Te hackearon la web: el reloj no es tuyo

Juntá las dos cosas y el cálculo cambia de forma. Un spam inyectado se puede limpiar en una tarde, pero la revisión puede tardar varias semanas; en ese tiempo tu sitio sigue apareciendo con la etiqueta puesta y tu competencia no. Un caso de software malicioso es más urgente para el visitante —la pantalla de advertencia espanta a todo el mundo— pero la revisión tarda unos días. Y una suplantación de identidad, que es la peor en términos de responsabilidad, se revisa en alrededor de un día.

La consecuencia práctica es incómoda pero útil: en el caso más frecuente, buena parte del daño ya está hecha antes de que llames a nadie. No porque no se pueda arreglar, sino porque la parte que lleva tiempo no se acelera pagando más. Lo que sí se puede hacer, y es lo único que de verdad mueve la aguja, es no reiniciar el reloj: una revisión pedida a medias, rechazada, y vuelta a pedir, es la forma más eficiente de convertir tres semanas en seis.

Por eso cuando alguien nos escribe un sábado con el cartel puesto, lo primero que le decimos no es «lo arreglamos hoy». Es: vamos a averiguar bien qué tenés antes de tocar algo, porque el apuro es exactamente lo que alarga la espera. Y si tu caso es de los que esperan semanas, conviene usar esas semanas para resolver el problema de fondo en vez de para mirar el informe todos los días.

Y una aclaración de alcance que preferimos dar antes y no después: no vendemos limpieza de infecciones como servicio suelto ni hacemos análisis forense, y no prometemos devolver un sitio infectado a su estado anterior en el mismo lugar donde está. Lo que hacemos es mirar, decirte en cuál de los dos casos estás, y ejecutar el camino que corresponda, que en la mayoría de los que nos llegan es recuperar el contenido y mudarlo a algo que no se vuelva a romper solo. Si lo tuyo se arregla sin nosotros, te lo decimos: está más abajo, en la sección de precios.

Si el navegador dice «no es seguro» pero el sitio abre y se ve bien, lo más probable es que sea el certificado y no una infección. Es la falla más frecuente de todas, se arregla en minutos y no tiene nada que ver con esta página: está explicada en la del certificado vencido. La señal que las separa es simple: el aviso del certificado aparece siempre, para todos y en la barra de direcciones; el de sitio peligroso aparece en los resultados de búsqueda o como pantalla completa antes de entrar.

Si el sitio directamente no abre —error de servidor, pantalla en blanco, «no se puede acceder»— eso es una caída y no un hackeo, aunque a veces una termina en la otra. El orden de los primeros pasos es distinto y está en la página de la web caída, que es la madre de todo este cluster.

Y si tu sitio simplemente dejó de aparecer en Google, sin cartel y sin advertencia, hay varias explicaciones mucho más comunes que un ataque. Esa es otra conversación y está en mi sitio no aparece en Google. La diferencia clave: un sitio hackeado suele seguir apareciendo, pero con la etiqueta puesta; un sitio desindexado desaparece sin que nadie te avise nada.

La secuencia es casi idéntica todas las veces. El sitio se entregó funcionando y nadie habló de qué pasaba después. La empresa supuso que actualizar era parte de tener un sitio, igual que la luz viene con el local. Quien lo hizo supuso que el proyecto terminó cuando se aprobó el diseño. El hosting mandó dos o tres correos de aviso que llegaron a una dirección que ya nadie abre. Y durante dieciocho meses el sitio funcionó perfecto, que es precisamente lo que hace que nadie revise nada: no hay síntoma, no hay recordatorio, no hay factura que obligue a mirar.

Y acá está el punto incómodo, porque es una decisión de arquitectura y no de disciplina: un sitio armado sobre doce piezas de terceros necesita un dueño de la actualización, y uno armado sobre menos piezas necesita mucho menos dueño. Cuando cada necesidad chica se resolvió sumando un complemento —un formulario, un carrusel, un chat, un medidor— lo que se construyó no fue un sitio: fue una lista de mantenimientos ajenos. Es el mismo mecanismo que vuelve lento a un sitio que arrancó liviano, y el mismo que hace que un sitio que nadie toca hace años sea una bomba de tiempo en vez de un sitio estable.

Por eso cuando terminamos un rescate no entregamos solamente el sitio limpio. Entregamos quién actualiza qué, cada cuánto, y a quién se le reclama cuando algo falla, escrito y con nombre. Si esa pregunta no tiene respuesta, no importa cuán limpio quede hoy: en dieciocho meses estás leyendo esta misma página otra vez. Para tiendas, además, es una de las razones por las que hacemos e-commerce únicamente en Shopify: cuando algo se cae un sábado, lo que importa no es de quién es la culpa sino a quién se le reclama.

Para diagnosticar entramos a hostings y paneles de terceros sin problema. Para dar soporte continuo, el sitio tiene que vivir en nuestro hosting, y lo decimos de frente y no en la letra chica: sobre una infraestructura que no controlamos no podemos comprometernos a restaurar nada. El dominio no se toca: queda a tu nombre, como corresponde. Hay casos que revisamos y decidimos no tomar, y cuando pasa lo avisamos con el informe en la mano.

En esta página no hay estadísticas de ataques, porcentajes de sitios infectados ni estudios citados: no tenemos datos propios para sostenerlos y no citamos ajenos sin poder verificarlos. Las únicas referencias externas son las categorías de problemas de seguridad, el comportamiento del contenido inyectado que se muestra distinto al buscador, el informe de problemas de seguridad de Search Console y los plazos declarados de revisión —alrededor de un día para suplantación de identidad, unos días para software malicioso y varias semanas para spam—, tomados de la documentación pública de Google en web.dev y en Google Search Central y consultados el 6 de octubre de 2026. Son los plazos que Google declara para su propio proceso: es la fuente autorizada sobre su funcionamiento, no la verificamos contra una fuente independiente porque no existe una mejor, y pueden cambiar sin aviso. Conviene mirarlos en el informe el día que te toque. Los únicos números propios son nuestros precios.