Cómo quitar el aviso de «sitio peligroso» de Google

¿Qué aviso tienes?

• Una advertencia roja a pantalla completa («Sitio peligroso», «Sitio engañoso», «El sitio contiene malware»): Google Safe Browsing ha marcado el sitio por malware, phishing o software no deseado. Chrome, Firefox y Safari usan esta lista, así que la mayoría de visitantes queda bloqueada.
• «Es posible que este sitio haya sido hackeado» bajo tu resultado en Google: Google encontró contenido añadido por un atacante, normalmente páginas de spam, enlaces ocultos o redirecciones a otros sitios.
• Una acción manual en Search Console: una persona de Google revisó el sitio por infringir las políticas de spam. Se gestiona en el informe Manual Actions, no en Security Issues.

Paso 1: Confirma qué encontró Google

Busca tu dominio en la página de estado de sitios de Safe Browsing (parte del Informe de transparencia de Google). Después abre Google Search Console, elige tu propiedad y ve a Security & Manual Actions → Security issues. Indica el tipo de problema y lista URL de ejemplo. Si el sitio aún no está en Search Console, añádelo como propiedad de dominio y verifícalo con un registro TXT en el DNS.

Paso 2: Encuentra las páginas infectadas

Abre las URL de ejemplo en una ventana privada, pero ten en cuenta que los hackeos suelen esconderse de los propietarios con sesión iniciada y solo se muestran a buscadores o a visitantes que llegan desde Google. Descarga la página como lo hace Googlebot y busca scripts, iframes o redirecciones que no añadiste tú:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://yourdomain.com/ \
  | grep -iE '<script|<iframe|http-equiv="refresh"' | head -n 20

En el servidor, lista los archivos PHP modificados recientemente. Los atacantes suelen dejar archivos con nombres que parecen de WordPress:

find /path/to/site -type f -name '*.php' -mtime -14 -printf '%TY-%Tm-%Td %p\n' | sort

En WordPress, WP-CLI compara los archivos del núcleo y de los plugins con las copias oficiales y muestra todas las cuentas de administrador:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Los scripts inyectados suelen vivir en la base de datos (entradas, widgets, opciones), donde un análisis de archivos no los ve:

wp db search '<script' --all-tables
wp db search 'eval(' --all-tables

Revisa también los archivos .htaccess en busca de reglas que redirijan solo a buscadores o a visitantes que vienen de Google:

grep -rnE --include=.htaccess 'HTTP_REFERER|HTTP_USER_AGENT|base64' /path/to/site

Paso 3: Limpia el sitio y cierra el agujero

Borrar el spam visible no basta: si la puerta de entrada sigue abierta, la infección vuelve en días. Sigue esta lista:

• Primero haz una copia completa de archivos y base de datos, incluso del sitio infectado, para poder comparar.
• Sustituye el núcleo de WordPress, los plugins y los temas por copias nuevas de las fuentes oficiales; no intentes limpiarlos línea a línea.
• Elimina los plugins y temas que no uses y actualiza todo lo demás. Consulta cómo encontrar plugins desactualizados con vulnerabilidades conocidas.
• Elimina las cuentas de administrador desconocidas y cambia todas las contraseñas: usuarios de WordPress, panel del hosting, SFTP/SSH, base de datos y correo.
• Sustituye las claves secretas de wp-config.php (wp config shuffle-salts) para cerrar todas las sesiones robadas.
• Elimina las páginas de spam que listó Google. Devuelve 404 o 410 para ellas, no una redirección a la portada.

La limpieza paso a paso está en Cómo saber si tu WordPress está hackeado (y limpiarlo). Si no estás seguro de que el sitio esté limpio, restaura una copia anterior a la infección y después actualízalo todo.

Paso 4: Solicita una revisión

Solo cuando todo el sitio esté limpio, vuelve al informe Security issues, marca I have fixed these issues y elige Request review. Describe lo que hiciste, problema por problema, por ejemplo: «Eliminado JavaScript inyectado en 14 entradas, actualizado un plugin de slider desactualizado, borrada una cuenta de administrador desconocida y cambiadas todas las contraseñas». Según Google, las revisiones de phishing tardan un día, las de malware unos días y las de spam de hackeo pueden tardar varias semanas. Una vez aprobada la revisión, los avisos suelen desaparecer de navegadores y resultados de búsqueda en unas 72 horas. No vuelvas a enviar mientras haya una revisión pendiente y no desconectes el sitio: Google necesita acceder a él para comprobarlo.

Paso 5: Evita que vuelva a pasar

• Mantén activas las notificaciones por correo de Search Console; suele ser el primer sitio donde te enteras de un problema nuevo.
• Activa las actualizaciones automáticas de los plugins de confianza y elimina los que no necesites.
• Usa inicio de sesión en dos pasos para cada administrador. Consulta cómo proteger el acceso a WordPress.
• Guarda copias de seguridad fuera del servidor con varios puntos de restauración, y prueba a restaurar.

Qué comprueba HackGrade

HackGrade no consulta la lista de Safe Browsing de Google; para eso usa el Informe de transparencia y Search Console. Su análisis gratuito señala las vías de entrada más comunes, como el núcleo, plugins y temas de WordPress desactualizados con vulnerabilidades conocidas, nombres de usuario expuestos y XML-RPC. El análisis profundo, solo para propietarios verificados, también busca código inyectado como páginas CAPTCHA falsas. Consulta también ¿Han hackeado mi web?