Guías de seguridad
¿La seguridad de un sitio web afecta al SEO? Vulnerabilidades, sitios hackeados, HTTPS y posicionamiento según la documentación oficial de Google
¿La seguridad web afecta al SEO? Según Google Search Central, Search Console, web.dev y Bing: una vulnerabilidad sola no figura como factor de posicionamiento, pero un sitio hackeado o con malware recibe avisos y puede desaparecer de los resultados. Cómo comprobarlo y recuperarse.
Para quién es: cualquier persona que gestione su propio sitio web y quiera saber si la seguridad afecta al posicionamiento en buscadores, o que acabe de ver un aviso de sitio hackeado en su propio resultado. Esta guía se basa en la documentación de Google Search Central, la Ayuda de Search Console, web.dev, la Ayuda de Chrome y Bing Webmaster Tools. No explica cómo se llevan a cabo los ataques.
Estado de seguridad e impacto en la búsqueda
Primero, cómo afecta cada estado a la búsqueda, con la fuente oficial de cada uno. «Google no lo incluye como factor de posicionamiento» significa que no lo hemos encontrado descrito como tal en ninguna parte de la documentación de Google, no que Google diga que no importa.
| Estado de seguridad | Efecto en la búsqueda | Fuente oficial |
|---|---|---|
| Existe una vulnerabilidad conocida (por ejemplo, un plugin antiguo), pero nadie la ha aprovechado | Google no lo incluye como factor de posicionamiento. Si la aprovechan, pasas a las filas de abajo | Políticas contra el spam (el contenido hackeado es contenido colocado «sin permiso, debido a vulnerabilidades») |
| Sin cabeceras de seguridad, o con una nota baja en un analizador | Google no lo incluye como factor de posicionamiento | Documentación sobre la experiencia en la página (el aspecto que dice que usan los sistemas de posicionamiento son las Core Web Vitals) |
| Sigue en HTTP | Una señal «muy ligera» según el anuncio de 2014; Chrome muestra «No es seguro» en la barra de direcciones | Entrada del blog de 2014, documentación sobre la experiencia en la página, Ayuda de Chrome |
| Hackeado, con páginas de spam añadidas | «Este sitio puede haber sido pirateado» en los resultados; los sitios que incumplen las políticas pueden aparecer más abajo o no aparecer | Ayuda de la Búsqueda de Google, políticas contra el spam |
| Distribuye malware o phishing | Etiqueta de aviso en los resultados y página de aviso «Sitio peligroso» en el navegador | Ayuda de Search Console (informe «Problemas de seguridad»), Ayuda de Chrome |
| Un foro o los comentarios llenos de spam de terceros | Acción manual; las páginas afectadas aparecen más abajo o se omiten de los resultados | Ayuda de Search Console (informe «Acciones manuales») |
| Bing detecta malware | Se retira de los resultados de Bing, o se añade un aviso de malware al resultado | Ayuda de Bing Webmaster Tools |
El hackeo aparece en «Problemas de seguridad», no en «Acciones manuales»
La lista actual de tipos de acciones manuales de Search Console no tiene ninguna entrada de «sitio hackeado». El contenido hackeado, el malware y el software no deseado, y la ingeniería social (engañar a las personas, por ejemplo con una página de inicio de sesión falsa) aparecen en el informe «Problemas de seguridad». Revisa los dos informes.
¿Cuánto ayuda HTTPS al posicionamiento?
En una entrada del blog de Search Central de agosto de 2014, Google anunció que usaría HTTPS como señal de posicionamiento. La describió como, por ahora, solo una señal muy ligera, que afectaba a menos del 1 % de las búsquedas a nivel mundial y con menos peso que otras señales, como el contenido de alta calidad.
La documentación actual de Google sobre la experiencia en la página incluye HTTPS como pregunta de autoevaluación: «¿Se sirven tus páginas de forma segura?». La misma página dice que los sistemas de posicionamiento de Google usan las Core Web Vitals (métricas de velocidad de carga, capacidad de respuesta y estabilidad visual), y que, aparte de las Core Web Vitals, los demás aspectos de la experiencia en la página no ayudan directamente a posicionar mejor un sitio. Una entrada del blog de abril de 2023 decía también que no todas las señales de experiencia en la página que se habían enumerado antes, entre ellas HTTPS, se usan necesariamente de forma directa para el posicionamiento.
Aun así, necesitas HTTPS. La Ayuda de Chrome dice que en un sitio sin conexión privada alguien podría ver y cambiar la información que envías y recibes, y recomienda a los usuarios no introducir información personal ni privada en esas páginas. Si tu sitio tiene un formulario de contacto o una página de inicio de sesión, cualquier visitante ve que falta HTTPS.
Qué pasa en el buscador y en los navegadores cuando hackean un sitio
Las políticas contra el spam de Google definen el contenido hackeado como cualquier contenido colocado en un sitio sin permiso, debido a vulnerabilidades en la seguridad del sitio, y dicen que los sitios que incumplen las políticas pueden aparecer más abajo en los resultados o no aparecer. Google detecta los incumplimientos con sistemas automatizados y, cuando hace falta, con revisión humana.
1 Existe una vulnerabilidad
Plugins antiguos, contraseñas reutilizadas. En esta fase no figura como factor de posicionamiento
2 La aprovechan y cambia el contenido
Páginas de spam, enlaces ocultos, redirecciones a otros sitios, malware
3 Aparecen avisos en el buscador y en los navegadores
Etiqueta de hackeo en los resultados, página «Sitio peligroso», posiciones más bajas o retirada
4 Arréglalo y luego solicita una revisión
Solo después de cerrar el fallo. Las revisiones tardan desde un día hasta varias semanas
5 Se retiran los avisos
Cuando se comprueba que el sitio está limpio, los avisos del navegador y del buscador se retiran en 72 horas (web.dev)
«Este sitio puede haber sido pirateado» en los resultados de búsqueda
Según la Ayuda de la Búsqueda de Google, el mensaje «Este sitio puede haber sido pirateado» aparece cuando Google cree que un atacante podría haber cambiado algunas de las páginas existentes del sitio o haber añadido nuevas páginas de spam. Se mantiene hasta que el propietario del sitio corrige el problema y Google confirma la corrección.
«Sitio peligroso» en el navegador
Google Safe Browsing (la lista de sitios inseguros de Google, que usan los navegadores y otros productos para avisar a las personas) protege Chrome y otros navegadores, además de la Búsqueda de Google, Gmail y otros servicios. La Ayuda de Chrome dice que los sitios relacionados con phishing, malware, software no deseado o ingeniería social reciben un aviso rojo de «Sitio peligroso». En opinión de este sitio, conviene suponer que pocos visitantes seguirán adelante después de esa página.
Tipos de hackeo que describe Google
web.dev (la guía de Google para desarrolladores web) publica guías de limpieza para los hackeos que afectan a la búsqueda. Tres frecuentes:
| Tipo | Descripción de Google |
|---|---|
| Hackeo con palabras clave en japonés (Japanese keyword hack) | Aparecen páginas nuevas con texto en japonés generado automáticamente en directorios con nombres aleatorios, rentabilizadas con enlaces de afiliado a tiendas que venden productos de marca falsificados. El atacante suele añadirse como propietario de la propiedad en Search Console |
| Hackeo con texto sin sentido (gibberish hack) | Se crean muchas páginas con frases sin sentido llenas de palabras clave para posicionar en el buscador, y los visitantes son redirigidos a sitios sin relación |
| Hackeo con palabras clave y enlaces encubiertos (cloaked keywords and links hack) | Se crean muchas páginas con texto, enlaces e imágenes sin sentido para manipular los factores de posicionamiento de Google; al propietario se le puede mostrar un falso error 404 |
Los tres están hechos para que el propietario no los note navegando con normalidad. web.dev recomienda una búsqueda site: y la herramienta de inspección de URLs, que muestra la página tal como la ve Google.
Qué comprobar hoy
Aunque no tengas ningún aviso, estas cinco comprobaciones llevan unos minutos. Si tu sitio aún no está en Search Console, añádelo y verifícalo primero; a partir de entonces, los problemas que encuentre Google se notifican en los informes y en los mensajes de Search Console.
Abre «Problemas de seguridad» y «Acciones manuales» en Search Console
Los dos informes están en la sección "Security & Manual Actions" (seguridad y acciones manuales) del menú izquierdo. Si hay un problema, verás el tipo de problema y URL de ejemplo afectadas. Google advierte que la lista de ejemplos puede no estar completa, y que algunos problemas no muestran URL de ejemplo aunque haya páginas afectadas.
Busca propietarios que no añadiste tú
Ve a «Ajustes» > «Usuarios y permisos» y busca usuarios o propietarios que no reconozcas. web.dev dice que, en el hackeo con palabras clave en japonés, el atacante suele añadirse como propietario de la propiedad. Para quitar a un propietario verificado, tienes que borrar de tu sitio su token de verificación (archivo HTML, etiqueta meta, etc.); «Tokens de propiedad no utilizados» muestra los tokens que han quedado.
Haz una búsqueda `site:` para encontrar páginas que no creaste
Busca en Google site:tudominio y busca URL o títulos que no reconozcas, como términos en japonés de marcas, farmacia o compras. Este sitio sugiere además añadir una palabra sospechosa detrás de la consulta site: para acotar. Si Google no muestra nada, web.dev sugiere probar con otro buscador.
Comprueba el estado del sitio en Safe Browsing
Introduce tu dominio en "Site status" (estado del sitio), dentro de Safe Browsing en el Informe de transparencia de Google, para ver si Safe Browsing considera ahora mismo que el sitio es peligroso.
Asegúrate de servir HTTPS
Abre tu sitio en Chrome y comprueba que la barra de direcciones no dice «No es seguro». El informe HTTPS de Search Console muestra si sirves páginas HTTPS seguras y qué corregir si no es así.
Que lo veas normal no demuestra que el sitio esté limpio
web.dev explica que las páginas hackeadas pueden mostrar a su propietario un error 404 o similar para que parezcan eliminadas. No te limites a abrir una URL sospechosa en tu navegador; compruébala con la herramienta de inspección de URLs para ver lo que ve Google. Las comprobaciones en el servidor en busca de señales de intrusión están en cómo saber si han hackeado tu sitio web o tu servidor.
Pasos de recuperación si ya tienes un aviso
El orden importa. Solicitar una revisión antes de corregir la causa hace que el aviso dure más.
Conserva las pruebas y frena la propagación
Haz una copia de seguridad de todo el sitio y de la base de datos fuera del servidor, y guarda los registros. Si los visitantes están sufriendo daños, desconecta el sitio temporalmente. El orden detallado está en la guía de comprobación y respuesta ante intrusiones.
Elimina el contenido del atacante y cierra el fallo
Borra las páginas añadidas, los archivos modificados y los usuarios desconocidos, y cambia todas las contraseñas. La Ayuda de la Búsqueda de Google advierte que, si no corriges la vulnerabilidad, el sitio puede volver a ser hackeado. web.dev (una página de 2015) cita un estudio que encontró que el 20 % de los sitios hackeados volvieron a ser hackeados en un día. En WordPress, ponte al día con las actualizaciones y elimina los plugins que no uses con la referencia de seguridad de WordPress.
Haz que las URL de spam devuelvan 404 o 410
Según la Ayuda de Search Console, para retirar una página de los resultados de forma permanente, elimínala y haz que el servidor devuelva 404 (No encontrado) o 410 (No disponible). La retirada temporal de la herramienta de retirada puede ocultar URL rápido, pero solo durante unos seis meses. Google dice que no se use robots.txt como mecanismo de bloqueo.
Confirma la corrección tal como la ve Google
Antes de una revisión, web.dev pide confirmar que las páginas clave, incluidas las URL que modificó el atacante, están limpias y que Googlebot puede rastrearlas (sin bloqueo por robots.txt ni noindex). Usa la herramienta de inspección de URLs para comprobar que las URL de spam se tratan ahora como no encontradas (404 o similar).
Selecciona «Solicitar revisión» en el informe correcto
En «Problemas de seguridad», corrige todos los problemas de la lista en todo el sitio, selecciona «Solicitar revisión» en ese informe y describe el problema, los pasos que diste y el resultado. Para una acción manual, solicita la reconsideración desde el informe «Acciones manuales» de la misma forma. La Ayuda de Search Console dice que la mayoría de las revisiones tardan varios días o semanas y pide no volver a enviar la solicitud mientras haya una pendiente. web.dev indica alrededor de un día para el phishing, unos días para el malware y hasta varias semanas para el hackeo con spam.
Revisa también Bing
Bing dice que avisa a los propietarios de sitios a través de Bing Webmaster Tools cuando detecta malware, y que retira el sitio de sus resultados por completo o añade un aviso de malware al resultado. Si tu sitio está en Bing Webmaster Tools, busca el aviso y sigue las Directrices para webmasters de Bing, que dicen que los sitios implicados en phishing, distribución de malware u otras actividades dañinas se arriesgan a perder posiciones o a ser retirados.
La opinión de este sitio: la seguridad para el SEO consiste en que no te hackeen y en darte cuenta rápido, no en subir una puntuación
Algunos propietarios suponen que reforzar la seguridad mejorará su posicionamiento, y dedican tiempo a subir la nota de las cabeceras de seguridad o la puntuación de un analizador. Nada en la documentación de Google lo respalda. El efecto grande en la búsqueda llega cuando un sitio queda hackeado y marcado. Una revisión puede tardar hasta varias semanas, y durante ese tiempo el tráfico de búsqueda puede caer mucho.
Así que, desde el punto de vista del SEO, proponemos centrarse en dos cosas. Primero, mantener bajo control el software y las contraseñas que usan los atacantes para entrar. Segundo, registrarse en Search Console, recibir sus alertas por correo y detectar los problemas pronto. En cuanto a las cabeceras de seguridad, basta con configurar las que siguen siendo necesarias para limitar el daño.
Fuentes (oficiales)
- Blog de Google Search Central, "HTTPS as a ranking signal" (7 de agosto de 2014) — developers.google.com
- Google Search Central, "Understanding page experience in Google Search results" — developers.google.com
- Blog de Google Search Central, "The role of page experience in creating helpful content" (19 de abril de 2023) — developers.google.com
- Google Search Central, "Spam policies for Google web search" (contenido hackeado) — developers.google.com
- Ayuda de Search Console, «Informe "Problemas de seguridad"» — support.google.com
- Ayuda de Search Console, «Informe "Acciones manuales"» — support.google.com
- Ayuda de Search Console, herramienta de retirada y herramientas de denuncia de Búsqueda Segura — support.google.com
- Ayuda de Search Console, gestionar propietarios, usuarios y permisos — support.google.com
- Ayuda de la Búsqueda de Google, informar de un problema con la Búsqueda de Google («Este sitio puede haber sido pirateado») — support.google.com
- web.dev, "Request a review" — web.dev
- web.dev, "Fix the Japanese keyword hack" — web.dev
- web.dev, "Fix the gibberish hack" — web.dev
- web.dev, "Fix the cloaked keywords and links hack" — web.dev
- Google Safe Browsing — safebrowsing.google.com / Informe de transparencia, "Site status" — transparencyreport.google.com
- Ayuda de Chrome, gestionar los avisos sobre sitios no seguros — support.google.com
- Ayuda de Chrome, comprobar si la conexión de un sitio es segura — support.google.com
- Bing, "Webmaster Guidelines" — bing.com
- Bing, "Why is My Site Not in the Index?" — bing.com
Sigue leyendo
- Comprobar si hubo intrusión: Cómo saber si han hackeado tu sitio web o tu servidor (hosting compartido, WordPress, VPS)
- Configuración que limita el daño: Cómo elegir las cabeceras de seguridad: cuáles siguen haciendo falta, cuáles están obsoletas y cuáles hacen daño / herramienta: analizador de cabeceras de seguridad
- WordPress: Seguridad de WordPress: referencia de refuerzo para producción
- Otra forma en que aparecen páginas ajenas en tu dominio: Toma de control de subdominios (DNS colgante)
- Cuando hackean a tu proveedor: Qué deben hacer los clientes cuando su proveedor de hosting web sufre una brecha
- Recuperación: Fundamentos de las copias de seguridad
- Glosario: ¿Qué es el malware? / ¿Qué es el phishing?
FAQ
Q¿La seguridad de un sitio web afecta al SEO?
Las medidas de seguridad no mejoran el posicionamiento por sí solas. Google no incluye las vulnerabilidades ni las cabeceras de seguridad entre sus factores de posicionamiento. El efecto grande llega cuando alguien aprovecha una vulnerabilidad y el sitio queda hackeado o empieza a distribuir malware. Google marca los sitios hackeados en los resultados de búsqueda y dice que los sitios que incumplen sus políticas contra el spam pueden aparecer más abajo o no aparecer en los resultados.
Q¿Cómo quito «Este sitio puede haber sido pirateado» de Google?
Solo el propietario del sitio puede conseguir que se retire, y lo hace arreglando el sitio. Verifica el sitio en Search Console, abre el informe «Problemas de seguridad» para ver el problema y las URL de ejemplo, y corrige la vulnerabilidad por la que entró el atacante. Cuando todo el sitio esté limpio, selecciona «Solicitar revisión» en ese mismo informe. Google retira el mensaje después de comprobar que el sitio está arreglado. Según web.dev, las revisiones de sitios hackeados con spam pueden tardar hasta varias semanas.
Q¿Pasar a HTTPS mejora el posicionamiento?
No esperes mucho. Cuando Google anunció HTTPS como señal de posicionamiento en 2014, la describió como una señal muy ligera que afectaba a menos del 1 % de las búsquedas a nivel mundial. La documentación actual de Google sobre la experiencia en la página incluye HTTPS entre sus preguntas de autoevaluación, pero dice que, aparte de las Core Web Vitals, los demás aspectos de la experiencia en la página no ayudan directamente a posicionar mejor un sitio. Trata HTTPS como algo necesario para proteger a los visitantes.
Q¿Las cabeceras de seguridad o la puntuación de un analizador de vulnerabilidades afectan al posicionamiento?
La documentación de Google Search Central no incluye las cabeceras de seguridad ni las notas de analizadores externos entre los factores de posicionamiento. El aspecto de la experiencia en la página que Google dice que usan sus sistemas de posicionamiento son las Core Web Vitals. Merece la pena configurar las cabeceras de seguridad para limitar el daño si atacan tu sitio, no para posicionar.
Q¿Qué diferencia hay entre una acción manual y un problema de seguridad?
Una acción manual significa que un revisor humano de Google ha determinado que páginas de tu sitio incumplen las políticas contra el spam; las páginas afectadas pueden aparecer más abajo o quedar fuera de los resultados. El spam publicado en tu foro o en los comentarios aparece ahí como «Han atacado el sitio con spam externo» o «Spam generado por usuarios». El hackeo y el malware aparecen en cambio en el informe «Problemas de seguridad». En ambos casos corriges el problema y seleccionas «Solicitar revisión» en el informe correspondiente.
Q¿Cómo saco rápido de Google las páginas de spam de un hackeo?
Borra las páginas y asegúrate de que el servidor devuelve 404 o 410. Si necesitas ocultarlas rápido, la herramienta de retirada puede bloquearlas temporalmente, pero solo durante unos seis meses; no es una retirada permanente. No bloquees las URL con robots.txt: Google dice que no se use para retirar páginas.