Black Hat SEO: qué es, qué penaliza Google y cómo salir

Actualizado el 25 de agosto de 2026 · Escrito y verificado por Josué Pérez Suay, CEO de OrbitaClick

Si buscas «black hat seo» esperando un catálogo de técnicas de 2010 —texto blanco sobre fondo blanco, granjas de enlaces, cloaking artesanal—, este artículo te va a decepcionar. Eso ya casi no se hace y Google lo caza sin despeinarse.

Lo que sí se hace, y lo que está costando tráfico a PYMEs con webs sanas, viene facturado y con contrato de doce meses. Esta es una guía defensiva: para reconocer el riesgo, no para ejecutarlo.

El black hat ya no lo hace el listo del foro: lo vende una agencia con web bonita

El estereotipo del sombrero negro es un tipo anónimo manipulando el algoritmo desde un sótano. La realidad de 2026 es más aburrida y más peligrosa: servicios empaquetados, con dossier en PDF y comercial que llama los martes.

«Contenido a escala con IA». «Notas de prensa con enlace en medios de autoridad». «Un dominio caducado con backlinks». «Una sección monetizada dentro de tu web». Las cuatro son, según Google, prácticas de spam. Ninguna lo parece cuando te la cuentan.

Qué considera Google «spam» y por qué «penalización» casi nunca es la palabra

Google define el spam como «las técnicas que se utilizan para engañar a los usuarios o manipular nuestros sistemas de Búsqueda para que destaquen contenido». Hoy incluye también manipular las respuestas de la IA generativa.

El matiz que cambia el diagnóstico: «Detectamos prácticas que infringen las políticas a través de sistemas automatizados y, si es necesario, mediante una revisión humana que puede dar lugar a una acción manual». La mayoría del spam se neutraliza sola, en silencio, sin castigo formal.

Cuando alguien dice «me han penalizado», casi siempre quiere decir «he bajado». Ni es lo mismo ni se arregla igual. Lo ampliamos en cómo saber si tu web está penalizada por Google.

Las políticas de spam que de verdad afectan a una PYME

Las políticas de spam listan dieciséis prácticas. La mayoría no te rozará nunca. Estas sí aparecen en empresas normales, con la frase comercial que las acompaña.

Abuso de contenido a gran escala: el problema nunca fue la IA

Es la política peor entendida del sector. Google la define como generar muchas páginas «con la finalidad principal de manipular el posicionamiento de los resultados de búsqueda en lugar de ayudar a los usuarios», con una coletilla decisiva: «independientemente de cómo se haya creado».

Escribir con IA no es una infracción. Publicar volumen sin valor sí, lo haya escrito una IA, un becario o un plugin. Ejemplos oficiales: generar páginas con IA sin aportar valor, raspar feeds o resultados de búsqueda, combinar contenido ajeno y crear varios sitios para disimular la escala.

El test es sencillo: coge diez artículos del último trimestre. Si no sabes qué pregunta de un cliente real responde cada uno, tienes un problema de volumen. Usamos IA en SEO a diario, pero para investigar y estructurar, nunca para llenar.

Abuso de la reputación del sitio: la política que pilla a empresas honradas

Si solo lees una sección, que sea esta: es la única que castiga a empresas que no han hecho nada malo salvo firmar un acuerdo que parecía razonable.

La definición oficial: «se publica contenido de terceros en un sitio anfitrión principalmente debido a los factores de posicionamiento que ya tiene ese sitio, que se han ganado principalmente a partir de su contenido propio».

El escenario típico: una empresa con veinte años de dominio recibe una oferta. Alguien quiere publicar una sección dentro de su web —comparativas de préstamos, casinos, cupones— y paga bien. El anfitrión no escribe nada: cede el espacio y cobra. Eso es lo prohibido.

Qué NO es abuso de la reputación del sitio

Google es igual de explícito con lo que queda fuera, y conviene saberlo antes de borrar media web:

• ✅ Servicios de noticias y publicaciones que sindican contenido de otras.
• ✅ Foros y comentarios: sitios diseñados para alojar contenido de usuarios.
• ✅ Columnas, artículos de opinión y obras de naturaleza editorial.
• ✅ Publirreportajes pensados para el lector, no para posicionar.
• ✅ Enlaces de afiliado tratados de forma adecuada y bloques de anuncios de terceros.

Un matiz que casi nadie explica: Google mide de forma independiente las secciones marcadamente distintas del contenido principal. Si una subsección pierde tráfico al dejar de beneficiarse de las señales del dominio, eso no es una penalización: la miden por separado, como un sitio autónomo.

Abuso de dominio caducado: el «dominio con autoridad» que te quieren vender

El argumento es hipnótico: «este dominio tiene diez años y enlaces de universidades; lo redirigimos al tuyo y te ahorras dos años». Es una política de spam con nombre propio.

Google la define como comprar y reutilizar un dominio «para manipular el posicionamiento en los resultados de búsqueda alojando contenido que aporta poco o ningún valor a los usuarios». Sus ejemplos: afiliación en el dominio de un organismo público, productos médicos en el de una ONG, casinos en el de un colegio.

Comprarlo no es sancionable por sí solo: lo que persigue la política es el uso, reciclar reputación ajena para contenido que no la merece. Si lo rediriges al tuyo, no compras autoridad: importas historial. Antes de tocar redirecciones, mira cómo se hace una migración web.

Esquemas de enlaces: qué es exactamente «comprar enlaces» según Google

Aquí no hay ambigüedad: la documentación enumera los casos. Es spam de enlaces, entre otros:

• ❌ Intercambiar dinero por enlaces, o por publicaciones que los contengan.
• ❌ Usar programas o servicios automáticos para crear enlaces hacia tu sitio.
• ❌ Intercambiar productos o servicios por enlaces, o enviar producto a cambio de reseña con enlace.
• ❌ El exceso de intercambio: «enlaza con mi sitio y yo enlazaré con el tuyo».
• ❌ Publicidad nativa y anuncios editoriales pagados con enlaces que posicionan, incluidos artículos invitados y notas de prensa.
• ❌ Enlaces en widgets distribuidos, o sembrados en pies de página y plantillas.
• ❌ Obligar a enlazar en los términos del servicio sin dejar que el tercero califique el enlace.

Y la parte que ningún vendedor te cuenta, literal: «Google entiende que la compra y la venta de enlaces son actividades económicas normales en la Web si se realizan con fines publicitarios y de patrocinio. No se considera una infracción tener estos enlaces siempre que estén calificados con rel="nofollow" o rel="sponsored"».

Pagar por un enlace no está prohibido. Pagar por un enlace que transmita posicionamiento sí. La diferencia son doce caracteres de HTML, y por eso nadie que venda enlaces por su poder de posicionar te los pone.

nofollow, sponsored y ugc: la diferencia real entre los tres

Tres valores, tres significados, y casi todo el mundo usando el primero para todo:

Se pueden combinar: rel="ugc nofollow" es válido, con espacios o comas. Y no son un candado: Google avisa de que las páginas enlazadas pueden encontrarse por sitemaps o enlaces de terceros y acabar rastreadas igual. Si tu gestor de contenidos no te deja elegir el valor, es un asunto de soporte web, no una limitación de WordPress.

Acción manual o ajuste algorítmico: no se ven igual ni se arreglan igual

Una acción manual la aplica una persona de Google que ha revisado tu sitio: «parte o la totalidad del sitio no aparece en los resultados de búsqueda», y te avisan en el informe «Acciones manuales» y en el centro de mensajes de Search Console. Un ajuste algorítmico no se notifica: no es un castigo, es una recalibración.

Antes de dar nada por penalizado, descarta lo aburrido. La guía oficial para depurar caídas enumera cuatro causas: actualización algorítmica, estacionalidad, problema técnico y error en los informes. Sobre las actualizaciones avisa de algo para enmarcar: «es posible que no haya nada intrínsecamente incorrecto en tu contenido».

Cómo se sale de una acción manual, paso a paso

Si el informe te la confirma, el procedimiento está documentado y no admite atajos.

1. Abre el detalle y anota el alcance. Google muestra los patrones de páginas afectadas o «Afecta a todas las páginas». Si hay varias acciones, se resuelven todas.
2. Lee el tipo de infracción y su enlace «Más información». Cada acción manual tiene sus propias medidas recomendadas. No improvises con lo leído en un foro.
3. Corrige el problema en todas las páginas afectadas. Google es tajante: arreglarlo solo en algunas «no significa que vayas a volver a aparecer parcialmente en los resultados de búsqueda».
4. Comprueba que Google puede acceder a esas páginas. Nada de login, muro de pago, robots.txt bloqueado ni noindex. Usa la inspección de URLs.
5. Pulsa «Solicitar revisión» y cumple los tres requisitos oficiales. Explica con exactitud el problema de calidad, describe los pasos llevados a cabo para solucionarlo y documenta el resultado. Las tres cosas, con pruebas.
6. Espera sin reenviar. «Las solicitudes de reconsideración pueden tardar entre varios días y varias semanas en revisarse», y las de enlaces más. Recibirás un correo al enviarla y otro al terminar.

¿Y si el problema lo has heredado?

Pasa constantemente: compras un negocio con su web o heredas un dominio maltratado. Google contempla el caso: corrige los problemas y después indica en la solicitud que has adquirido el sitio hace poco y que ya no infringe las políticas.

Si el origen fue un hackeo, primero contención y limpieza, después reconsideración. Ahí entra la desinfección y recuperación de WordPress: enviar la solicitud con el sitio aún infectado solo quema un ciclo de revisión.

Gray hat: la zona intermedia y por qué nosotros no entramos

El gray hat es lo que no está prohibido de forma explícita pero se diseña con la misma intención que lo prohibido: intercambios pactados por privado, publirreportajes que nunca llevan sponsored, redes de blogs propias que fingen ser medios, reseñas incentivadas sin declarar.

El argumento siempre es «todo el mundo lo hace y no pasa nada». Es cierto hasta que deja de serlo, y entonces el coste no lo paga quien lo vendió. Nuestro criterio no es moral, es de riesgo: no metemos en la web de un cliente nada que no podamos explicarle por escrito a Google en una reconsideración.

Errores y banderas rojas: cómo detectar que te lo están haciendo a ti

No necesitas saber SEO técnico para detectar a un proveedor que está apostando tu dominio. Solo saber qué preguntar.

La bandera roja más fiable no está en la tabla: si no eres el propietario administrativo de tu dominio, tu hosting y tus cuentas de medición, no tienes una agencia, tienes un rehén. En OrbitaClick los accesos son del cliente desde el día uno: es lo que permite auditar esto en una tarde.

Qué medir cada mes para no enterarte tarde

Sin medición no hay entregable. Cinco controles, diez minutos, y ningún caso formal se te escapa.

Preguntas frecuentes sobre black hat SEO

Escrito y verificado por

Josué Pérez Suay, CEO y fundador de OrbitaClick, agencia de marketing digital en Alicante desde 2018. Citado en 25 artículos de Computer Hoy como fuente experta.

Ver perfil profesional y CV completo