Seguridad web para pymes: SSL, copias y accesos

Que protege el certificado SSL y que no

El certificado SSL cifra los datos que viajan entre el navegador del visitante y tu servidor, y eso es todo lo que hace. Evita que alguien conectado a la misma red wifi lea lo que un cliente escribe en tu formulario de contacto, pero no impide que entren por un plugin desactualizado.

Sin SSL, Chrome y Firefox muestran el aviso No es seguro junto a la direccion de la web. Para alguien que acaba de llegar desde Google y no te conoce, ese aviso es motivo suficiente para cerrar la pestaña.

La mayoria de alojamientos incluyen certificados gratuitos de Let's Encrypt, que caducan cada 90 dias y se renuevan solos cuando el hosting tiene activada la renovacion automatica. Merece la pena confirmarlo una vez al año, porque un certificado caducado tumba la web entera con una pantalla roja de advertencia.

Instalar el certificado no termina el trabajo. Quedan tres cosas por comprobar:

• Que todo el trafico de http redirige a https, incluidas las paginas antiguas y las imagenes.
• Que no aparecen avisos de contenido mixto, es decir, imagenes o scripts cargados todavia por http dentro de una pagina segura.
• Que la version con https es la que figura en Google Search Console y en los enlaces de tus perfiles sociales.

Si estas montando o rehaciendo tu web, esto se resuelve de una vez durante el desarrollo del sitio en lugar de ir parcheando avisos meses despues.

Actualizaciones: el agujero mas comun

La mayoria de webs de empresa que acaban infectadas no las ha atacado nadie en persona: un robot ha encontrado un plugin con una vulnerabilidad publicada y la ha explotado en masa. Actualizar es, con diferencia, la medida que mas ataques evita por menos dinero.

WordPress instala solo las actualizaciones menores del nucleo, esas que llevan un tercer numero como 6.5.2. Las versiones mayores, los plugins y la plantilla siguen dependiendo de que alguien entre y pulse el boton.

Una rutina razonable para una pyme es revisar actualizaciones cada dos semanas y hacer una copia de seguridad justo antes de aplicarlas. Si la web factura o recibe pedidos, prueba primero en una copia de pruebas que ofrecen casi todos los hostings decentes.

Presta atencion especial a estos casos:

• Plugins abandonados. En el repositorio de WordPress se indica cuando se actualizo por ultima vez cada plugin. Si han pasado mas de doce meses, busca alternativa.
• Plantillas y plugins de pago sin licencia activa. Sin licencia no recibes actualizaciones de seguridad, aunque el plugin siga funcionando.
• Copias pirata. Las versiones gratuitas de plugins de pago descargadas fuera del sitio oficial suelen llevar codigo añadido.

Desinstala y borra lo que no uses. Un plugin desactivado sigue siendo codigo en el servidor y sigue siendo atacable.

Copias de seguridad que de verdad sirven

Una copia de seguridad solo cuenta cuando la has restaurado al menos una vez y has visto que la web vuelve a funcionar. Hasta ese momento tienes un archivo, no un plan de recuperacion.

La copia tiene que incluir dos cosas: los archivos (plantilla, plugins, imagenes subidas) y la base de datos (textos, paginas, pedidos, usuarios). Con solo una de las dos partes no se recupera nada.

La frecuencia se decide por cuanto trabajo estas dispuesto a perder. Una web corporativa que cambia una vez al mes se apaña con copias semanales; una tienda con pedidos diarios necesita copias diarias como minimo.

Guarda al menos una copia fuera del hosting, en Google Drive, Dropbox o un disco de la oficina. Si el problema es la cuenta del hosting (impago, borrado accidental, acceso comprometido), las copias que viven dentro de esa misma cuenta desaparecen con ella.

Conserva un historico de unos 30 dias. Muchas infecciones pasan semanas sin dar señales, y si solo guardas la copia de ayer, esa copia ya viene infectada.

Apunta en un documento donde estan las copias, quien puede acceder a ellas y cuales son los pasos para restaurar. El dia que haga falta, probablemente no sera la persona que las configuro quien tenga que usarlas.

Contraseñas y verificacion en dos pasos

La regla practica es una contraseña distinta y larga para cada servicio, guardada en un gestor. Repetir la misma clave en el hosting, el correo y WordPress significa que una sola filtracion abre las tres puertas.

Gestores como Bitwarden, 1Password o KeePass generan y recuerdan las contraseñas por ti, y permiten compartirlas con el equipo sin mandarlas por WhatsApp ni dejarlas escritas en un correo. Un correo con la clave del hosting se queda archivado en el buzon durante años.

Activa la verificacion en dos pasos en los tres sitios que importan: el panel del hosting, el registrador del dominio y el correo corporativo. En WordPress se añade con un plugin de doble factor. Con el segundo factor activo, una contraseña robada por si sola ya no sirve para entrar.

Evita el usuario admin como nombre de acceso en WordPress. Es el primero que prueban los ataques automaticos, y con el ya solo les falta acertar la contraseña.

Cuando alguien deja la empresa o termina un encargo, cambia las claves compartidas ese mismo dia. No es desconfianza, es higiene: esa persona ya no tiene por que poder entrar.

Quien tiene acceso a tu web ahora mismo

Haz una lista de todas las personas que pueden entrar hoy en tu web, tu hosting, tu dominio y tu correo. En la mayoria de pymes esa lista tiene mas nombres de los esperados y alguno lleva años sin trabajar con la empresa.

En WordPress, cada persona debe tener su propio usuario con el rol minimo que necesite. Los roles estandar van de menos a mas permisos: Suscriptor, Colaborador, Autor, Editor y Administrador.

• Administrador: puede instalar plugins, cambiar la plantilla y borrar usuarios. Reservalo para una o dos personas.
• Editor: publica y edita cualquier contenido, pero no toca la configuracion.
• Autor: publica solo su propio contenido. Es el rol adecuado para quien escribe en el blog.

Elimina los usuarios que ya no participan en lugar de dejarlos desactivados, y revisa la lista cada tres meses. Es una tarea de cinco minutos.

Comprueba tambien a nombre de quien esta el dominio. Debe figurar la empresa como titular, no el informatico ni la agencia que lo contrato en su dia; si no es asi, pide el cambio de titularidad por escrito. Aqui explicamos como se relacionan el dominio y el hosting y por que conviene tener control directo de ambos.

El correo corporativo forma parte de la seguridad

El correo es la llave maestra: quien controla tu buzon puede pedir el restablecimiento de contraseña de casi cualquier otro servicio. Por eso el correo de empresa merece la misma atencion que la web.

Usar una cuenta gratuita de Gmail o Hotmail para la actividad profesional complica dos cosas: dar de baja a un empleado sin perder su historial y demostrar a los clientes que el remitente es quien dice ser. Con correo corporativo con tu dominio las cuentas se crean, se suspenden y se recuperan desde un panel de administracion.

Configura los registros SPF, DKIM y DMARC de tu dominio. Son ajustes tecnicos que indican a los servidores que reciben tu correo cuales son los remitentes autorizados, y dificultan que alguien envie mensajes haciendose pasar por tu empresa.

Explica al equipo el fraude mas repetido contra pymes: un correo que aparenta venir de un proveedor conocido y avisa de un cambio de numero de cuenta. La norma interna deberia ser confirmar siempre por telefono cualquier cambio de datos bancarios, con el numero que ya teniais guardado.

Rutina minima de mantenimiento al año

La seguridad de una web pequeña se sostiene con tres rutinas, no con un producto. Estas son las tareas y cada cuanto tocan.

Cada dos semanas:

• Aplicar actualizaciones de WordPress, plugins y plantilla, con copia previa.
• Abrir la web en el movil y en el ordenador para confirmar que sigue cargando bien y con el candado.

Cada tres meses:

• Revisar la lista de usuarios de la web, el hosting y el correo, y borrar los que sobran.
• Comprobar que las copias de seguridad se estan generando y que ocupan un tamaño coherente.
• Restaurar una copia en un entorno de pruebas al menos una vez al año.

Una vez al año:

• Verificar la renovacion automatica del certificado SSL y la del dominio.
• Confirmar la titularidad del dominio y los datos de contacto asociados.
• Retirar plugins que ya no se usan o que llevan mas de doce meses sin actualizarse.

Si nadie de tu equipo va a hacer esto de forma constante, delegalo en un mantenimiento contratado y pide un informe mensual con lo que se ha actualizado y el estado de las copias. Puedes contarnos como esta tu web y te decimos que falta antes de tocar nada.

Preguntas frecuentes