Comprobación de inyecciones
Enlaces spam de sitios comprometidos: encontrar páginas que nunca publicaste
Algunas inundaciones de enlaces no están dirigidas a ti. Apuntan a páginas basura que un atacante plantó en tu dominio, y la solución comienza en tu servidor, no en un archivo de desautorización.
Errores y soluciones tras una inyección
| Error | Por qué afecta negativamente | Solución |
|---|---|---|
| Eliminar las páginas spam y detenerse ahí | La puerta trasera permanece y las páginas regresan | Encontrar el punto de entrada: plugin desactualizado, contraseña robada, cuenta FTP o SSH débil |
| Desautorizar enlaces a las URLs inyectadas | Los enlaces a páginas que ya no existen no necesitan un archivo | Devolver un 404 o 410 para las páginas y dejar que desaparezcan |
| Bloquear las URLs spam en robots.txt | Google no puede ver que han desaparecido | Permitir el rastreo, servir 410 y solicitar la eliminación si es necesario |
| Omitir el .htaccess y la base de datos | Redirecciones y publicaciones spam se ocultan allí | Buscar en los archivos y en la tabla de publicaciones, no solo en la carpeta del tema |
| Solicitar revisión antes de que el sitio esté limpio | La solicitud se rechaza y se pierde tiempo | Limpiar, verificar y luego enviar |
Cómo se muestra una inyección en los datos de enlaces
El patrón es extraño. Tu lista de páginas principales contiene URLs que no reconoces, a menudo con parámetros extraños o palabras japonesas o farmacéuticas en la ruta.
Llama a toppages para tu dominio y lee la lista lentamente, porque un sitio normal tiene su página de inicio, algunas guías y un puñado de productos cerca de la parte superior. Las filas que se parecen a /wp-content/uploads/xyz-cheap-watches.html significan que alguien colocó páginas en tu dominio y luego construyó enlaces hacia ellas.
Una búsqueda de site:yourdomain.com en Google, combinada con palabras como casino o réplica, encuentra la parte indexada de la misma historia. Los datos de enlaces te dicen cuáles de esas páginas consideró el atacante dignas de promoción, y eso te indica dónde comenzar la limpieza.
Encontrar páginas plantadas sin un crawler
Antes de comprar una herramienta para enlaces spam de sitios comprometidos, lee lo que ya tienes. La exportación de páginas principales, la lista de páginas indexadas en Search Console y un listado de carpetas simple en el servidor muestran cada una una parte diferente del mismo problema. Compara los tres.
Busca carpetas que no creaste. Los atacantes a menudo dejan un directorio con un nombre similar a un producto, o reutilizan una carpeta de subida que tu CMS nunca toca. Cuenta los archivos en cada una. Los stubs casi idénticos son difíciles de justificar.
Lee el árbol de carpetas
El árbol de archivos de tu servidor debe coincidir con la estructura de tu sitio. Una carpeta con caracteres aleatorios, o una copia de un plugin con una palabra extra en su nombre, merece una mirada. Anota las fechas de modificación, pero no confíes solo en ellas, porque las marcas de tiempo pueden cambiarse.
Anota cada carpeta que no puedas explicar. Una carpeta inexplicada no es prueba de un ataque, pero es una pregunta que debes responder antes de considerar el sitio limpio.
Mantén la lista de referencia con tus exportaciones. La siguiente persona que lea el incidente debería ver qué se verificó, qué estaba limpio y qué se eliminó, en ese orden.
Compara títulos y descripciones
Un CMS comprometido a veces reescribe títulos y descripciones en cientos de páginas a la vez. Exporta los títulos de tus páginas indexadas y ordénalos. La exportación devuelve una lista que puedes leer. Una frase desconocida repetida hace visible el patrón en minutos, y muestra qué plantillas fueron modificadas.
Verifica las descripciones de la misma manera. Si mencionan productos que nunca has vendido, has encontrado una segunda capa de la inyección.
Si los títulos cambiaron solo en páginas que no reconoces, las páginas plantadas cuentan toda la historia. Si cambiaron en páginas que aún reconoces, la plantilla fue modificada y la solución está en tu tema.
- Títulos que comparten una frase desconocida
- Descripciones que mencionan productos que no vendes
- Páginas sin enlace desde tu propia navegación
Verifica el código fuente de la página
Visualiza el código fuente de tu página de inicio y de algunas guías. Los enlaces inyectados a menudo se encuentran en los pies de página, en bloques ocultos o dentro de un script cargado desde otro host. Los bloques ocultos permanecen invisibles en pantalla. Lee el HTML en bruto.
Anota cada dominio externo que cargue el código fuente. Un dominio que no puedas nombrar en tu propia pila merece una línea en el registro de incidentes. Una extracción de toppages cuesta 2 créditos y devuelve JSON, así que puedes poner esos enlaces plantados junto con las páginas plantadas en una sola hoja.
Orden de limpieza
- Pon el sitio detrás de una página de mantenimiento o restringe el acceso de administrador mientras trabajas
- Cambia todas las credenciales: hosting, base de datos, administradores del CMS, claves FTP y SSH
- Actualiza el CMS, los temas y los plugins; elimina todo lo abandonado
- Compara archivos con una copia limpia o una descarga fresca de tu CMS
- Busca en la base de datos publicaciones inyectadas, enlaces y usuarios de administración desconocidos
- Sirve 404 o 410 para las URLs plantadas y envía un sitemap actualizado
- Verifica los problemas de seguridad y las acciones manuales en Search Console después de la limpieza
Por qué el punto de entrada importa más que la limpieza
Eliminar las páginas spam es la mitad visible del trabajo. La mitad invisible es la entrada, y esa ruta suele permanecer abierta hasta que alguien la encuentra. Pon el punto de entrada primero. No al final.
Si lo omites, las páginas plantadas regresan en días, y la limpieza comienza de nuevo desde cero. El resultado es un bucle de limpieza, reinfección y nueva limpieza, y cada pasada cuesta tiempo que no puedes permitirte durante un incidente.
Plugins y temas desactualizados
Los componentes antiguos son una puerta común. Actualiza el CMS, cada tema y cada plugin, luego elimina todo lo abandonado. Un plugin sin actualizaciones recientes no es seguro, incluso cuando aún funciona.
Anota qué eliminaste y cuándo. Esa lista es evidencia útil si un proveedor de hosting o un motor de búsqueda pregunta qué sucedió más tarde.
Contraseñas reutilizadas o robadas
Una contraseña usada en un segundo sitio, o una que se mantiene en una hoja de cálculo compartida, puede darle al atacante el mismo acceso mañana. Cambia las credenciales de hosting, base de datos, administrador del CMS, FTP y SSH juntas, no una por una. De lo contrario, el atacante aún tiene una clave funcional.
Elimina usuarios de administración que no reconozcas y verifica la lista nuevamente después del cambio de contraseña.
Archivos de verificación que no agregaste
Un atacante con acceso a archivos también puede agregar un archivo de verificación para tu propiedad de Search Console. Verifica la lista de propietarios y elimina a cualquiera que no reconozcas. Luego busca en la carpeta raíz archivos HTML que nunca subiste.
Repite la verificación de propietarios una semana después de la limpieza. Toma un minuto y captura el caso donde el acceso se mantuvo en silencio.
Prioridad
Cierra la puerta antes de barrer el suelo
Si el punto de entrada permanece abierto, las páginas spam regresan en días. Los datos de enlaces te ayudan a encontrar qué fue promovido, pero la causa está en el servidor. Un escaneo de malware por parte de tu proveedor o Sucuri es una primera llamada sensata.
- Trata los enlaces a URLs inyectadas muertas como inofensivos
- Mantén la exportación de toppages como prueba de lo que sucedió
- Añade el dominio a tu vigilancia mensual después, consulta la guía de configuración
Sitemaps, títulos y datos estructurados después de una limpieza
Una vez que las URLs plantadas han desaparecido, tres lugares aún pueden contener la historia antigua. Cada uno es rápido de verificar. Fácil de olvidar también. Asigna una línea en tu registro de incidentes para cada uno.
Usa la misma exportación fechada que hiciste al principio, para que puedas ver exactamente qué cambió.
Sitemaps
Abre el sitemap que genera tu CMS y lee cada URL en él. Las páginas plantadas a veces viajan en un sitemap que construyó un plugin, y un sitemap lleno de basura le dice a los crawlers dónde ir. Regenera el archivo después de la limpieza, luego envíalo nuevamente.
Mantén el sitemap antiguo como evidencia en lugar de eliminarlo.
Datos estructurados
Algunos marcadores inyectados describen productos o reseñas que nunca existieron en tu sitio. Verifica el código fuente de la página en busca de bloques de schema que no agregaste, y prueba algunas URLs plantadas con una herramienta de prueba de datos estructurados.
Cualquier marcado que no puedas rastrear hasta tus plantillas es una tarea de eliminación, no de contenido.
Usar la API para acotar el daño
Obtén las páginas principales
action=toppages&q=yourdomain.com&per=1000. Dos créditos, $0.0002.
Marca lo que reconoces
Copia las filas en una hoja de cálculo y marca cada URL como tuya o no. El grupo desconocido es la huella de la inyección.
Obtén dominios de referencia para una página plantada
action=backlinks devuelve las páginas que enlazan. Si provienen de cientos de dominios no relacionados con el mismo anchor text, tienes la firma de pico.
Vuelve a ejecutar después de la limpieza
La próxima actualización mensual debería mostrar esas URLs disminuyendo, aunque los enlaces muertos pueden permanecer listados por un tiempo.
Preguntas frecuentes
¿Necesito desautorizar enlaces a páginas comprometidas?
Normalmente no. Si las páginas ahora devuelven 404 o 410, los enlaces apuntan a nada. Gasta el esfuerzo en eliminar la puerta trasera. Desautoriza solo si una acción manual cita esos enlaces o puedes mostrar un esquema de pago evidente.
¿Cuánto tiempo tarda en desaparecer el spam de Google?
Varía según la tasa de rastreo y el tamaño del sitio. Servir un 410 claro y enviar un sitemap actualizado acelera las cosas, pero no prometemos una fecha. Verifica Search Console después de cada extracción mensual.
