Para escanear tu sitio web en busca de malware de forma gratuita puedes usar herramientas como Sucuri SiteCheck, VirusTotal o Google Safe Browsing — solo introduces la URL y en segundos obtienes un diagnóstico. Si el escáner externo no encuentra nada pero sigues sospechando, un escáner a nivel de servidor (como MalDet o los que ofrecen algunos paneles de hosting) revisa los archivos directamente.
En esta guía encontrarás las mejores herramientas gratuitas, cómo interpretar sus resultados y qué hacer si detectan una infección.
Señales de que tu sitio puede estar infectado
Antes de escanear, identifica si ya hay indicios de problema:
- Google muestra un aviso de "Este sitio puede dañar tu equipo" en los resultados de búsqueda.
- Tu proveedor de hosting suspendió la cuenta por actividad maliciosa.
- Los visitantes reportan redireccionamientos a páginas extrañas o publicidad no solicitada.
- Ves archivos o usuarios en el panel de administración que no recuerdas haber creado.
- El sitio carga muy lento sin razón aparente (posible minería de criptomonedas).
- Search Console reporta URLs de spam indexadas en tu dominio.
Cualquiera de estos síntomas es razón suficiente para lanzar un escáner de inmediato.
Herramientas gratuitas para escanear tu sitio web
1. Sucuri SiteCheck
URL: sitecheck.sucuri.net
Es el escáner externo más completo del mercado. Analiza el HTML renderizado de tu sitio en busca de código malicioso conocido, compara tu dominio contra listas negras de Google, McAfee, PhishTank y otras, y revisa si hay spam inyectado en el contenido visible.
Limitación: al ser externo, no ve los archivos PHP del servidor — solo lo que el navegador (o el robot) ve. Si el malware está dormido o actúa solo para ciertos visitantes, puede escapar.
2. VirusTotal
URL: virustotal.com
Introduce tu URL y VirusTotal la analiza con más de 90 motores antivirus y de reputación web simultáneamente. Útil para una segunda opinión rápida cuando Sucuri no encuentra nada pero Google muestra alertas.
3. Google Safe Browsing
URL: transparencyreport.google.com/safe-browsing/search
Verifica si tu dominio está en la lista negra de Google directamente. Esta es la lista que genera el aviso rojo en Chrome y los avisos en los resultados de búsqueda — si estás aquí, necesitas limpiar el sitio y solicitar una revisión en Search Console.
4. MalCure WebScan
Alternativa útil para sitios WordPress. Revisa plugins, temas y archivos del núcleo en busca de modificaciones no autorizadas comparando firmas conocidas.
5. Plugin Wordfence (WordPress)
Si tu sitio corre en WordPress, Wordfence Free incluye un escáner a nivel de servidor que compara cada archivo del core, plugins y temas contra las versiones oficiales del repositorio de WordPress. Detecta modificaciones, backdoors y inyecciones de código que los escáneres externos no pueden ver.
| Herramienta | Tipo | Qué detecta | CMS requerido |
|---|---|---|---|
| Sucuri SiteCheck | Externo | Malware visible, listas negras | Ninguno |
| VirusTotal | Externo | Reputación, 90+ motores | Ninguno |
| Google Safe Browsing | Externo | Lista negra de Google | Ninguno |
| Wordfence Free | Servidor (plugin) | Archivos modificados, backdoors | WordPress |
| MalCure WebScan | Externo | Firmas de malware conocidas | WordPress recomendado |
Cómo interpretar los resultados
No todos los resultados son iguales. Algunas pautas para leerlos correctamente:
- "Clean" en todos los motores: buen indicio, pero no es garantía absoluta. El malware reciente puede no estar en las bases de datos todavía.
- 1-2 motores marcan como sospechoso: suele ser un falso positivo, especialmente con scripts de publicidad legítima. Verifica en Sucuri y Google Safe Browsing para contrastar.
- 3 o más motores o Google marca el sitio: tómalo como confirmación — el sitio está comprometido.
- Código ofuscado detectado: busca cadenas como
eval(base64_decode(...))odocument.write(unescape(...))en los archivos PHP o JS — son firmas clásicas de malware inyectado.
Qué hacer si encuentras malware
Si el escáner confirma una infección, actúa en este orden:
- Toma una copia del sitio infectado (sin activarla) para análisis forense posterior.
- Cambia todas las contraseñas: hosting, FTP, base de datos, panel de administración y correo electrónico asociado al dominio.
- Restaura desde un respaldo limpio anterior a la infección si tienes uno.
- Si no tienes respaldo, elimina manualmente los archivos maliciosos identificados y reinstala el core del CMS desde cero.
- Actualiza el CMS, todos los plugins y temas a sus versiones más recientes.
- Solicita una revisión en Google Search Console si tu sitio fue marcado como peligroso.
Para protección continua — no solo limpieza puntual — considera un servicio de hosting con monitoreo de seguridad activo que detecte amenazas antes de que afecten a tus visitantes.
Explora más sobre protección web en nuestra sección de seguridad SSL y web.
Conclusiones clave
- Sucuri SiteCheck y VirusTotal son el primer paso: rápidos, gratuitos y sin instalación.
- Los escáneres externos solo ven lo que el navegador ve — para detectar backdoors en el servidor necesitas un escáner de archivos (Wordfence, MalDet).
- Si Google marca tu sitio, actúa de inmediato: cada hora de retraso aumenta el daño a tu posicionamiento y la confianza de los visitantes.
- La limpieza sin cambiar contraseñas y actualizar el software es temporal — volverán a infectar el sitio.
- Un respaldo reciente es el mejor seguro: permite restaurar en minutos en lugar de limpiar durante horas.
¿Tu sitio ya fue marcado o quieres protegerlo antes de que ocurra? Descubre los planes de hosting seguros de elenlace.com con monitoreo y respaldos diarios incluidos.
Preguntas frecuentes
¿Con qué frecuencia debo escanear mi sitio?
Como mínimo una vez al mes si no tienes monitoreo automático. Si corres una tienda en línea o manejas datos de clientes, lo recomendable es escanear semanalmente o activar un escáner continuo a nivel de servidor. Los ataques automatizados no tienen horario.
¿Sucuri SiteCheck puede escanear sitios con contraseña o detrás de un login?
No directamente — los escáneres externos analizan solo las URLs públicas. Para el contenido detrás de autenticación necesitas un escáner instalado en el servidor (como Wordfence en WordPress) que tenga acceso directo al sistema de archivos.
¿El malware en mi sitio puede infectar a mis visitantes?
Sí. Los tipos más comunes de infección que afectan a los visitantes incluyen drive-by downloads (descarga de malware al visitar la página), formularios de phishing inyectados y redireccionamientos a sitios fraudulentos. Por eso es urgente actuar en cuanto un escáner confirma una infección.
¿Puedo escanear un sitio que no es mío?
Con herramientas públicas como Sucuri SiteCheck o VirusTotal sí, porque solo analizan el contenido público accesible desde cualquier navegador. Estas herramientas están pensadas precisamente para que cualquier persona pueda verificar la reputación de un sitio antes de visitarlo.
Recursos útiles
Otros proveedores y guías que vale la pena comparar:
