Google Ads suspendió tu cuenta por malware: cómo limpiar tu WordPress y recuperarla

Abres Google Ads y tus anuncios están rechazados con el motivo “Software malicioso”, o directamente la cuenta aparece suspendida. Las campañas se paran y, con ellas, los contactos. Lo primero que conviene saber: casi nunca es un problema de Google Ads, sino de tu web. Google ha detectado código malicioso en la página a la que llevan tus anuncios y deja de enviar tráfico allí para proteger a los usuarios.

La buena noticia es que tiene arreglo. Te cuento cómo lo resuelvo cuando me llega un caso así, en el orden en que lo hago.

Qué significa el aviso de malware en Google Ads

Google revisa las páginas de destino de tus anuncios. Si encuentra software malicioso (redirecciones a otras webs, scripts que descargan archivos, código inyectado que muestra contenido de terceros), aplica su política de software malicioso o no deseado: rechaza los anuncios que llevan a ese dominio y, en casos graves o repetidos, suspende la cuenta.

En WordPress, la causa suele ser una de estas:

• Un plugin o tema desactualizado con una vulnerabilidad conocida.
• Un plugin o tema “nulled”, es decir, una versión pirata de uno de pago. Suelen venir con código malicioso de serie.
• Contraseñas débiles o un usuario administrador que ya no se usa.
• Un hosting compartido donde otra web infectada contamina la tuya.

Paso 1: confirma que tu web está infectada

Antes de tocar nada, comprueba qué ve Google:

1. Search Console → Seguridad y acciones manuales → Problemas de seguridad. Si Google ha detectado malware, aparece aquí con ejemplos de URLs afectadas.
2. Estado del sitio en Google Safe Browsing. En el Informe de transparencia de Google puedes consultar si tu dominio está marcado como peligroso.
3. Mira la web como un visitante nuevo: en una ventana de incógnito, desde el móvil y entrando desde Google. Muchas infecciones solo redirigen a quien llega desde un buscador o desde el móvil, y el administrador logueado no ve nada raro.

Paso 2: haz una copia antes de limpiar

Aunque esté infectada, haz una copia completa de archivos y base de datos. Si algo sale mal durante la limpieza, podrás volver atrás, y además te sirve para analizar qué pasó.

Paso 3: encuentra y elimina el malware

Este es el orden que sigo:

1. Escanea la web con un plugin de seguridad como Wordfence, o con el escáner de malware de tu hosting. Te señalará archivos modificados y código sospechoso.
2. Compara el núcleo de WordPress con el original. Si tienes WP-CLI, wp core verify-checksums te dice qué archivos de WordPress se han modificado. Lo más limpio es reinstalar el núcleo desde Escritorio → Actualizaciones → Reinstalar.
3. Revisa los plugins y el tema: borra los que no uses, reinstala el resto desde su fuente oficial y elimina sin dudar cualquier versión pirata.
4. Busca archivos PHP en la carpeta de subidas (wp-content/uploads). Ahí solo debería haber imágenes y documentos; un .php en esa carpeta es casi siempre malicioso.
5. Revisa .htaccess y wp-config.php en busca de redirecciones o código que no reconozcas.
6. Revisa los usuarios administradores y borra los que no conozcas.
7. Busca contenido inyectado en la base de datos: entradas o páginas que no has creado, enlaces ocultos o scripts en el contenido.

Si no estás seguro de haberlo limpiado todo, es mejor pedir ayuda: una limpieza a medias vuelve a infectarse en días y Google tarda más en confiar en una web reincidente.

Paso 4: cierra la puerta para que no vuelva a entrar

• Cambia todas las contraseñas: WordPress, hosting, FTP, base de datos y correo.
• Renueva las claves de seguridad de wp-config.php (las “salts”), para cerrar las sesiones abiertas.
• Actualiza WordPress, plugins y tema a la última versión.
• Activa la verificación en dos pasos para los administradores.
• Programa copias de seguridad automáticas fuera del servidor.

Te explico más medidas en mi guía de seguridad en WordPress.

Paso 5: pide la revisión a Google

Cuando la web esté limpia:

1. En Search Console, en Problemas de seguridad, marca que lo has solucionado y solicita una revisión, explicando qué encontraste y qué hiciste.
2. En Google Ads, ve al Administrador de políticas, localiza los anuncios rechazados por software malicioso y pulsa apelar o solicitar revisión. Si la cuenta está suspendida, la apelación se hace desde el aviso de suspensión.

Las revisiones suelen tardar desde unas horas hasta unos días. Si Google vuelve a encontrar malware, la siguiente vez será más estricto, así que no pidas la revisión hasta estar seguro de que todo está limpio.

Cómo evitar que vuelva a pasar

Casi todas las infecciones que he limpiado tenían algo en común: nadie estaba actualizando la web. Un mantenimiento WordPress con actualizaciones revisadas, copias diarias y vigilancia de seguridad cuesta bastante menos que una semana con las campañas paradas.

Y si inviertes en publicidad, revisa también que tus conversiones se midan bien: te explico cómo en medir conversiones de Google Ads en WordPress.

¿Tienes la cuenta suspendida ahora mismo? Escríbeme: limpio la web, la protejo y te acompaño en la revisión con Google. Como consultor de Google Ads y desarrollador WordPress, conozco los dos lados del problema.