Seguridad de una web: qué cerrar de antemano y qué hacer en las primeras horas

No te atacan por ser interesante

La objeción más común dice: quién va a molestarse con nosotros, somos una web pequeña. Se apoya en una imagen equivocada de lo que ocurre.

Nadie te elige personalmente. El trabajo lo hacen barridos automáticos: en cuanto los detalles de una vulnerabilidad se hacen públicos, empieza una revisión indiscriminada de todos los sitios. Tu tamaño es irrelevante ahí.

Lo que viene después: páginas ajenas colocadas en tu dominio para revender enlaces, visitantes redirigidos a otro sitio, spam enviado desde tu servidor. Todo silencioso, y te enteras tarde.

Abajo: cómo reconocer lo ocurrido, qué hacer en las primeras horas y por qué la mitad de la defensa consiste en cosas aburridas que nadie hace.

Qué aspecto tiene cuando pasa

Una intrusión casi nunca parece una intrusión. No hay un cartel rojo.

Primera señal: un correo del proveedor de alojamiento sobre exceso de carga o envío de spam. A menudo es así como se enteran los dueños.

Segunda: un aviso junto a tu web en los resultados de búsqueda o en el navegador al entrar. Para entonces el problema ya lo ven tus clientes.

Tercera, la más silenciosa: empiezan a aparecer en los buscadores páginas de tu dominio que tú nunca hiciste. Se comprueba en un minuto: busca tu propia web y mira la lista de páginas.

Y cuarta: la web carga con normalidad desde tu ordenador pero redirige a quienes llegan desde el móvil o desde la búsqueda. Eso se hace a propósito para que el dueño tarde más en notarlo.

Por dónde suelen entrar

Cinco entradas, y las cinco se cierran sin conocimientos especializados.

Extensiones y plantillas desactualizadas. La entrada más común. Una extensión abandonada sigue funcionando y deja de recibir correcciones, y en un año es un agujero conocido.

Contraseñas débiles y reutilizadas. Una contraseña del panel que coincide con la del correo significa que una filtración en un sitio abre el otro.

Una cuenta compartida para todos. Cuando cinco personas usan una contraseña, un exempleado entre ellas, la entrada no se puede rastrear ni el acceso se puede revocar a nadie.

Una copia de pruebas olvidada en el mismo servidor. Nadie la actualiza, y abre camino a los mismos archivos y a la misma base de datos.

Y las subidas de archivos sin restricciones. Un formulario que acepta cualquier archivo y lo deja en una carpeta abierta es una invitación.

Contraseñas y accesos

La mitad de la defensa, y no cuesta dinero.

Cada persona tiene su cuenta con su papel. No debe haber contraseñas compartidas ni en el panel, ni en el alojamiento, ni en el registrador del dominio.

Segundo factor en todas partes donde exista: correo, alojamiento, registrador, panel. Es la única medida que sigue protegiendo incluso después de que se filtre una contraseña.

Un gestor de contraseñas en lugar de un archivo con una lista. Además resuelve la reutilización: una contraseña distinta por servicio, que nadie recuerda porque no hace falta.

Y un procedimiento de salida: la cuenta se desactiva el mismo día en lugar de borrarse, si no el historial de cambios desaparece con ella. Las contraseñas compartidas que esa persona conocía se cambian.

Actualizaciones: Quién va a molestarse con nosotros, somos pequeños se…

La otra mitad de la defensa, y es tan aburrida que no se hace.

Las actualizaciones salen sobre todo para cerrar vulnerabilidades. Entre que los detalles de un agujero se hacen públicos y empiezan los barridos automáticos suelen pasar horas.

La gente se las salta porque a veces una actualización rompe la web. La lógica de si funciona no lo toques se sostiene justo hasta el primer incidente.

El orden correcto elimina casi todo el riesgo: un entorno de pruebas, la actualización ahí, una revisión de los recorridos clave y después producción. Media hora de trabajo.

Y borra lo que no usas. Una extensión desactivada sigue siendo código en el servidor y sigue siendo vulnerable. Vale la pena repasar la lista cada seis meses.

Las copias son la última línea

Todo lo anterior reduce la probabilidad. Una copia determina lo que cuesta el suceso si aun así ocurre.

Una copia en el mismo servidor que la web no es una copia de seguridad: cuando el servidor se compromete, la copia también.

Hacen falta dos: una en el proveedor y otra tuya, en otro sitio. La segunda se hace automáticamente y se descarga con regularidad.

La profundidad de retención importa más que la frecuencia. Una intrusión no se descubre de inmediato, y una copia de hace una semana puede contener ya el implante. Guarda copias de al menos un mes atrás.

Y prueba la restauración. Una copia nunca restaurada no cuenta como operativa. Cada trimestre despliégala en un entorno de pruebas y confirma que la web levanta.

Las primeras horas

El orden de actuación cuando ya ha pasado. El orden importa más que la velocidad.

Primero: no borres nada. Haz una copia completa del estado actual de la web y de los registros, comprometidos como están. Sin ella no sabrás cómo entraron y cerrarás la puerta equivocada.

Segundo: cambia contraseñas, todas, empezando por el alojamiento y el registrador del dominio y no solo el panel. Y revoca las sesiones activas donde sea posible.

Tercero: retira la web tras una página de mantenimiento mientras dure el trabajo. Dejarla en pie e infectada cuesta más que perder un día de disponibilidad.

Cuarto: avisa al proveedor de alojamiento. Tiene registros que tú no tienes y a menudo ve el punto de entrada más rápido.

Y quinto, el olvidado: si se expusieron datos de clientes, adquieres obligaciones de notificación que varían según el país. Es una pregunta para un abogado y hay que hacerla el primer día, no al final de la investigación.

Cómo recuperarse

La tentación de limpiar y seguir es fuerte, y casi siempre lleva a una repetición.

Hay una vía fiable: desplegar una copia limpia hecha demostrablemente antes del incidente y aplicar actualizaciones. No limpiar la versión infectada: suele haber varios implantes y se te escapará uno.

El contenido añadido después de la fecha de la copia se traslada a mano y de forma selectiva, no restaurando por encima.

Tras la recuperación, rota todas las claves y tokens de integración: pasarela de pago, envíos de correo, servicios externos. Contraseña cambiada con clave de acceso intacta es el motivo más común de una segunda entrada.

Y pide un nuevo rastreo en las consolas de búsqueda si aparecieron páginas ajenas. Esas mismas consolas tienen un informe de problemas de seguridad que enseña si el aviso se ha retirado.

Para que no se repita

Una revisión posterior al incidente que lleva una hora y vale más que la propia recuperación.

Responde por escrito a tres preguntas: cómo entraron, cuánto tiempo pasó desapercibido y qué impidió notarlo antes.

La tercera es la valiosa. La respuesta suele ser que nadie estaba mirando. Lo que hace falta entonces no es más defensa sino un aviso.

El conjunto mínimo de avisos: una notificación de carga del proveedor, el informe de problemas de seguridad de la consola de búsqueda y una comprobación simple de que la portada responde y contiene el texto que debe.

Y nombra a alguien responsable de las actualizaciones, con un hueco en el calendario. La seguridad es trabajo recurrente y no una configuración de una vez.

Conexiones seguras

Apartado corto, porque esto lleva mucho tiempo resuelto.

Un certificado le corresponde a cualquier web, no solo a las que cobran. Sin él el navegador muestra un aviso, y la mitad de los visitantes se va antes de terminar de leerlo.

Hoy es gratuito y se renueva solo casi en todas partes. Se rompe exactamente en un caso: cuando la renovación automática dejó de funcionar en silencio.

Así que ponte un recordatorio trimestral para revisar la caducidad. Son treinta segundos, y la consecuencia de un certificado caducado es una web que parece comprometida estando perfectamente bien.

Y confirma que toda la web se sirve solo por la dirección segura y que la insegura redirige. El modo mixto produce avisos en páginas sueltas, y quienes los encuentran suelen ser los clientes.

Una lista de una hora

Diez puntos que cierran la mayoría de las entradas habituales.

Cada persona tiene su cuenta y no hay contraseñas compartidas.

El segundo factor está activo en correo, alojamiento, registrador y panel.

Las contraseñas no se reutilizan entre servicios.

Todas las extensiones y plantillas están actualizadas y las que no se usan, borradas.

Las copias de pruebas están retiradas del servidor de producción.

Hay una copia fuera del servidor del proveedor y se ha restaurado al menos una vez.

La retención de copias llega al menos a un mes atrás.

El certificado es válido y se renueva automáticamente.

Hay avisos configurados en el proveedor y en la consola de búsqueda.

Y hay alguien nombrado responsable de las actualizaciones, con fecha en el calendario.