Google penaliza back button hijacking desde junio 2026

Google penalizará el back button hijacking desde el 15 de junio de 2026

Google ha anunciado una nueva política de spam que entrará en vigor el 15 de junio de 2026 y apunta directamente a una práctica que millones de usuarios sufrían sin saber que tenía nombre: el back button hijacking. Desde esa fecha, los sitios que manipulen el botón de retroceso del navegador para atrapar a los usuarios enfrentarán penalizaciones directas en sus rankings de búsqueda.

Para cualquier founder que opere un sitio web, un SaaS o una tienda online, esta noticia tiene implicaciones concretas: si tienes scripts de terceros en tu web, como redes publicitarias o librerías JavaScript externas, podrías estar en riesgo sin saberlo.

¿Qué es exactamente el back button hijacking?

Es una técnica que manipula la pila de historial del navegador mediante JavaScript para impedir que el usuario regrese a la página anterior cuando pulsa el botón de retroceso. En lugar de volver al resultado de búsqueda o a la página de origen, el usuario queda atrapado en un bucle o es redirigido a una página no deseada, como un anuncio o una landing page.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El mecanismo técnico más habitual usa las funciones history.pushState() o history.replaceState() para insertar entradas falsas en el historial. El patrón clásico funciona así:

El usuario llega a la Página B desde un resultado de Google.
La Página B ejecuta un script que añade entradas duplicadas al historial del navegador.
Al pulsar el botón Atrás, el usuario no regresa a Google — aterriza en una página intermedia falsa que lo devuelve a la Página B.
El bucle se repite hasta que el usuario cierra la pestaña con frustración.

Según fuentes especializadas en seguridad publicitaria, esta práctica es especialmente prevalente en redes de anuncios de bajo coste, donde los publishers monetizan ese tiempo extra de retención forzada. También se ha documentado su uso para manipular Navboost, el sistema de señales de comportamiento de usuario que Google usa internamente para medir la calidad de las páginas.

¿Por qué Google actúa ahora y qué consecuencias hay?

La práctica no es nueva — el experto en SEO Dan Petrovic ya demostró en 2016 cómo el botón de retroceso de Chrome podía explotarse para espiar a usuarios y redirigirlos hacia páginas de competidores. Lo que es nuevo es que Google eleva esta práctica a categoría de spam con consecuencias formales en Search.

Las penalizaciones pueden ser de dos tipos:

Acciones manuales: revisores humanos de Google aplican una demostración o eliminación del sitio de los resultados de búsqueda. Son las más graves porque requieren reconsideración manual para levantarse.
Demociones algorítmicas: el sistema de ranking detecta automáticamente el patrón y reduce la visibilidad del sitio sin necesidad de intervención humana.

Un detalle crítico que Search Engine Journal destacó el mismo día del anuncio: el código de terceros también cuenta. Si una red publicitaria que tienes integrada en tu sitio implementa esta práctica, la penalización recae sobre tu dominio, no sobre el proveedor. Tú eres el responsable de lo que corre en tu web.

¿Tu startup está en riesgo? Señales de alerta y cómo auditarlo

Antes del 15 de junio tienes un margen de casi dos meses. Aquí están los lugares concretos donde buscar problemas:

Event listeners de popstate: busca en tu código o en scripts de terceros instancias de window.addEventListener('popstate', ...) que ejecuten redirecciones.
Uso de history.pushState() o replaceState(): no todo uso es malo — los routers de frameworks como React o Vue los usan legítimamente para navegación interna. El problema está cuando se insertan entradas que no corresponden a ninguna acción del usuario.
Handlers de beforeunload o visibilitychange: algunos scripts usan estos eventos para lanzar redirecciones o modales en el momento en que el usuario intenta salir.
Scripts de redes publicitarias: revisa las condiciones de servicio de tus proveedores de ads. Si no encuentras respuestas claras, usa herramientas como Charles Proxy o la pestaña Network de Chrome DevTools para monitorizar qué hacen sus scripts con el historial del navegador.

La forma más rápida de detectarlo manualmente: abre tu sitio en una ventana de incógnito, navega como un usuario real y pulsa el botón Atrás. Si no regresas a donde esperabas, tienes un problema.

El ángulo que muchos founders van a ignorar: el riesgo de Navboost

Hay una dimensión estratégica en este anuncio que merece atención especial. Durante años, algunos publishers usaron el back button hijacking no solo para retener usuarios, sino específicamente para manipular las señales de Navboost — el sistema interno de Google que mide el comportamiento de usuarios al interactuar con resultados de búsqueda.

La lógica era simple: si el usuario no puede irse fácilmente, pasa más tiempo en la página. Más tiempo en página = señal positiva de engagement = mejor ranking. Era una forma de hackear métricas de comportamiento sin mejorar el contenido real.

Google cierra ahora esa ventana. Y lo hace de manera explícita, lo que sugiere que sus sistemas de detección ya son lo suficientemente precisos como para identificar este patrón a escala. Si tu estrategia de SEO dependía en alguna medida de métricas de sesión infladas artificialmente — por esta u otras razones — este es el momento de replantearla.

¿Qué significa esto para tu startup?

La conclusión práctica es directa: si tu sitio web es un canal de adquisición relevante para tu negocio, necesitas hacer una auditoría de código antes del 15 de junio. No como precaución vaga, sino como tarea concreta en tu sprint.

Dos acciones que puedes implementar esta semana:

Auditoría de JavaScript en 30 minutos: Abre Chrome DevTools (F12), ve a Sources, usa la búsqueda global (Ctrl+Shift+F) y busca los términos pushState, replaceState y popstate. Revisa cada resultado para determinar si es navegación legítima de tu framework o una manipulación del historial.
Auditoría de proveedores third-party: Lista todos los scripts externos que cargas en tu sitio (Google Tag Manager, redes de ads, widgets de chat, herramientas de analítica). Contacta a cada proveedor y solicita confirmación explícita de que no implementan manipulación de historial del navegador. Si no responden antes del 15 de junio, considera desactivarlos temporalmente.

Para startups con equipo técnico reducido o founders no-técnicos, herramientas como Screaming Frog o una auditoría rápida con un freelance SEO de confianza pueden identificar el problema en pocas horas. El coste de no actuar — una penalización manual de Google que puede tardar semanas en resolverse — es considerablemente mayor.

Conclusión

La nueva política de spam de Google contra el back button hijacking es una señal clara de la dirección que está tomando el buscador: priorizar la experiencia real del usuario por encima de cualquier táctica técnica de retención artificial. Para los founders que construyen con intención a largo plazo, esta política no debería cambiar nada; para quienes dependen de scripts de terceros poco transparentes, el reloj ya está corriendo.

Fecha límite: 15 de junio de 2026. Dos meses para auditar, limpiar y proteger el canal de búsqueda orgánica de tu startup.