URLs raras en Search Console: el index.php que engaña a Google

En mayo de 2025 un compañero vio en Search Console que a la tienda de un cliente (PrestaShop 1.7.8.11) le habían salido de golpe URL extrañas detrás del dominio. Daban 404 en el navegador, los escáneres de malware no encontraban nada y en los registros no había rastro. Un mes después, el mismo compañero dio con la causa: un index.php modificado que enseña otra web solo a los buscadores.

Las primeras pistas

Rekire le dio tres ideas para empezar:

• Que la tienda esté limpia para las IP de España e infectada para el resto. Por eso los escáneres no ven nada: prueba la web con una VPN desde otro país.
• Que estén metiendo enlaces masivamente desde otras webs hacia tu dominio.
• Que sea spam pensado para que entres a mirar esas URL.

El caso que lo explicó

En junio, revisando a fondo, encontró un bloque de código al principio del index.php de la raíz. Lo describimos sin reproducirlo:

1. Lee el user agent de quien visita.
2. Si contiene googlebot, bingbot, slurp, yandexbot, ahrefsbot, inspection (la herramienta de inspección de Google) o similares, descarga una página de un dominio ajeno y la muestra en lugar de la tienda.
3. A cualquier otro visitante lo deja pasar a PrestaShop con normalidad.

Es cloaking: tú ves tu tienda y Google ve otra cosa. Además habían conseguido verificar la propiedad del dominio en Search Console subiendo el fichero HTML de verificación, y habían instalado un tema sin activarlo, para no levantar sospechas. Gustavo había visto lo mismo con un cliente meses antes, con ficheros copiados también en la carpeta de administración.

En agosto salió otro caso: tras un acceso indebido subieron ficheros de verificación de Google y Google acabó indexando URL extrañas de la tienda.

Cómo comprobarlo en tu tienda

• Mira la tienda como la ve Google. En Search Console, la inspección de URL con prueba en directo enseña el HTML que recibe Googlebot. Si no es tu tienda, ya lo tienes.
• Haz lo mismo desde la consola, con el agente de Googlebot:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://www.tutienda.com/ | head -n 40

Ojo: si el código malicioso comprueba también la IP, desde tu servidor verás la tienda normal. La prueba de Search Console es la que vale.

• Compara index.php con el original de tu versión exacta, descargado del GitHub de PrestaShop. El de la raíz tiene pocas líneas: cualquier añadido se ve enseguida.
• Busca ficheros PHP que mencionen bots:

grep -rl --include="*.php" -i "googlebot" . | grep -v "^./vendor/"

• En Search Console, revisa Ajustes → Usuarios y permisos. Para quitar a un propietario verificado que no conozcas, borra primero su token de verificación (el fichero google*.html de la raíz que no hayas subido tú, o su etiqueta meta o registro DNS) y después quítale el acceso. Si dejas el token, puede volver a verificarse.

Después de limpiar

• Restaura los ficheros originales y busca por dónde entraron: un módulo vulnerable, una contraseña de FTP o un acceso al back-office.
• Cambia todas las contraseñas: hosting, FTP, base de datos y empleados.
• Pide a Google que vuelva a rastrear las URL buenas y retira las basura con la herramienta de retirada de URL de Search Console.

El mismo compañero resumió lo que se estaba viendo esas semanas: las infecciones habían mejorado mucho con la IA, y algunas ya no se notan a simple vista.

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación