El misterio del «Search Spam» en WordPress: Por qué bots buscan cosas en chino en tu blog en castellano

aunque lo veas así:

/?s= %E3%80%90%E2%94%83%E5%A5%BD%E8%AE%A1%E5%88%922%E2%92%8F7%E2%92%8F01705%7B%EF%BC%B1%E3%80%91%E3%80%91%E6%81%92%E8%BE%BE%E5%A8%B1%E4%B9%90%E7%BD%91%E9%A1%B5%E6%9D%BF

A primera vista, la alarma es inevitable: ¿Me están hackeando? ¿Por qué un bot chino ataca mi sitio en castellano? . Hoy analizamos cómo funciona el Search Spam utilizando un caso real detectado en las estadística de esta misma web.
La traducción de ese texto chino es:

Lo pongo en imagen para no hacer cumplir el objetivo del spammer que no es otro de indexar una página en mi sitio con ese texto.

Captura de pantalla de los registros del servidor donde se aprecia la IP, el User-Agent de SE Ranking y la consulta de búsqueda en chino

Anatomía del rastro: El «culpable» inesperado. Usar a un tercero para el trabajo sucio

Al investigar la dirección IP y el User-Agent (la firma de identidad) del bot que realizaba estas búsquedas en nuestro sitio, nos encontramos con el siguiente registro:

User-Agent: Mozilla/5.0 (compatible; SERankingBacklinksBot/1.0; +https://seranking.com/backlinks-crawler)

Para sorpresa de muchos, SERankingBacklinksBot no es un virus ni un software criminal. Es el rastreador oficial de SE Ranking, una prestigiosa plataforma de optimización SEO utilizada por miles de profesionales en todo el mundo que incluso yo he utilizado pagando su licencia. Su única función es indexar enlaces (backlinks) para nutrir su base de datos.

Entonces, ¿por qué un bot de SEO legítimo está buscando plataformas de apuestas chinas en un blog en español?

¿Cómo funciona el truco del «Search Spam»?

Para entenderlo, debemos mirar el proceso a través de los ojos de un spammer (alguien que promociona sitios fraudulentos de forma masiva). El proceso se divide en tres fases:

1. El anzuelo (Reflected Spam)

La mayoría de los gestores de contenido, como WordPress, generan páginas dinámicas para las búsquedas. Si alguien introduce una palabra en tu buscador, tu web crea una URL única (por ejemplo, tudominio.com/?s=palabra) y muestra en pantalla: «Resultados para: palabra».

Los spammers se aprovechan de esto. Programan scripts automáticos que lanzan miles de búsquedas con sus textos promocionales chinos en miles de webs alemanas, inglesas o españolas.

2. La manipulación del bot de SEO

Una vez que el spammer sabe que tu web genera esa página dinámica con su texto en chino, introduce esa URL exacta (tudominio.com/?s=【┃好计划...) en foros basura, comentarios de spam o webs fantasma por todo internet.

Cuando el bot de SE Ranking (SERankingBacklinksBot) pasa por esas webs basura rastreando enlaces, encuentra la URL que apunta a tu blog. El bot, haciendo su trabajo de forma automática, sigue el enlace y visita tu web para comprobar si existe. Al hacerlo, deja la huella en tu servidor.

[Web Basura con Link Spameado] 
       │
       ▼ (El bot de SE Ranking encuentra el link)
[SERankingBacklinksBot] 
       │
       ▼ (Sigue el enlace para verificarlo)
[Tu Blog en Castellano] ───> Genera registro: ?s=【┃好计划...

También podría ser que haya alguna forma de entrar en SE ranking y pedir que busque X palabras en el sitio tal. No tengo licencia actualmente para buscar esta opción. En este caso estarían usando una forma para que SE Ranking les hiciera el trabajo sucio y no tener que usar ni programación, ni sus IPs. Otra posibilidad es que hubieran falseado el user-agent pero he investigado la IP y corresponde al hosting Hetzner Online GmbH que es el que usa SE Ranking.

3. El objetivo final: Engañar al algoritmo de Google

¿Qué gana el spammer con esto? Si el bot de SE Ranking (o el propio Googlebot) indexa esa URL de búsqueda de tu sitio, la reputación de tu dominio se asociará temporalmente a esas palabras clave en chino. Para los motores de búsqueda, parecerá que tu blog está «hablando» de esa plataforma de apuestas, otorgándole citaciones (enlaces no) y autoridad gratuita a los estafadores.

¿Debo preocuparme ante estás búsquedas en caracteres asiáticos o cirílicos en mi web?

No, tu web no ha sido hackeada. El bot de SE Ranking simplemente ha seguido un enlace malicioso que alguien colocó en otra parte de internet. Tu servidor web está respondiendo con normalidad a una petición pública.

Sin embargo, dejar que estos bots campen a sus anchas puede ensuciar tus analíticas de tráfico, consumir recursos de tu servidor y, en el peor de los casos, confundir a los motores de búsqueda si empiezan a indexar cientos de estas páginas basura.

Cómo frenar este comportamiento en tu web

Si quieres cortar de raíz este problema, puedes aplicar estas soluciones técnicas:

• Diles a los buscadores que no miren ahí: Configura tu plugin de SEO (como Yoast o RankMath) para que añada la etiqueta noindex a todas las páginas de resultados de búsqueda. Si los bots no pueden indexarlas, el truco del spammer deja de funcionar.
• Bloquea caracteres extraños: Puedes añadir reglas en tu archivo .htaccess o mediante plugins de seguridad para que cualquier intento de búsqueda que contenga caracteres no occidentales (como el alfabeto chino o cirílico) sea redirigido automáticamente a una página de error 403 (Acceso denegado).

    
    RewriteEngine On    
    
    # Bloquear caracteres no occidentales en el parámetro de búsqueda (?s=)
    # Esta versión utiliza caracteres individuales clave para evitar errores de servidor
    RewriteCond %{QUERY_STRING} s=.*([精神网络娱乐赌博俄罗]|\%e[4-9]) [NC]
    RewriteRule ^(.*)$ - [F,L]

• Controla los bots desde el archivo robots.txt: Si no quieres que herramientas de SEO de terceros consuman tu ancho de banda con estas búsquedas, puedes añadir una directiva para prohibirles el acceso a los parámetros de búsqueda.

# ==== # BLOQUEO DE BOTS AGRESIVOS O DE SPAM # 
User-agent: SERankingBot 
User-agent: SERankingBacklinksBot 
Disallow: / 
# Amazon (Rastrea masivamente para entrenar IA o scrapear datos) 
User-agent: Amazonbot 
User-agent: AmazonAdBot 
Disallow: / 
# Apple (Rastrea para Apple Maps y Siri, suele ser muy insistente) 
User-agent: Applebot 
User-agent: Applebot-Extended 
Disallow: / 
# PetalBot (El buscador de Huawei, conocido por saturar servidores) 
User-agent: PetalBot 
Disallow: / 
# ByteDance / TikTok (Rastreadores de contenido e IA) 
User-agent: Bytespider 
User-agent: ByteDance 
Disallow: / 


# Ahrefs y Semrush (Herramientas SEO de pago, consumen muchos recursos) 
User-agent: AhrefsBot 
User-agent: SemrushBot 
User-agent: SemrushBot-SA 
Disallow: / 
# DotBot (Rastreador de enlaces comercial muy agresivo) 
User-agent: dotbot 
Disallow: / 
# ==== # PROTECCIÓN EXTRA GENERAL PARA EL BUSCADOR INTERNO #  
User-agent: * 
Disallow: /?s= 
Disallow: /*?s=

En el mundo del desarrollo web, ver tráfico extraño puede asustar, pero la información es poder. Saber que detrás de esa misteriosa frase en chino hay un bot de SEO engañado por un spammer nos permite aplicar la solución correcta sin entrar en pánico.