Seguridad web para negocios: copias, SSL y sustos

La seguridad de una web de negocio no es un tema de informáticos paranoicos: es que un día entras y en lugar de tu página hay publicidad de pastillas, o directamente no hay nada. Y casi siempre pasa lo mismo: nadie actualizaba, la contraseña era la de siempre y la última copia de seguridad era de hace ocho meses.

Nadie va a por ti personalmente. Los ataques son automáticos: programas que recorren internet buscando webs con un agujero conocido. Por eso lo básico protege tanto — no hace falta ser experto, hace falta no ser el objetivo fácil.

Lo primero de todo: las copias de seguridad

Si solo vas a hacer una cosa de esta lista, que sea esta. Una copia reciente convierte un desastre en una tarde mala.

Tres condiciones para que una copia sirva:

1. Automática. Lo que depende de que alguien se acuerde, no ocurre.
2. Fuera del propio servidor. Si la copia vive en el mismo sitio que la web, el mismo problema se lleva las dos.
3. Probada. Una copia que nunca has restaurado es una copia que no sabes si funciona. Pruébala una vez al año, aunque sea en un entorno de pruebas.

Frecuencia razonable: diaria si vendes online, semanal si es una web de presentación que cambia poco, y siempre una copia manual antes de tocar nada gordo. Guarda al menos un mes de histórico, porque hay problemas que no se detectan el mismo día.

El certificado SSL: obligatorio, y gratis

El candado del navegador (HTTPS) no es un adorno. Sin él, el navegador avisa de que el sitio «no es seguro» —y ahí se te va media visita—, los formularios viajan sin cifrar y Google lo tiene en cuenta.

Hoy casi todos los alojamientos lo incluyen gratis con renovación automática. Dos cosas que revisar:

• Que se renueve solo. Un certificado caducado da un aviso a pantalla completa que asusta más que un error 500.
• Que todo el sitio vaya por HTTPS, sin imágenes o scripts colgando de direcciones antiguas.

Contraseñas y accesos: por donde entran de verdad

La mayoría de webs comprometidas no se «hackean» con técnicas sofisticadas: alguien prueba usuarios y contraseñas hasta acertar, o entra con la contraseña que se filtró en otro sitio.

• Nada de admin como usuario. Es el primero que prueban.
• Contraseñas largas y distintas en el panel, el alojamiento, el correo y el gestor de dominios. Un gestor de contraseñas lo resuelve en una tarde.
• Verificación en dos pasos en todo lo que la permita. Es la medida que más ataques corta de golpe.
• Un usuario por persona, y borrar los de quien ya no trabaja contigo. El acceso del diseñador de hace tres años sigue abierto en más webs de las que imaginas.
• Cuidado con los accesos que das a terceros. Si una agencia necesita entrar, que tenga su propio usuario con los permisos justos.

Actualizaciones: el 90 % de los sustos

Los ataques automáticos buscan versiones antiguas con agujeros ya conocidos y publicados. Si tu web va con WordPress o similar:

• Actualiza el gestor, la plantilla y los plugins al menos una vez al mes.
• Quita lo que no uses. Un plugin desactivado sigue siendo un archivo en tu servidor. Menos piezas, menos riesgo.
• Instala solo de fuentes oficiales. Las plantillas «premium gratis» descargadas de sitios raros vienen con regalo dentro más veces de lo que crees.
• Actualiza también la versión de PHP del servidor. Las versiones sin soporte no reciben parches.

Si tu web es un desarrollo a medida moderno, este apartado es más ligero, pero las dependencias también se actualizan. Es parte de lo que se paga en un mantenimiento web y una de las razones para revisar cada cuánto renovar la web.

El dominio y el correo, que también cuentan

Dos puntos ciegos habituales:

• La renovación del dominio. Si caduca, la web y el correo desaparecen el mismo día. Renovación automática activada y tarjeta al día. Y que el dominio esté a tu nombre, no al de quien te hizo la web: es tuyo o no lo es.
• La suplantación de tu correo. Que nadie pueda enviar correos haciéndose pasar por tu dominio se arregla con tres registros técnicos que además mejoran tu entregabilidad: te lo explico en SPF, DKIM y DMARC.

Qué hacer si ya ha pasado

Si tu web está comprometida, por orden:

1. Ponla en mantenimiento o desconéctala. Si está repartiendo virus, cada visita es un problema mayor.
2. Cambia todas las contraseñas: panel, alojamiento, FTP, base de datos y correo.
3. Restaura la copia limpia más reciente anterior al problema.
4. Actualiza todo antes de volver a publicar. Si restauras y no tapas el agujero, vuelve a pasar en días.
5. Revisa en Search Console si Google ha marcado el sitio; hay un apartado de problemas de seguridad donde se pide la revisión una vez limpio.
6. Si había datos de clientes, mira tus obligaciones: puede haber que notificar la brecha. El contexto general está en RGPD y cookies en una web española.

Y si no te ves capaz, no vayas probando cosas: cada intento a ciegas complica la recuperación.

La lista mínima, para revisar hoy

• Copia automática, fuera del servidor y probada
• HTTPS activo en todo el sitio y renovación automática
• Verificación en dos pasos en panel, alojamiento y dominio
• Usuarios revisados, sin admin y sin gente que ya no está
• Todo actualizado y lo que no se usa, borrado
• Dominio a tu nombre y con renovación automática
• Alguien concreto responsable de mirar esto una vez al mes

Media hora al mes. Comparado con reconstruir una web perdida, sale barato — y evita el tipo de fallo que hace que una web espante a los clientes justo cuando más los necesitas.

En resumen

Copias que funcionen, HTTPS, dos pasos, actualizaciones al día y un responsable. Con eso evitas la inmensa mayoría de los sustos, porque los ataques van a por el que lo tiene fácil. Si prefieres no estar pendiente, lo llevamos nosotros dentro de diseño y desarrollo web en Zaragoza. Más artículos prácticos en la categoría de Web y, si quieres que revisemos cómo está la tuya, escríbenos.