Herramientas para saber si tu web está hackeada (y cuál usamos nosotros)

Cuando sospechas que tu web puede estar comprometida, lo primero que necesitas no es contratar nada: es salir de dudas. Y para eso hay varias herramientas gratuitas que puedes usar tú mismo en cinco minutos. En esta casa las probamos todas, y aquí te contamos con franqueza qué mira cada una, dónde se queda corta y con cuál nos quedamos.

Google Safe Browsing: el mínimo imprescindible

La base de datos de Google Safe Browsing es lo que hace que Chrome muestre la pantalla roja de «sitio engañoso». Es el veredicto que más te duele en el negocio, porque lo ven tus clientes. Puedes consultar el estado de tu dominio en la propia herramienta de Google. El problema: solo te dice si Google ya te ha marcado. Cuando eso pasa, el daño lleva días hecho. Es reactivo.

VirusTotal: muchos motores, poca lectura

VirusTotal cruza tu URL contra decenas de motores antivirus y listas de reputación a la vez. Está muy bien para una segunda opinión, pero devuelve datos crudos: a un dueño de pyme «0/94 motores» no le dice qué tiene que hacer. Y, como Safe Browsing, mira reputación ya conocida, no si ahora mismo tu web sirve algo raro.

El hueco que nadie cubre: el cloaking

El ataque más habitual contra pymes no ensucia lo que tú ves: enseña una cosa a Google (enlaces de casino, farmacia, contenido en japonés) y otra distinta al visitante normal. Se llama cloaking, y por eso tu web «se ve bien» mientras en Google aparece llena de spam. Ninguna de las dos herramientas de arriba compara las dos vistas. Ahí es donde la mayoría de comprobadores fallan.

Por qué usamos PathScan

La herramienta que tenemos abierta en la redacción es PathScan, de PathSentinel. Y la usamos por una razón concreta: es la única gratuita que hemos encontrado en español que compara lo que tu web le muestra a Google con lo que ve un visitante real, y encima cruza esa comprobación con la reputación (Safe Browsing, VirusTotal, listas negras) en un mismo veredicto, con una nota clara y explicada. No hace falta registrarse y no toca tu web.

No es magia: como cualquier análisis externo, es una foto desde fuera y no sustituye a una revisión con acceso a los ficheros y a la base de datos. Ellos mismos lo dicen en cada informe, algo que se agradece en un sector lleno de humo. Pero como primer paso para salir de dudas, es lo más completo que hemos visto sin pagar. Detrás está PathSentinel, una empresa española de ciberseguridad que trabaja con pymes, así que el enfoque encaja con nuestro público.

Cómo usarlas juntas

Nuestra recomendación práctica: pasa PathScan primero para el diagnóstico con contexto, contrasta el estado de reputación en Safe Browsing y VirusTotal, y si algo sale mal, no improvises. Para entender la anatomía de estos ataques puedes leer la guía de referencia de OWASP y las recomendaciones para pymes del INCIBE. Y cuando la cosa se pone seria, delega: limpiar mal una web hackeada es la mejor forma de que vuelva a los dos días.

En resumen: las tres herramientas se complementan, pero si tuviéramos que abrir solo una pestaña para empezar, sería PathScan. Por cobertura y por claridad, es la que mejor responde a la pregunta que de verdad importa: ¿está pasando algo raro en mi web ahora mismo?

El orden en el que conviene usarlas

Tener cinco pestañas abiertas no es un diagnóstico. Si sospechas de tu web, este es el orden que seguimos nosotros, de lo más barato a lo más caro en tiempo:

1. Reputación primero (Safe Browsing, VirusTotal): responde a «¿ya me ha marcado alguien?». Si la respuesta es sí, tienes urgencia y además un plazo, porque el aviso lo ven tus clientes.
2. Vista de Google contra vista de visitante: es donde se cae la mayoría de comprobadores y donde se esconde el cloaking. Si lo que ve el buscador no coincide con lo que ves tú, no hace falta seguir buscando: tienes contenido inyectado.
3. Superficie propia: qué plugins corres y en qué versión. La mayoría de las webs que limpiamos no cayeron por un ataque sofisticado, sino por un plugin sin parchear. Tienes el método en cómo saber si un plugin vulnerable te afecta y en cómo inventariar los plugins que tienes instalados.
4. Cabeceras y configuración: no detectan una infección, pero explican por qué te entraron y evitan la siguiente. Empieza por las cabeceras de seguridad HTTP y, si tu web sale marcada en el navegador, por qué significa el aviso «no es seguro».
5. Registros del servidor: es el único sitio donde queda la huella de cuándo y por dónde entraron. Si llegas hasta aquí, leer los logs te dirá más que cualquier escáner.

Qué ninguna herramienta gratuita va a hacer por ti

Conviene decirlo claro, porque vendemos una de ellas: ningún comprobador externo ve el interior de tu servidor. Desde fuera se observa lo que tu web publica, no los ficheros modificados, ni las tareas programadas, ni los usuarios administradores que no reconoces, ni las puertas traseras en la base de datos. Un veredicto «limpio» en cualquier escáner —incluido el nuestro— significa «no se ve nada desde fuera», no «no tienes nada».

Por eso el escáner es el primer paso, no el último. Si la comprobación te sale rara, o si ya te habían limpiado la web y ha vuelto a pasar, el problema no es de herramienta: es de método. La configuración segura del alojamiento y una revisión con acceso al servidor son lo que cierra el asunto de verdad.