de publicaciones. Una página que aparece en el informe de indexación pero que no puede rastrearse hasta algo que usted o una herramienta que instaló creó merece una mirada más atenta. No borre una página solo porque no aparece en su menú.
¿Qué tiene que cubrir una limpieza completa?
Una limpieza quita el contenido no deseado y el acceso que lo dejó entrar. Si solo se va la página, la puerta trasera, la cuenta extra o el complemento alterado pueden hacerla volver. La ayuda de Google sobre contenido hackeado y la guía de endurecimiento de WordPress describen el mismo trabajo central.
Primero, conserve una copia de seguridad limpia, además de una copia de los archivos afectados y de los registros si puede. Luego trabaje esta lista:
- Quite lo que no pertenece: Páginas no autorizadas, registros de la base de datos, enlaces, scripts, cuentas de administrador, tareas programadas y archivos maliciosos.
- Reemplace los archivos alterados: Cambie el núcleo, los temas y los complementos alterados por copias limpias.
- Pode y actualice: Borre los complementos y temas que no usa, y luego actualice todo lo que queda.
- Repare la vía de entrada: Arregle la debilidad que permitió el contenido, ya sea un complemento, un inicio de sesión o una configuración de permisos.
- Cambie las credenciales: Cambie las contraseñas de hosting, CMS, base de datos, FTP o SFTP, correo y administrador.
- Agregue un segundo paso: Active la autenticación de dos factores donde se ofrezca.
La guía de respuesta a incidentes del NIST, SP 800-61 Rev. 3, publicada en abril de 2025, dice lo mismo en términos generales. La limpieza significa eliminar el malware, desactivar las cuentas comprometidas y corregir la vulnerabilidad que se explotó, seguido de una recuperación desde copias de seguridad limpias y controles más estrictos.
Los complementos merecen atención especial. El informe anual de seguridad de WordPress de Wordfence de 2024 encontró que el 96% de los tipos de software vulnerable divulgados ese año eran complementos, así que un complemento desactualizado o abandonado es un lugar probable donde buscar. Mantenerlos al día es el tipo de trabajo rutinario que cubre nuestro servicio de mantenimiento de sitios web.
Si no puede acceder a los archivos del servidor ni encontrar una copia de seguridad limpia, su proveedor de hosting quizá pueda ayudar. Un plan de hosting con copias de seguridad y acceso a archivos hace esto mucho menos doloroso, y es una buena razón para revisar el hosting web antes del próximo incidente, no durante.
¿Cómo vuelvo a revisar el sitio y cuándo pido a Google una revisión?
Una vista normal en el navegador no prueba que el sitio esté limpio, porque los atacantes pueden ocultar el contenido a los dueños. Revise con evidencia, usando la lista que guardó antes.
| Revisión | Qué indica un buen resultado |
|---|---|
| Cada dirección de spam guardada | Devuelve un 404 o 410, o redirige solo a una página legítima de reemplazo |
| Un nuevo rastreo de sus enlaces | Ningún destino saliente inesperado |
| Usuarios, archivos, registros y tareas programadas | No queda ningún elemento no autorizado |
| Software | El núcleo, los complementos, los temas y los componentes del servidor están al día |
| Credenciales | Las contraseñas y las sesiones se han rotado |
| Formularios, analítica y páginas clave | Todo sigue funcionando como antes |
Los códigos de estado importan. Un 404 o 410 le dice a Google que una página no debería existir, y la guía de redirecciones de Google explica cuándo conviene una redirección. Una redirección a una página real y relacionada está bien. Una redirección que envía direcciones de spam a su página de inicio no es una reparación.
No bloquee las direcciones de spam en robots.txt. Como explica la introducción a robots.txt de Google, el archivo controla el rastreo y no elimina una página del índice. Bloquear también puede impedir que Google vea que la página ya no existe. Si quiere ayuda para probar formularios, redirecciones y páginas clave después de la limpieza, para eso sirven las pruebas de aseguramiento de calidad.
Cuando todo el sitio esté limpio, abra el informe de Security issues (problemas de seguridad) de Search Console y seleccione Request a review (solicitar una revisión). Describa lo que quitó y cómo reparó la vía de entrada. Google dice que las revisiones de sitios hackeados pueden tardar de unos días a varias semanas, así que prepárese para esperar. Luego observe el informe de Page indexing para que las direcciones de spam salgan del índice, y vea nuestra guía de correos de Search Console para entender qué significan los mensajes de seguimiento. Si las posiciones necesitan una mirada más cercana después, la optimización para motores de búsqueda es el siguiente paso.
¿Cuándo basta una limpieza enfocada y cuándo el trabajo ha crecido?
Una limpieza enfocada, una actualización de software, un restablecimiento de credenciales y una ronda de revisiones pueden ser todo lo que su sitio necesita. Si el daño son unos cuantos registros inyectados en una plataforma que todavía tiene soporte, ese es un alcance razonable, y no requiere un rediseño ni un contrato abierto de mantenimiento.
El trabajo es más grande cuando aparecen señales como estas.
| Situación | Alcance probable |
|---|---|
| Un complemento desactualizado y unas cuantas páginas inyectadas | Limpieza enfocada, actualización y revisión |
| El spam vuelve después de la limpieza | Más grande: queda una puerta trasera o un acceso oculto |
| No hay una copia de seguridad confiable | Más grande: puede hacer falta reconstruir desde una base limpia |
| Varias cuentas no autorizadas | Más grande: las credenciales y las vías de acceso necesitan una revisión completa |
| Software sin soporte o abandonado | Más grande: reemplazar componentes, no solo limpiarlos |
| Preocupaciones de acceso a nivel de servidor | Más grande: involucrar al proveedor de hosting |
| Nadie puede decir hasta dónde llega | Empezar con una auditoría por escrito para definir el alcance |
Nadie puede prometer un precio fijo, una eliminación instantánea de Google ni inmunidad permanente sin examinar su sitio. Antes de pagar por trabajo continuo, pida por escrito la evidencia, el alcance, lo que incluye, lo que excluye y las revisiones de seguimiento. Nuestra guía de costo de eliminar malware muestra cómo leer una cotización, y nuestro artículo sobre el malware EtherHiding de WordPress cubre un patrón de malware de WordPress que conviene revisar.
Revise su plan de limpieza de spam
Elija una respuesta para empezar.
1. Encuentra en Google una página de casino en su dominio. ¿Qué debe hacer primero?
2. Una página está en Google pero no en su menú. ¿Qué prueba eso?
3. ¿Cuándo debe solicitar una revisión de Security issues?
Preguntas frecuentes sobre cómo quitar páginas de spam de su sitio web
¿Por qué aparecen páginas al azar en mi sitio web?
Una debilidad o una cuenta comprometida pudo permitir que alguien agregara páginas o enlaces sin su permiso. Revise el informe de Security issues de Search Console y compare las direcciones indexadas con sus páginas reales.
¿Un sitio hackeado puede verse normal?
Sí. Los atacantes pueden hacer cloaking del contenido o colocarlo solo en direcciones nuevas, así que su página de inicio puede verse bien mientras Google enumera algo distinto.
¿Debo simplemente borrar las páginas de spam?
Quite el contenido no autorizado, pero también encuentre y repare la vía de acceso que lo creó. Borrar solo la página deja abierta la entrada.
¿robots.txt las quitará de Google?
No. Robots.txt controla el rastreo y no borra páginas indexadas, y bloquear una dirección puede impedir que Google vea que ya no existe.
¿Cuándo debo solicitar una revisión a Google, y cuánto tarda?
Pida la revisión después de que todo el sitio esté limpio y la vulnerabilidad esté corregida. Google dice que las revisiones de sitios hackeados pueden tardar de unos días a varias semanas.
¿Necesito reconstruir el sitio?
No siempre. Depende de hasta dónde llegue el compromiso, del estado del software y de si tiene una copia de seguridad limpia y confiable para restaurar.
Reflexiones finales
Las páginas extrañas y los enlaces ocultos en su dominio suelen significar que alguien agregó contenido por un punto débil. Guarde la lista de direcciones, distinga las páginas inyectadas de las legítimas, limpie los archivos, la base de datos y las cuentas, y repare la vía de entrada. Luego revise con un nuevo rastreo y los códigos de estado, y pida a Google una revisión cuando todo el sitio esté limpio.
Hecho en ese orden, el proceso le da un sitio en el que puede volver a confiar, un registro de lo que cambió y una menor probabilidad de que el mismo spam regrese. Los resultados de búsqueda pueden tardar en asentarse, pero sabrá qué hizo y por qué.
Si prefiere no hacer usted solo la comparación de archivos y de la base de datos, Web Leveling puede revisar su sitio y decirle qué necesita la limpieza, con una auditoría de seguridad del sitio web que establece el alcance por escrito. Si basta una reparación enfocada, se lo diremos. Trabajamos con pequeñas y medianas empresas en todo el país y en el extranjero. Cuéntenos qué está viendo en su sitio, y le ayudaremos a decidir qué sigue.
Términos
Palabras de limpieza de spam en esta publicación
Toque un término para ver qué significa.
Contenido hackeado. Contenido colocado en su sitio sin su permiso por medio de una debilidad de seguridad.
Cloaking. Mostrar a los buscadores un contenido distinto del que ven las personas, lo que puede ocultar el spam al dueño del sitio.
Página inyectada. Una página agregada a un sitio por un atacante, que a menudo no aparece en la lista de páginas del CMS.
Informe de Security issues. Un informe de Search Console que enumera problemas de contenido hackeado, con direcciones de muestra y una forma de solicitar una revisión.
URL Inspection. Una herramienta de Search Console que muestra cómo ve Google una dirección, incluida una prueba en vivo.
Robots.txt. Un archivo que indica a los rastreadores qué direcciones pueden visitar; no elimina páginas indexadas.
