Seguridad
Cómo proteger el sitio web de tu empresa
Nadie hackea un sitio guatemalteco a propósito: lo hacen programas automáticos que buscan versiones viejas. Las cinco defensas que importan.
Casi nadie hackea un sitio guatemalteco a propósito. Lo que ocurre es más aburrido y más frecuente: programas automáticos recorren internet buscando sitios con una versión vieja de algo, y entran en todos los que encuentran. No les importa a quién pertenecen.
Por eso «somos una empresa pequeña, a quién le vamos a interesar» no es una defensa. La defensa son cinco cosas concretas.
1. El certificado SSL
Es el candado del navegador. Cifra lo que viaja entre el visitante y el servidor, de modo que un formulario de contacto o una contraseña no se puedan leer por el camino.
Hoy es obligatorio en la práctica: sin él, los navegadores muestran un aviso de sitio no seguro que espanta clientes antes de que lean nada. Debe venir incluido en tu servicio y renovarse solo.
2. Las actualizaciones
Si tu sitio usa un gestor de contenido, cada versión nueva corrige fallos que ya son públicos. Ese es el punto: cuando se publica la corrección, también se publica la debilidad, y los programas automáticos salen a buscar quién no actualizó.
Un sitio sin tocar durante dos años no está estable: está esperando turno.
3. Los respaldos
Es lo único que convierte un desastre en un mal rato. Sin respaldo, un sitio comprometido puede significar rehacerlo desde cero y perder años de contenido.
- Que sean automáticos. Los que dependen de que alguien se acuerde no existen.
- Que estén fuera del mismo servidor. Un respaldo guardado junto al sitio se pierde con el sitio.
- Que alguien haya probado restaurar uno. Un respaldo que nunca se probó es una suposición, no un respaldo.
La pregunta correcta a tu proveedor no es si hace respaldos. Es cada cuánto, dónde los guarda y cuánto tarda en devolverte el sitio.
4. Las contraseñas y los accesos
La vía de entrada más común no es un fallo sofisticado: es una contraseña débil o repetida. Y muy de cerca, un usuario administrador que se creó para alguien que ya no trabaja ahí.
- Contraseñas largas y distintas para cada servicio.
- Verificación en dos pasos donde exista, empezando por el correo.
- Revisar una vez al año quién tiene acceso y quitar lo que sobra.
5. El correo, que es el eslabón débil
Se protege el sitio y se olvida el correo, cuando el correo es donde llegan las recuperaciones de contraseña de todo lo demás. Quien controla el correo de la empresa controla la empresa entera.
Cuentas con el dominio propio, en un servidor administrado y con filtro de spam serio. Lo explicamos en qué es un correo corporativo.
Qué hacer si ya pasó
El orden importa. Primero cambiar todas las contraseñas, empezando por el correo. Después restaurar desde un respaldo anterior al problema, no del día siguiente. Y solo entonces actualizar todo, porque si restauras sin actualizar vuelven a entrar por la misma puerta.
Nada de esto requiere que lo hagas tú. Es lo que significa que un hosting sea administrado: las actualizaciones, los respaldos y el certificado corren por nuestra cuenta. Así funciona el hosting.