Tu sitio parece estar bien. Las páginas cargan, el diseño es el correcto y no hay nada raro en wp-admin. Entonces un cliente te comenta que en tus resultados de Google aparecen anuncios de farmacias, o tu tráfico cae sin motivo, o Chrome empieza a advertir a los visitantes para que no entren.
Así funciona un tipo de infección de WordPress cada vez más común: está diseñada para esconderse del propietario del sitio. Investigadores de seguridad han seguido campañas que instalan plugins falsos, inyectan spam solo cuando visita un buscador y redirigen solo a algunos visitantes a sitios fraudulentos. Esta guía te muestra cómo revisar tu sitio, limpiarlo correctamente y mantenerlo limpio.
Puntos clave
- El spam SEO oculto muestra contenido de farmacias o casinos solo a los buscadores, así que el sitio te parece normal.
- Un truco habitual es un plugin falso con el nombre de tu propio dominio, como example-com/example-com.php.
- Busca en Google con site:tudominio.com junto con palabras de spam y revisa en Search Console si hay páginas que no creaste.
- Limpiar implica reemplazar archivos, restablecer todas las contraseñas y eliminar usuarios administradores ocultos, no solo borrar un archivo.
- Una vez limpio, pide a Google una revisión para que desaparezcan las advertencias y los resultados con spam.
Cómo funciona el spam SEO oculto
El malware analiza cada petición antes de decidir qué mostrar:
- A los rastreadores de los buscadores les añade spam: enlaces, páginas o texto sobre farmacia, casinos, préstamos o imitaciones de productos. Google lo indexa bajo tu dominio, lo que presta al spam la reputación de tu sitio.
- A ti y a tu equipo con la sesión iniciada os muestra el sitio real, así que nada parece ir mal.
- A algunos visitantes, a menudo solo a los que llegan desde Google en un móvil, los redirige a un sitio fraudulento y luego se detiene durante un tiempo para que el problema sea difícil de reproducir.
Uno de sus escondites favoritos es un plugin con el nombre de tu propio sitio. En example.com, la carpeta y el archivo podrían ser example-com/example-com.php, algo que parece creado por tu desarrollador. Otras campañas se hacen pasar por plugins de seguridad o SEO, usan código muy ofuscado y difícil de leer, o directamente se ocultan de la pantalla de Plugins.
Señales de que tu sitio puede estar afectado Palabras de spam o páginas en otros idiomas en los resultados de Google para tu dominio; una advertencia de «Sitio engañoso» o «Es posible que este sitio haya sido pirateado»; clientes que informan de redirecciones que no puedes reproducir; una caída repentina del tráfico de búsqueda; o nuevos usuarios administradores que nadie ha creado.
Paso 1: comprueba lo que ve Google
Busca en Google tu dominio junto con palabras típicas de spam. Si aparecen resultados de páginas que nunca escribiste, Google ha indexado spam en tu sitio.
site:yourdomain.com viagra
site:yourdomain.com casino
site:yourdomain.com replica
site:yourdomain.com "buy" "online" "cheap"Después abre Google Search Console para tu sitio. Revisa Seguridad y acciones manuales › Problemas de seguridad por si hay advertencias, y el informe Páginas para detectar URL que no reconozcas. La herramienta Inspección de URLs muestra una página tal como la ve Googlebot, y es la forma más rápida de descubrir contenido que solo se muestra a los rastreadores.
Paso 2: busca al intruso
En wp-admin, revisa Plugins y Usuarios. Pero, como parte del malware se oculta de wp-admin, revisa también los archivos directamente, desde el Administrador de archivos de cPanel o por SSH:
# Plugin folders on disk (compare with the Plugins screen)
ls -la wp-content/plugins/
# Must-use plugins load automatically and don't need activating
ls -la wp-content/mu-plugins/
# PHP files don't belong in uploads
find wp-content/uploads -name "*.php"
# Core files that differ from the official release
wp core verify-checksums
# Plugins whose files differ from the wordpress.org versions
wp plugin verify-checksums --all
# Every administrator account
wp user list --role=administratorBusca una carpeta de plugin con el nombre de tu dominio, cualquier cosa en mu-plugins que no hayas añadido tú, archivos PHP dentro de uploads y usuarios administradores que no reconozcas. En el hosting cPanel de WebGee, ejecuta también un análisis con el escáner de malware de cPanel y revisa el informe CMS Threats de cPGuard, que además señala archivos infectados y contenido de la base de datos en cada instalación de WordPress.
Paso 3: límpialo correctamente
El error más común es borrar el archivo malicioso y quedarse ahí. Los atacantes casi siempre dejan una segunda vía para volver a entrar. Revísalo todo:
Limpieza, en este orden
- Haz primero una copia de seguridad del sitio infectado, para poder comparar y no perder nada
- Reinstala los archivos del núcleo de WordPress (wp core download --force --skip-content), conservando wp-content y wp-config.php
- Elimina todos los plugins y temas y vuelve a instalar copias nuevas desde la fuente oficial; borra todo lo que no reconozcas
- Elimina los archivos PHP de wp-content/uploads y cualquier cosa inesperada en mu-plugins
- Borra los usuarios administradores desconocidos y revisa wp-config.php y .htaccess por si hay código o redirecciones añadidos
- Revisa las tareas cron en cPanel y los reenviadores de correo por si hay algo que no creaste
- Restablece todas las contraseñas: administradores de WordPress, cPanel, base de datos, FTP/SSH y correo; después cambia las claves de seguridad de WordPress en wp-config.php
- Actualiza todo lo que estaba desactualizado, incluido PHP, para cerrar el agujero que usó el atacante
Si tienes una copia de seguridad limpia de antes de que empezara la infección, restaurarla puede ser más rápido. Restaura los archivos y la base de datos, y después haz igualmente el restablecimiento de contraseñas y las actualizaciones, o el atacante simplemente volverá por el mismo camino. Nuestra guía de limpieza de malware explica cada paso con más detalle.
Paso 4: avisa a Google de que está solucionado
Cuando el sitio esté limpio, vuelve a Search Console. En Problemas de seguridad, selecciona Solicitar revisión y describe brevemente qué eliminaste y cómo cerraste el punto de entrada. Usa la herramienta Retiradas para ocultar las URL de spam de los resultados mientras Google las vuelve a rastrear, y repite las búsquedas con site: durante las semanas siguientes.
Evita que vuelva Mantén actualizados los plugins y temas, elimina lo que no uses, da permisos de administrador solo a quien los necesite, usa contraseñas seguras y únicas, y haz copias de seguridad periódicas. La mayoría de las reinfecciones entran por el mismo plugin desactualizado que la primera.
Seguridad que no espera a que te des cuenta
El spam oculto está diseñado para que no lo encuentres mirando tu sitio. En el hosting cPanel de WebGee, cPGuard analiza cada instalación de WordPress de tu cuenta en busca de plugins vulnerables, archivos maliciosos y contenido infectado en la base de datos, y te envía un informe semanal por correo. El análisis de malware, un firewall de aplicaciones web y las restauraciones con JetBackup están incluidos, y nuestros ingenieros en el chat en directo 24/7 lo revisarán contigo si aparece algo.
Preguntas frecuentes
¿Cómo puede mi sitio mostrar spam a Google pero no a mí?
El malware comprueba quién hace la petición. Cuando el visitante parece un rastreador de un buscador, añade contenido o enlaces de spam. Cuando es un administrador con la sesión iniciada o un navegador normal, muestra la página real, así que la infección pasa desapercibida durante semanas.
¿Cómo compruebo si Google ve spam en mi sitio?
Busca en Google site:tudominio.com junto con palabras como viagra, casino o replica. En Google Search Console, revisa el informe Páginas para detectar URL que nunca creaste y el informe Problemas de seguridad para ver si hay advertencias.
¿Basta con eliminar el plugin falso?
Normalmente no. Los atacantes dejan puertas traseras: usuarios administradores adicionales, archivos del núcleo modificados, tareas cron o código en la base de datos. Sigue la limpieza completa, incluido reemplazar los archivos del núcleo y restablecer todas las contraseñas, o es frecuente que el sitio se vuelva a infectar en cuestión de días.
¿Cómo entró el atacante?
Lo más habitual es a través de un plugin o tema desactualizado con una vulnerabilidad conocida, o de una contraseña de administrador robada o débil. Encuentra y cierra ese punto de entrada, o la limpieza no durará.
¿Cuánto tarda Google en dejar de mostrar el spam?
Después de limpiar el sitio y solicitar una revisión en Search Console, las advertencias suelen retirarse en pocos días. Las páginas de spam desaparecen de los resultados a medida que Google las vuelve a rastrear, lo que puede tardar más; puedes acelerarlo con la herramienta de retirada de URL de Search Console.
