Guía · Con dos casos medidos
Tu web sale en Google con páginas que tú no pusiste
Buscas tu negocio y encima de lo tuyo aparece otra cosa: un título en un idioma que no es el tuyo, o resultados que llevan a páginas que nunca has escrito. Entras a comprobarlo y está todo perfecto.
No estás viendo mal. El servidor puede contestar una cosa a un navegador y otra distinta a un buscador, así que desde tu pantalla no hay absolutamente nada que ver. Esto es lo que encontré al censar 175 negocios, cómo se comprueba y qué hacer con ello.
Lo que veía el dueño
Low Cost Torres, Compra-Venta de Vehículos
- Tamaño
- 235.636 bytes
- Idioma
- Español
- Contenido
- Su concesionario, con sus coches
Lo que recibía Google
Holiganbet: Resmi Giriş Adresi
- Tamaño
- 39.338 bytes
- Idioma
- Turco
- Contenido
- 68 menciones a una casa de apuestas
La misma dirección, pedida dos veces el mismo día con un minuto de diferencia. Lo único que cambió fue decir quién preguntaba. Este caso está publicado entero, con las capturas, en el trabajo que le monté después.
Ocurre de dos formas, y solo una se nota mirando
Esta es la parte que casi nadie cuenta y la que más tiempo ahorra, porque cambia qué tienes que buscar.
La primera es la sustitución. Al buscador le sirven una página completamente distinta, como en el caso de arriba. Se detecta enseguida en cuanto la pides bien, porque hasta el tamaño canta: 39.338 bytes contra 235.636 es una sexta parte.
La segunda es la inyección, y es la difícil. No sustituyen nada: meten enlaces escondidos dentro de la página que tus clientes ya ven. En un segundo negocio del mismo censo, medido el 10 de agosto de 2026, la versión que recibía el buscador pesaba 256.898 bytes y la del visitante 256.260. Seiscientos treinta y ocho bytes de diferencia sobre un cuarto de millón. Nadie que mire el tamaño va a ver eso.
En ese segundo caso había veinticinco enlaces metidos dentro de su portada, apuntando a cuatro dominios de casinos. Estaban ocultos con hojas de estilo, unos con visibility: hidden y otros empujados miles de píxeles fuera de la pantalla. Invisibles al navegar. Perfectamente legibles para Google, que además les estaba pasando la reputación del dominio.
El título del resultado no es el tuyo
Es la señal que trae aquí a casi todo el mundo, y conviene separarla de una parecida que no es grave: desde 2021 Google reescribe títulos por su cuenta cuando el tuyo le parece poco descriptivo. La diferencia es de dónde sale el texto. Si el título reescrito sigue diciendo cosas de tu negocio, o es un trozo de lo que tú escribiste, eso es Google haciendo su trabajo. Si el título habla de otra cosa, y sobre todo si está en otro idioma, no lo ha escrito Google: se lo ha dado tu servidor.
Busca en Google site:tudominio.es y baja por todos los resultados que salgan sin quedarte en el primero. Ahí aparecen las páginas que el buscador tiene guardadas de ti, incluidas las que tú no has creado.
Tu página pesa distinto según quién la pida
Es la prueba directa y la que no admite discusión, porque no depende de interpretar nada. Le pides tu propia página dos veces, cambiando solo cómo te presentas, y comparas lo que sale. Si el servidor está sirviendo dos cosas distintas, aquí se ve.
Ojo con el resultado: que los dos tamaños se parezcan no te deja tranquilo. Es exactamente lo que pasa en la variante de inyección.
Desde cualquier terminal, las dos peticiones seguidas:
curl -s -A Googlebot https://tudominio.es | wc -c
curl -s https://tudominio.es | wc -c
Para ver además el título de cada una, cambia esa última parte por grep -i "<title".
Hay enlaces dentro de tus páginas que tú no has puesto
Esta es la que caza la variante difícil, y no necesitas saber programar. Los enlaces metidos por alguien de fuera se esconden siempre de la misma manera, porque tienen que seguir siendo legibles para el buscador: se ocultan con estilos, no se borran. Eso deja un rastro muy concreto en el código de la portada que tú ves.
Abre tu web, pulsa el botón derecho y elige ver el código fuente. Con Control y F, busca dentro tres palabras: casino, hidden y -9999.
Lo normal es que no salga ninguna de las tres.
Si sale un puñado de enlaces a sitios que no conoces, ya tienes la respuesta.
Tu robots.txt le contesta cualquier cosa al buscador
Este es un detalle pequeño que delata mucho, porque un servidor sano nunca lo hace. En la raíz de cualquier sitio hay un fichero de texto con las reglas para los rastreadores. En el segundo caso, ese fichero devolvía código HTML al rastreador de Google en vez de sus reglas, y el fichero de verdad a todo el mundo. Un servidor no se equivoca así por su cuenta: alguien ha puesto algo delante que decide qué contestar según quién pregunte.
Escribe en el navegador tu dominio seguido de /robots.txt. Tiene que salir texto plano con líneas cortas. Si sale una página web, o un error, ya sabes que ahí hay algo que no debería estar.
Ese mismo fichero causa otro problema distinto cuando está bien servido pero mal escrito: le pide al buscador que no te lea.
Qué hacer, y en qué orden
El orden importa más que la prisa. Limpiar antes de saber por dónde se coló alguien sirve para que vuelva a colarse la semana siguiente por el mismo sitio.
-
Guarda las pruebas antes de tocar nada
Haz capturas de los resultados raros en Google y guarda las dos respuestas del comando de la señal 02 en un fichero. En cuanto se limpie, esa evidencia deja de existir, y la vas a necesitar si hay que reclamar a alguien.
-
Llama a tu hosting y pide los registros de acceso
Son la lista de quién ha accedido y cuándo. Pídelos por escrito y del mayor plazo que guarden. Ahí es donde está la puerta que usaron, y sin eso todo lo demás es limpiar sin cerrar.
-
Cambia las contraseñas, todas y a la vez
El panel del hosting, el acceso por FTP, la base de datos y el gestor de la web. Hacerlo poco a poco no vale de nada, porque quien siga dentro con una sola de ellas recupera el resto.
-
Restaura una copia anterior al problema, si la hay
Si tienes copias de seguridad, la fecha que necesitas es anterior al primer resultado raro. La de la semana pasada ya lo lleva dentro. Y si al restaurarla el problema vuelve a los días, es que no entraron por la web: entraron por el servidor.
-
Y solo entonces, pídele a Google que vuelva a mirar
Con Search Console, en la herramienta de inspección de URL. Pedirlo antes de limpiar es peor que no pedirlo, porque le confirmas al buscador que el spam sigue ahí.
Lo que esta página no puede hacer por ti: decirte por dónde entraron. Eso sale de los registros de tu servidor y de nada más, y si no los guardan o no te los dan, hay que decírtelo antes de cobrarte una limpieza y no cuando ya esté hecha.
Yo no soy consultor de seguridad y no lo voy a decir de otra forma. Lo que sí sé hacer es demostrarte en dos minutos si está pasando, ponerlo por escrito con las medidas, y montarte la web nueva ya limpia cuando el servidor esté cerrado. El fuego se apaga antes de amueblar.
¿Quieres saber si te está pasando ahora mismo?
Le hago las cuatro comprobaciones de esta página y las otras once que hago siempre, y te mando lo que salga con la forma exacta de repetir cada una por tu cuenta. Gratis, y con la dirección me basta.