Si tu web ha sido hackeada, lo primero es confirmarlo en el informe de «Problemas de seguridad» de Google Search Console, cambiar todas las contraseñas, limpiar o restaurar una copia limpia, actualizar todo y, cuando esté limpia, pedir a Google que la revise. Si lo que ocurre es que alguien ha copiado o clonado tu web, el camino es otro: demostrar que eres el autor original, pedir la retirada al hosting de quien la copió y, si hace falta, enviar a Google una solicitud de retirada por derechos de autor. En los dos casos, actuar rápido limita el daño en tus posiciones.
Soy Javier Suárez y desde 2016 mantengo webs en WordPress de pymes y agencias. Hemos limpiado webs con páginas de spam inyectadas, redirecciones a casinos y usuarios administradores que nadie había creado. Esta es la guía que seguimos.
Puntos clave
- Hackeo y clonación son problemas distintos y se resuelven de forma distinta.
- Search Console es la primera fuente: informes de «Problemas de seguridad» y «Acciones manuales».
- Antes de limpiar, cambia todas las contraseñas y elimina los usuarios que no reconozcas.
- Después de limpiar, pide a Google la revisión desde Search Console.
- Para evitarlo: actualizaciones, nada de plugins piratas, doble factor y copias de seguridad fuera del servidor.
¿Hackeada o clonada? Cómo distinguirlo
| Señal | Probable causa |
|---|---|
| En Google aparecen páginas de tu dominio que no has creado (a menudo en japonés, de farmacia o de casinos) | Hackeo con inyección de spam |
| Al entrar desde el móvil o desde Google te redirige a otra web | Hackeo con redirecciones |
| Google o el navegador muestran «Este sitio puede haber sido pirateado» o un aviso rojo | Hackeo detectado por Google |
| Hay usuarios administradores o archivos que no reconoces | Hackeo |
| Tu texto, tus fotos o tu diseño aparecen en otro dominio | Copia o clonación |
| Otro dominio muestra tu web entera, actualizada al momento | Clonación por proxy (un espejo de tu web) |
Si tu web ha sido hackeada: paso a paso
1. Confírmalo en Search Console
Revisa el informe de Problemas de seguridad: si Google ha detectado contenido pirateado o malware, te dice qué tipo y te muestra URL de ejemplo. Mira también el informe de Acciones manuales y el de Páginas, buscando URL que no reconozcas. Una búsqueda site:tudominio.com en Google también ayuda a ver qué tiene indexado.
2. Cierra la puerta antes de limpiar
- Cambia las contraseñas del hosting, del panel de WordPress, del FTP o SFTP y de la base de datos.
- Elimina los usuarios administradores que no reconozcas en WordPress y revisa los usuarios con acceso a Search Console.
- Avisa a tu proveedor de hosting: muchas veces detecta el origen y te ayuda a aislar la cuenta.
- Haz una copia del estado actual antes de tocar nada: sirve para averiguar por dónde entraron.
3. Limpia o restaura
Si tienes una copia de seguridad de antes del hackeo, restaurarla suele ser lo más rápido, pero hay que actualizar todo después o volverán a entrar por el mismo sitio. Si no la tienes, la limpieza en WordPress consiste en:
- Reinstalar el núcleo de WordPress desde la fuente oficial.
- Reinstalar los plugins y el tema desde su origen oficial y borrar los que no uses.
- Eliminar los plugins o temas «nulled» (versiones de pago pirateadas): son una de las vías de entrada más comunes.
- Buscar archivos PHP sospechosos en la carpeta de subidas y código añadido en el .htaccess y el wp-config.php.
- Revisar la base de datos en busca de contenido o redirecciones inyectadas.
Google tiene una guía detallada en «Necesito ayuda, creo que me hackearon».
4. Quita de Google las páginas de spam
Cuando las borres, esas URL deben devolver un error 404 o 410. Google las irá quitando del índice al volver a rastrearlas. Si son muchas o muy visibles, la herramienta de Retiradas de Search Console las oculta de forma temporal mientras tanto.
5. Pide la revisión a Google
Cuando la web esté limpia, solicita la revisión desde el informe de Problemas de seguridad explicando qué has hecho. Si Google mostraba un aviso a los visitantes, lo retira cuando confirma que el problema está resuelto.
Si alguien ha copiado o clonado tu web
- Documenta que eres el original: capturas con fecha, copias de seguridad, el archivo de tu web en archive.org y la fecha de publicación de tus páginas.
- Averigua quién aloja la copia con una consulta WHOIS del dominio o de la IP, y escribe al contacto de abusos de ese hosting pidiendo la retirada.
- Pide a Google que la retire de los resultados con el formulario de denuncia de contenido por motivos legales (derechos de autor).
- Si es un espejo por proxy (otro dominio que muestra tu web en tiempo real), se puede bloquear su acceso desde el servidor o el firewall de tu hosting.
- Asegura tus canonical: que cada página de tu web declare su propia URL como canonical ayuda a Google a identificar el original.
Una tranquilidad: Google suele identificar bien la versión original de un contenido copiado, sobre todo si tu web es la más antigua y la que tiene enlaces. Las copias rara vez te superan, pero conviene retirarlas para que no confundan a tus clientes.
Cómo evitar que vuelva a pasar
- Actualiza WordPress, el tema y los plugins en cuanto salen versiones de seguridad.
- Usa solo plugins y temas de fuentes oficiales y elimina lo que no uses.
- Activa la verificación en dos pasos para los administradores y usa contraseñas únicas.
- Haz copias de seguridad automáticas y guárdalas fuera del servidor de la web.
- Usa un firewall de aplicación web (el de tu hosting o un plugin de seguridad) y limita los intentos de acceso.
- Mantén Search Console conectado: te avisa por correo si detecta un problema de seguridad.
Preguntas frecuentes sobre webs hackeadas o clonadas
¿Cómo sé si mi web está hackeada?
Las señales más comunes son páginas que no has creado apareciendo en Google, redirecciones a otras webs, avisos de seguridad en el navegador, usuarios administradores desconocidos o un correo de Search Console sobre problemas de seguridad. El informe de Problemas de seguridad de Search Console es la forma más fiable de confirmarlo.
¿Un hackeo hace que pierda posiciones en Google?
Puede hacerlo, sobre todo si Google muestra un aviso a los visitantes o si el spam inyectado ocupa tus resultados. Al limpiar la web y pedir la revisión, las posiciones suelen recuperarse, aunque puede llevar algunas semanas.
¿Cuánto tarda Google en revisar una web después de limpiarla?
Depende del tipo de problema: las revisiones por contenido pirateado suelen resolverse en días, y las de malware o spam pueden tardar más. Search Console te avisa del resultado.
¿Me penaliza Google si alguien copia mi contenido?
Normalmente no: Google suele identificar la versión original. Aun así, conviene pedir la retirada de la copia al hosting que la aloja y, si hace falta, a Google por derechos de autor.
¿Es suficiente con restaurar una copia de seguridad?
No del todo. Si no cambias las contraseñas y actualizas lo que tenía la vulnerabilidad, volverán a entrar por el mismo sitio.
Si necesitas ayuda ahora
Si tu web está hackeada y no sabes por dónde empezar, escríbenos: revisamos qué ha pasado y te decimos qué hay que hacer. La seguridad y el mantenimiento forman parte del SEO técnico de nuestro servicio de posicionamiento web, porque una web que se cae o redirige a otra pierde clientes y posiciones al mismo tiempo.