Mi sitio le mostraba un casino a Google. Yo veía mi sitio normal.

Durante un tiempo, mi sitio personal le sirvió a Google una página de apuestas extranjera. Cualquier persona que lo visitara veía mi sitio, con mis artículos y mi foto, exactamente como siempre. Google veía otra cosa.

Yo no lo noté. Y vivo de esto.

Cuento el caso porque ahí está la parte importante: el ataque está diseñado para que el dueño no lo vea. No es que uno se distraiga. Es que abrir tu propio sitio y encontrarlo normal es precisamente el resultado que el atacante busca.

En qué consiste

Se llama cloaking, que es enseñar contenido distinto según quién pregunte. La cadena fue así:

Instalaron un plugin de administrador de archivos. Suena inofensivo y es la puerta: te deja subir lo que quieras al servidor. Con él subieron la página del casino. Después agregaron una regla que revisa quién está pidiendo la página: si el visitante es un robot de buscador, lo mandan al casino; si es una persona, le entregan el sitio de verdad.

Entraron con usuarios administradores falsos, con nombres que parecen del propio sistema para que no llamen la atención en la lista.

Todo eso convive con tu sitio funcionando bien. No se cae, no se pone lento, no sale ninguna alerta.

Cómo te afecta

Google empieza a indexar páginas que tú nunca creaste. Tu dominio acumula direcciones falsas que apuntan a contenido que no es tuyo.

Te llegan enlaces basura. Redes de sitios enlazan al contenido inyectado, y esos enlaces quedan asociados a tu dominio.

Tu marca aparece donde no quieres. Alguien busca tu nombre y, con suerte distinta a la mía, se encuentra con una casa de apuestas.

Y lo más incómodo: puede llevar mucho tiempo antes de que alguien te lo diga.

Qué hice

Primero, revisar si había castigo. En Google Search Console hay una sección llamada Acciones manuales que te dice en una línea si Google tomó alguna medida contra tu sitio. En mi caso, no había ninguna. Eso cambió el orden de urgencias: el problema era real, pero no estaba penalizado.

Después, entender qué pasó de verdad. Revisé el historial del servidor para saber hasta dónde habían llegado. Confirmé que el atacante nunca tuvo acceso de consola: todo entró por WordPress. Saberlo importa, porque define si limpias un sitio o si tienes que asumir que el servidor entero está comprometido.

Y luego la decisión de fondo: no lo parché. Lo rehice.

El punto débil no era un archivo suelto. Era el conjunto: un tema de WordPress que empaqueta varios plugins y los actualiza al ritmo de su autor, no al ritmo de WordPress. Tapar el agujero me dejaba con la misma puerta para la próxima.

El sitio nuevo no tiene gestor de contenidos, ni base de datos, ni PHP. Son archivos que ya vienen armados. No hay dónde entrar, en lugar de haber una entrada mejor vigilada.

Para las direcciones falsas que Google ya tenía, hay un detalle que vale oro: se le responde "esto murió", no "esto no está". Son dos respuestas distintas y Google las trata distinto: con la segunda vuelve a tocar la puerta durante meses.

Y aquí llegan los enlaces

Con eso resuelto fui a revisar los enlaces entrantes de otro de mis sitios, esperando lo peor. La herramienta de análisis mostraba 313 enlaces de 83 dominios, varios con esa pinta inconfundible de granja de enlaces.

Fui a Search Console, que es gratis y lo da el propio Google. El número real: 42 enlaces, de 4 dominios. Y los cuatro eran míos.

Los sospechosos no aparecían. Abrí un par para entender por qué: eran el mismo sitio clonado varias veces, generando una ficha automática para cualquier dominio que se les pidiera. Probé con un nombre inventado y también devolvió su página. No enlazaban a nadie. La herramienta contaba como enlaces unas páginas que ni siquiera enlazaban.

Las herramientas de SEO rastrean y apuntan todo. Google rastrea y además decide: descarta lo que no aporta antes de que cuente.

Sobre desautorizar enlaces

Existe una herramienta para decirle a Google "ignora estos enlaces". Aquí hay que tener criterio, no una regla fija, y lo digo porque uso las dos respuestas:

En el sitio de los 42 enlaces no la usé. No hacía falta: no había penalización y Google ya estaba ignorando la basura solo.

En otro de mis proyectos sí la usé, y a fondo. Ahí la contaminación era distinta: casi todos los dominios que enlazaban estaban comprometidos. Cuando esa es la proporción, actuar tiene sentido.

La diferencia no es la cantidad de enlaces feos. Es si hay daño real y qué proporción de tu perfil está tocada. Un archivo mal armado puede desautorizar enlaces buenos, y eso sí te cuesta.

Qué puedes revisar hoy

Entra a Google Search Console. Es gratuito y solo necesitas ser dueño del dominio.

Acciones manuales. Una línea te dice si Google tomó alguna medida contra tu sitio.

Páginas. Ahí ves qué direcciones tuyas conoce Google. Si aparecen rutas que tú nunca creaste, esa es la señal.

Enlaces. Quién te enlaza de verdad y con qué texto, según Google y no según un tercero.

Son tres pantallas y quince minutos. A mí me habrían ahorrado meses.

Si abres alguna y no sabes interpretar lo que ves, escríbenos y lo revisamos juntos.