Escanear página web por virus: cómo revisarla gratis online

Para escanear tu página web por virus basta con pegar la dirección en dos o tres herramientas online gratuitas: Google Safe Browsing, VirusTotal y Sucuri SiteCheck. En un par de minutos sabes si alguien ya marcó tu sitio como peligroso, si carga scripts raros o si tiene enlaces a sitios maliciosos. Lo que estos escáneres no pueden ver es lo que pasa dentro de tu servidor, y eso también lo explicamos aquí.

Cómo escanear tu página web online, paso a paso

Haz los tres escaneos; cada uno usa fuentes distintas y se complementan.

1. Google Safe Browsing (estado del sitio). Entra al informe de transparencia de Google, pega tu dominio y revisa el resultado. Si dice que hay contenido no seguro, Chrome ya muestra la pantalla roja de advertencia a tus visitantes.
2. VirusTotal. En virustotal.com elige la pestaña URL, pega la dirección completa (con https://) y analiza. Verás cuántos motores antivirus la marcan. Uno o dos avisos aislados pueden ser falsos positivos; varios motores coincidiendo es señal seria.
3. Sucuri SiteCheck. En sitecheck.sucuri.net pega tu dominio. Revisa malware visible, si estás en listas negras, si tu software se ve desactualizado y si faltan encabezados de seguridad.
4. Google Search Console. Si ya tienes tu sitio dado de alta, entra a Search Console y busca el informe de Problemas de seguridad (en el menú Seguridad y acciones manuales; el nombre del menú puede cambiar). Ahí Google te dice exactamente qué URL tiene el problema.

Cómo leer los resultados

Resultado	Qué significa	Qué hacer
Todo limpio en las tres	No hay infección visible desde fuera	Sigue con la revisión interna (abajo)
1 motor en VirusTotal	Posible falso positivo	Revisa qué detectó y vuelve a escanear en unos días
Varios motores o Safe Browsing en rojo	Infección o phishing real	Trátalo como hackeo: ve a qué hacer si tu sitio fue hackeado
“Software desactualizado” en Sucuri	No es virus, pero es la puerta más común	Actualiza CMS, plugins y temas
Falta HTTPS o hay contenido mixto	Tu sitio no cifra bien la conexión	Mira cómo arreglar el aviso “No seguro”

Señales de que tu sitio tiene virus aunque el escáner diga que no

Los escáneres externos solo ven lo que se muestra al visitante en ese momento. Muchos códigos maliciosos se esconden: solo aparecen en celular, solo a quien llega desde Google, o solo de vez en cuando. Sospecha si notas:

• Redirecciones a sitios de apuestas, farmacias o “ganaste un premio”, sobre todo desde el celular.
• Páginas en tu sitio que tú no creaste (búscalas en Google con site:tudominio.com).
• Resultados de Google con títulos en japonés, chino o de productos que no vendes.
• Usuarios administradores nuevos que nadie de tu equipo dio de alta.
• Tu proveedor de hosting te suspendió la cuenta o te avisó de “uso excesivo” o envío de spam.
• Archivos con nombres raros (wp-config.bak.php, .ico que en realidad son PHP) o modificados en fechas en que nadie tocó el sitio.

Escaneo interno: lo que debes revisar dentro de tu sitio

Si tu página es WordPress o similar en un hosting compartido:

1. Entra al panel de tu hosting y busca si incluye escáner de malware (muchos lo traen; el nombre varía por proveedor).
2. Instala un plugin de seguridad reconocido y corre su escaneo de archivos contra la versión oficial de WordPress.
3. Revisa la lista de usuarios y borra los que no reconozcas.
4. Actualiza el núcleo, plugins y temas; elimina los que no uses.

Si tu sitio o app la hiciste con Lovable, Bolt, v0 o similar, el riesgo típico no es un “virus” clásico sino datos expuestos: tablas de Supabase sin RLS o llaves en el código del navegador. Ahí un escáner de virus no te sirve de nada. Lo que conviene revisar:

• Que todas tus tablas tengan RLS activado. Te explicamos qué es RLS en Supabase.
• Que no haya llaves secretas en el frontend. Abre tu sitio, presiona F12, ve a Sources y busca textos como service_role, sk_live o secret. Si aparecen, sigue esta guía sobre API keys expuestas.

# Si tienes el código en tu compu, busca llaves que no deberían estar en el frontend
grep -rniE "service_role|sk_live|secret_key|private_key" src/

Errores comunes al escanear tu página

• Escanear solo la página de inicio. El código malicioso suele estar en páginas internas o en archivos que no enlazas. Escanea también tu página de contacto, el blog y el checkout.
• Confiar en un solo escáner. Cada uno usa listas y métodos distintos.
• Borrar el archivo infectado y ya. Si no cierras la puerta por la que entraron (contraseña débil, plugin vulnerable), vuelven en días.
• Pedir la revisión a Google antes de limpiar. Si pides que te quiten la advertencia y sigue habiendo malware, la revisión se rechaza y pierdes tiempo.
• Bajar herramientas “gratis” de sitios dudosos que prometen limpiar tu web. Usa solo las oficiales o las de tu hosting.

Cuándo no hacerlo solo

Si el escaneo sale rojo, si Google ya muestra advertencias o si tu sitio maneja pagos o datos de clientes, lo prudente es que lo revise alguien con experiencia antes de que el problema crezca. Limpiar a medias es peor que no limpiar, porque te da una falsa sensación de seguridad. Para algo más profundo que un escaneo, revisa en qué consiste una auditoría de seguridad web.

En Black Engine revisamos tu sitio o tu app hecha con IA por WhatsApp: te decimos qué encontró el escaneo, qué no ve, y qué hay que corregir primero.