Google marca tu sitio como peligroso: cómo limpiarlo y sacar el aviso

Qué quiere decir cada aviso

Chrome, Firefox y Safari consultan la misma lista, la de Navegación segura de Google: de ahí que la advertencia salga en los tres. Cualquier dirección se puede consultar en transparencyreport.google.com/safe-browsing/search.

Mirá lo que ve Google, no lo que ves vos

El código malicioso está hecho para pasar desapercibido: se muestra a los visitantes que vienen de un buscador o del teléfono, o a los que entran por primera vez, y se oculta al administrador que navega con su sesión iniciada. Que a vos te cargue bien no prueba nada.

1. En Search Console, el informe está en Seguridad y acciones manuales › Problemas de seguridad. Te dice de qué tipo es el problema y en qué direcciones lo detectó. Si el sitio no figura en tu cuenta, sumalo y demostrá que es tuyo con un TXT en el DNS: es requisito para solicitar la revisión más adelante.
2. Con la inspección de URLs, probá en vivo una de las direcciones de ejemplo y mirá el HTML que recibió Google. Buscá scripts o iframes que carguen cosas de dominios que no conocés.
3. Buscá en Google site:tudominio.com.ar. Si aparecen páginas que nunca creaste, con títulos en japonés o de productos que no vendés, es spam inyectado.
4. Abrí el sitio desde el celular, con datos móviles y en una ventana privada. Si te desvía a otro lado, la redirección depende del origen de la visita.

Cambiá las contraseñas antes de limpiar, y desde un equipo sano

Si la puerta fue una contraseña, la van a usar de nuevo apenas termines. Existen troyanos que leen las contraseñas que guardan el navegador y los programas de FTP, así que hacé el cambio desde una computadora en la que confíes.

• DirectAdmin: la contraseña del panel, y activá el doble factor si todavía no lo usás.
• Cada cuenta de FTP, también las secundarias, y de ahora en más solo conexiones cifradas: SFTP o FTPS.
• La contraseña del usuario de MySQL. Se cambia en el panel y hay que copiarla en DB_PASSWORD de wp-config.php, o en el archivo equivalente de tu CMS; si no, el sitio pierde la conexión con la base.
• Todos los administradores del CMS. En WordPress, renovar las sales (AUTH_KEY y las demás constantes) invalida las sesiones abiertas, también la del intruso. Con WP-CLI: wp config shuffle-salts.
• Las casillas de correo que compartan contraseña con alguna de las anteriores.

Encontrá qué cambió

Arrancá por las direcciones que marcó Search Console y seguí por los escondites de siempre. En un VPS o un servidor, estas líneas achican el terreno dentro de la carpeta del sitio (poné tu dominio donde dice tudominio.com.ar). El hosting no tiene acceso por SSH: bajá una copia por FTP sobre TLS y buscá lo mismo en tu computadora, con un editor que busque en carpetas o con las líneas de find y grep si usás Linux, macOS o WSL.

cd ~/domains/tudominio.com.ar/public_html
wp user list --role=administrator
wp core verify-checksums
wp plugin verify-checksums --all
find . -type f -name "*.php" -mtime -10 -ls
find . -path "*/uploads/*" -name "*.php*"
grep -rlE "eval\(|gzinflate\(|str_rot13\(|base64_decode\(" --include=*.php .

• Las tres líneas de WP-CLI muestran quiénes son administradores y comparan WordPress y los plugins del repositorio oficial con sus originales. Un administrador que no reconocés es la llave que dejaron para volver.
• Con -mtime -10 salen los PHP que cambiaron en los últimos diez días; ajustalo a la fecha en que notaste el problema.
• La búsqueda en uploads apunta a una carpeta que en un sitio sano guarda imágenes y PDF, nunca código. Cualquier PHP ahí es sospechoso.
• grep rastrea funciones típicas para ofuscar código. Que aparezcan no prueba nada por sí solo: hay plugins legítimos que las usan.
• Abrí cada .htaccess, el de la raíz del sitio y los de las subcarpetas: una regla que desvía solo a quien viene de Google o del celular es un clásico.

Volver a una copia sana o limpiar a mano

Los planes de hosting de InHosting hacen copias automáticas, y una versión anterior del sitio se recupera en pocos clics (cómo se hace está en backup y restauración en DirectAdmin). Suele ser el camino más rápido, con algunas condiciones.

1. Tomá una copia de antes de la fecha del primer archivo alterado. La más reciente probablemente ya esté infectada.
2. Restaurar pisa lo que pasó después de esa fecha: pedidos, comentarios, entradas nuevas. Si la tienda vendió en el medio, exportá esos pedidos antes.
3. Apenas restaures, poné al día el núcleo, las extensiones y el tema: la copia arrastra el mismo agujero que usaron.
4. Si no hay una copia limpia, reemplazá WordPress, o tu CMS, por una descarga oficial y reinstalá cada plugin y tema desde su origen. Lo único que se revisa a mano es lo propio: wp-config.php, la carpeta de subidas y tu tema si lo hiciste a medida.
5. La base de datos también puede tener código escondido en entradas, widgets u opciones. Con WP-CLI, wp db search "<script" --all-tables es un buen comienzo.
6. Eliminá, no solo desactives, los plugins y temas que no uses: desactivados siguen en el servidor y se pueden atacar igual.

Pedí la revisión cuando no quede nada

No te apures. Una revisión rechazada alarga la siguiente, y después de varios rechazos el sitio pasa a figurar como reincidente y tiene que esperar un tiempo antes de volver a solicitarla.

1. En Search Console, volvé a Problemas de seguridad, confirmá que lo solucionaste y tocá Solicitar revisión.
2. Contá brevemente la causa, lo que limpiaste y qué medidas tomaste: el plugin vulnerable que actualizaste, los archivos que eliminaste, las contraseñas que renovaste.
3. El resultado te llega por mail y también aparece en el informe. Si es negativo, volvé a revisar las direcciones de ejemplo: casi siempre quedó algo.

Aprobada la revisión, el aviso desaparece enseguida de los resultados, y de los navegadores cuando descargan la versión nueva de la lista.

Para que no vuelva a pasar

• Actualizaciones automáticas para los plugins y una revisión semanal de lo pendiente: la mayoría de las infecciones entra por fallas ya corregidas en versiones que nadie instaló.
• Nada de plugins ni temas "nulled": las copias gratuitas de productos pagos suelen traer una puerta trasera.
• Un administrador por persona, con doble factor. El resto de las medidas está en la guía para endurecer WordPress.