Cuando Google marca un sitio como peligroso, la infección casi siempre lleva ahí un tiempo, no apareció recién. Hay señales previas, muchas veces sutiles, que anteceden por semanas al momento en que el problema se vuelve innegable. Reconocerlas a tiempo es la diferencia entre una limpieza de una tarde y una crisis con el sitio marcado públicamente como inseguro.
Por qué conviene aprender a distinguirlas de un bug común
No todo comportamiento raro es una infección. Un sitio puede andar lento por un plugin mal hecho, puede tener un error visual por un tema desactualizado, puede fallar un formulario por un problema de configuración. La clave para no alarmarse de más ni tampoco ignorar algo real está en un patrón específico: las señales de infección tienden a ser inesperadas, a aparecer donde vos no tocaste nada, y a involucrar contenido o comportamiento que nadie del equipo generó.
Las señales tempranas más comunes
Redirecciones inesperadas. El sitio, o alguna de sus páginas, manda a los visitantes a otra dirección sin que nadie haya configurado eso. A veces solo pasa con ciertos visitantes (los que llegan desde un buscador, por ejemplo) y no cuando el propio dueño del sitio lo revisa directamente, lo que hace que sea fácil no notarlo durante un tiempo.
Contenido que nadie del equipo publicó. Páginas nuevas con temas completamente ajenos al sitio, muchas veces vinculadas a productos que no tienen nada que ver con el negocio. Es una de las técnicas más comunes: usar un sitio legítimo para posicionar contenido ajeno aprovechando su reputación.
Usuarios administradores que no reconocés. Revisar la lista de usuarios con permisos de administrador y encontrar uno que nadie del equipo creó es una de las señales más claras y menos ambiguas que existen: no hay explicación inocente para eso.
El sitio envía correo que no generaste. Rebotes de mensajes que nunca mandaste, o quejas de que tu dominio está enviando spam, indican que algo está usando el servidor para enviar correo sin tu conocimiento.
Cambios en archivos que no editaste. Si el hosting muestra fecha de modificación de archivos, y aparecen archivos modificados en fechas donde nadie del equipo tocó nada, es una señal directa de actividad no autorizada.
El navegador o el antivirus del hosting empieza a marcar algo. Si tenés un análisis de malware incluido en el hosting, prestá atención a cualquier alerta, incluso si parece menor o aislada.
Enlaces salientes que no pusiste. Revisando el código de las páginas, aparecen enlaces hacia sitios externos que nadie agregó, generalmente ocultos para que no se vean a simple vista en el diseño.
Qué hacer apenas aparece una de estas señales
No entres en pánico, pero tampoco lo ignores esperando que se resuelva solo. Cuanto antes se actúe, más simple suele ser la limpieza.
Corré un análisis de malware si tu hosting lo incluye, para tener un diagnóstico más concreto que la sola sospecha.
Cambiá las contraseñas del panel, del administrador del sitio, de la base de datos y del acceso FTP, por si la entrada fue por una credencial comprometida.
Revisá la lista completa de usuarios administradores y eliminá cualquiera que no reconozcas.
Si tenés copias de respaldo de antes de que empezaran las señales, restaurar desde ahí suele ser más confiable que intentar limpiar archivo por archivo, porque no hay garantía de haber encontrado todas las puertas traseras a mano.
Recién después de limpiar, actualizá todo: núcleo, plugins, tema. La actualización sola no repara un sitio ya comprometido, pero sí cierra la puerta por la que probablemente entraron.
Por qué actuar antes del cartel de Google importa tanto
Una vez que un buscador marca el sitio como peligroso, el impacto va mucho más allá de la limpieza técnica: la advertencia visible espanta a cualquier visitante que la vea, y recuperar la confianza (tanto del buscador como de quien vio esa advertencia alguna vez) lleva más tiempo que resolver la infección en sí. Actuar en la etapa de señales tempranas, antes de que llegue a ese punto, es la diferencia entre un incidente que casi nadie nota y uno que daña la reputación del sitio de forma visible.
Una revisión corta que conviene hacer con regularidad
No hace falta convertirse en experto en seguridad para detectar estas señales a tiempo. Una revisión de diez minutos cada tanto (mirar la lista de usuarios administradores, navegar unas pocas páginas del sitio buscando algo raro, revisar si llegó algún rebote de correo inesperado) capta la mayoría de las infecciones en su etapa temprana, mucho antes de que se conviertan en un problema visible para todo el mundo. Es una rutina pequeña comparada con el tiempo que exige una limpieza después de que la infección ya escaló.
Sumarla a la misma rutina donde ya revisás que las copias de respaldo estén corriendo es una forma simple de que efectivamente se haga, en lugar de quedar como una buena intención que nunca se convierte en hábito.
Y si alguna de estas señales aparece justo después de instalar un plugin o un tema nuevo, sospechá primero de eso: es, por lejos, la puerta de entrada más común, y revisar esa pieza específica suele ser más rápido que empezar la investigación desde cero.