Cuando se trata de aprovechar al máximo tu sitio web, hay un aspecto que se descuida con demasiada frecuencia: la seguridad. No dejarías abierta tu tienda física durante toda la noche, así que tampoco deberías arriesgarte a dejar tu sitio web sin protección.
Las ciberamenazas son un problema grave y constante, tanto si eres un particular como si tienes una pequeña empresa o una compañía global.
Año tras año, el malware, las filtraciones de datos y otras formas de ciberdelincuencia se disparan. Un estudio reveló que los ciberataques aumentaron un 38 % en 2022. Y esa tendencia no muestra señales de revertirse.
Para protegerte frente a las ciberamenazas, primero tienes que saber a qué te enfrentas. Desde los conceptos básicos para gestionar tus defensas hasta servicios como Jetpack Security que automatizan el proceso, este artículo cubre todo lo que necesitas para proteger el trabajo que tanto te ha costado realizar.
Por qué es importante la seguridad del sitio web
Imagina despertarte y encontrarte con una escena de pesadilla: alguien ha vulnerado tu sitio.
Puede que lo hayan desfigurado por completo, lo hayan llenado de spam o malware, o quizá haya desaparecido por completo, dejando solo un servidor vacío y páginas en blanco que indican dónde estaba.
El resultado no cambia según cuál sea realmente tu sitio web: es tu medio de vida, tu fuente de ingresos o un proyecto personal que has creado poniendo en él todo tu corazón y tu esfuerzo.
Si tienes una audiencia amplia, su información personal podría estar en riesgo, o sus ordenadores podrían infectarse con malware sin que sepan siquiera por qué.
Para los propietarios de negocios, es aún peor. Una brecha puede afectar catastróficamente a la imagen de tu marca, detener por completo las ventas, hacer que tu audiencia pierda la confianza en ti y en cualquier oportunidad futura que pudieras tener con ella, o incluso provocar una demanda y acciones legales en tu contra.
Por desgracia, la mayoría de las personas cree que nunca les pasará y no actúa para proteger su sitio web. Pero lo cierto es que la mayoría de los ciberataques no están dirigidos a objetivos concretos. Proceden de bots que recorren la web en busca de sitios con cualquier vulnerabilidad de seguridad.
Un estudio descubrió que el 57 % de todos los ciberataques contra el comercio electrónico los provocan bots. Y esa cifra aumenta constantemente a medida que evolucionan las ciberamenazas. Cuando una filtración de datos cuesta una media de 9,48 millones de dólares, si almacenas datos confidenciales, no puedes permitirte no hacer nada.
Si entiendes cómo funcionan estas amenazas y tomas medidas por tu cuenta, puedes mitigar cualquier posible daño o evitar que lleguen a producirse problemas.
Amenazas habituales para la seguridad de los sitios web
Desde el ransomware y el spam hasta los ataques de DDoS, hay muchas formas en las que los ciberdelincuentes pueden elegir atacar tu sitio web.
Sus motivaciones son variadas: pueden querer robar las credenciales de los usuarios, conseguir enlaces entrantes gratuitos para sus sitios de spam o simplemente tumbar tu sitio web por malicia. Lo importante es entender los métodos que emplean y cómo puedes detenerlos.
1. Malware y ransomware
Malware —el término breve y general para referirse a un conjunto de programas dañinos— es una amenaza grave. Probablemente ya conozcas muchos de ellos, como los virus, gusanos, troyanos y programas espía. Y, al igual que tu ordenador personal, los servidores que alojan tu sitio web y almacenan tus datos también deben estar protegidos.
De lo contrario, tus datos corren el riesgo de dañarse, eliminarse o filtrarse, y tu sitio web podría convertirse en una fábrica de propagación de malware que afecte a miles de personas.
Un tipo de malware especialmente dañino se denomina ransomware. Este cifra los archivos de tu sitio web y exige dinero a cambio de liberarlos. Si no pagas en unos días, los datos suelen eliminarse. Y, por desgracia, muchas personas sí pagan. Es el tipo de ciberataque más común en todo el mundo (el 68 % de los ciberataques solo en 2022).
El malware y el ransomware pueden entrar en tu sitio web e infectarlo de muchas formas, pero algunas de las más habituales son a través de plugins y temas vulnerables y de software obsoleto.
2. Ataques de fuerza bruta
Los ataques de fuerza bruta son un método muy rudimentario y a menudo eficaz para «adivinar» las contraseñas de los usuarios y obtener acceso no autorizado a un sitio web. Este tipo de ciberataque suele consistir en utilizar una botnet (un programa automatizado) para introducir o «adivinar» contraseñas de forma sistemática hasta dar con la correcta.
En cuanto un hacker descifra tu contraseña única y se infiltra en tu sitio, puede empezar a causar estragos. Ya sea robando datos, desfigurando tu sitio web, eliminando archivos o utilizando sus privilegios de administrador para bloquearte el acceso y hacerse con el control total, el juego ha terminado.
Y no solo están en riesgo las cuentas de administrador. Incluso los roles de usuario de nivel inferior pueden dar a un hacker el control suficiente para hacer lo que quiera. O una vulnerabilidad puede permitirle desplazarse lateralmente hasta acceder a una cuenta de administrador.
Este tipo de ataques suele aprovechar contraseñas débiles, predeterminadas o fáciles de adivinar. Con suficiente tiempo y el método de ataque adecuado, cualquier contraseña, por segura que sea, puede acabar descifrándose.
A menos, claro está, que utilices medidas de seguridad que impidan los ataques de fuerza bruta. Técnicas como la autenticación de dos factores, limitar los intentos de inicio de sesión y obligar a todo el mundo a usar contraseñas extremadamente seguras pueden ser muy eficaces para mantener a raya a los hackers.
3. Inyección de SQL
La inyección de SQL ha sido una amenaza habitual para la seguridad de WordPress durante años. Este tipo de ataque puede manipular las consultas de la base de datos de un sitio web que utiliza una base de datos SQL, lo que permite a un hacker acceder a información que no tiene permiso para ver. Después puede insertar, actualizar o eliminar datos a su antojo.
Imagina un formulario de contacto en tu sitio web. Si una página o un script no desinfecta correctamente los datos introducidos y permite que cualquiera actualice los datos de tu sitio, los hackers pueden enviar código para inyectar SQL en tu base de datos. ¿Cuál es el resultado? Desde la filtración o modificación de datos hasta la toma de control total de la base de datos.
La mejor forma de evitar la inyección de SQL es desinfectar los datos introducidos en los formularios y las subidas de archivos. Pero incluso si los hackers consiguen vulnerar cuentas a través de este vector, las defensas de control de acceso y gestión de usuarios ayudan a reducir el impacto de estos ataques.
4. Secuencias de comandos entre sitios (XSS)
El cross-site scripting (XSS) sigue siendo una amenaza para la ciberseguridad que pone en riesgo tanto a los visitantes como a los propietarios de sitios web. XSS permite a los hackers insertar scripts maliciosos directamente en una página web. Los scripts pueden acceder a información del lado del cliente (del navegador), además de llevar a cabo muchos otros ataques.
Estos scripts pueden secuestrar sesiones de usuarios, robar información confidencial y credenciales de usuario o, simplemente, desfigurar tu sitio web.
A pesar de los avances en la seguridad web, las vulnerabilidades de XSS persisten principalmente debido a prácticas de programación poco seguras y a la falta de validación de entradas.
Para protegerte frente a este tipo de ataques, debes adoptar buenas prácticas de programación y solo instalar plugins que también las sigan. ¿No quieres preocuparte por trabajar con código? Puedes instalar un plugin de seguridad que se encargue de todo por ti.
5. Denegación de servicio distribuida (DDoS)
A diferencia del malware común, los ataques DDoS son especialmente insidiosos porque no necesitan entrar en tu sitio web para causar el caos.
Cualquiera que tenga los recursos puede decidir lanzar un ataque DDoS contra tu sitio web, saturando tu servidor o red con una avalancha de tráfico falso para dejarlo inaccesible en cuestión de milisegundos.
En un ataque DDoS, una red de dispositivos comprometidos, o «botnet», lanza un ataque total contra un objetivo concreto: tu sitio web. Al bombardearlo con más tráfico del que el servidor puede procesar, somete tu servidor a una carga inmensa, lo ralentiza hasta casi detenerlo o lo bloquea por completo.
Sus motivaciones son variadas. Puede que quieran un rescate para detener el ataque o que, simplemente, les caigas mal. Por suerte, aunque son baratos y fáciles de lanzar, los ataques DDoS también requieren mucho dinero y recursos para mantenerse, por lo que son poco frecuentes y suelen durar poco: no más de unos días o una semana.
Pero eso sigue siendo tiempo suficiente para irritar a tus usuarios, dañar tu buena reputación y hacerte perder mucho dinero.
Para defenderte de los ataques DDoS, deberías instalar un firewall de aplicaciones web fiable con limitación de solicitudes e IA para distinguir el tráfico malicioso del legítimo. También deberías instalar una CDN, ya que incluye protección contra DDoS.
6. Spam de SEO
Cuando un atacante entra en tu sitio web, normalmente lo sabrás enseguida. O bien te bloquea el acceso a tu cuenta o desfigura todas las páginas con mensajes desagradables y código malicioso.
El spam de SEO es algo diferente: los atacantes utilizan tu sitio web para perjudicar a otras personas. Lo hacen mediante un ataque discreto contra tu sitio web para manipular las posiciones en los buscadores, e intentan activamente evitar que los detecten.
Los hackers aprovechan las vulnerabilidades de tu sitio web para insertar enlaces ocultos, palabras clave y otro contenido. Utilizan estos elementos para aprovechar la autoridad que ya tiene tu sitio en SEO y mejorar la clasificación en los buscadores de sitios maliciosos. Como este tipo de ataques suele estar oculto, pueden pasar meses hasta que notes los daños.
Al final, Google penaliza los sitios que hacen trampas maliciosamente de esta forma y, poco después, tu sitio también recibirá una penalización. Descenderá rápidamente hasta el final de los resultados de búsqueda y, cuando los usuarios hagan clic en los enlaces llenos de spam y virus que se promocionan desde tu sitio, tu credibilidad y reputación se verán perjudicadas.
Unos controles sólidos de acceso de usuarios y auditorías periódicas del sitio web minimizarán, por suerte, los daños que pueden causar quienes generan spam SEO.
Fundamentos de la seguridad de sitios web
Si gestionas cualquier tipo de sitio web, tendrás que establecer una serie de fundamentos de seguridad. Vamos a explorar los pilares clave de la seguridad de sitios web: los aspectos esenciales, como elegir un alojamiento seguro e instalar una CDN.
1. Elige un proveedor de alojamiento fiable
La seguridad comienza por elegir un proveedor de alojamiento fiable con una infraestructura segura.
Da igual cuántas medidas implementes para proteger tu sitio web: si tu proveedor de alojamiento deja una puerta abierta debido a una infraestructura mal protegida, ofrecerá una vía importante para la infiltración de malware y todo tu esfuerzo no habrá servido de nada.
Revisa las medidas de seguridad que tiene implementadas el proveedor de alojamiento. ¿Dispone de un cortafuegos de aplicaciones web integrado para protegerte frente a los ataques?
Además de sus propias medidas de seguridad, ten en cuenta su historial. ¿Cuántas veces han sufrido una brecha de seguridad? ¿Qué protecciones han implementado para evitar que vuelva a ocurrir?
En lo que respecta a la seguridad de los sitios web, debes tener en cuenta que la obligación de mantener tu sitio seguro recae tanto en ti como en tu proveedor de alojamiento. No te equivoques: puede que tengas mucha responsabilidad, pero tu proveedor de alojamiento también debe asumir la parte que le corresponde.
2. Mantén actualizado todo el software y los plugins
Lo más sencillo que puedes hacer por tu sitio de WordPress es mantenerlo todo actualizado.
WordPress, PHP y el resto del software necesario para gestionar un sitio web se mejoran continuamente. A medida que se descubren vulnerabilidades de seguridad, las actualizaciones proporcionan parches para que ya no puedan aprovecharse.
Como propietario de un sitio, el mayor error que puedes cometer es no aplicar una actualización. Haz que comprobar y aplicar las actualizaciones (o activar su ejecución automática) de todo el software, incluido el siguiente, sea una prioridad constante:
- El núcleo de WordPress
- Todos los plugins de WordPress
- Los temas de WordPress
- Tu versión de PHP y el sistema operativo del servidor
Recuerda que un alto porcentaje de los ciberataques está completamente automatizado. Los bots analizan sitios indiscriminadamente en busca de vulnerabilidades conocidas del software y aprovechan cualquiera que no se haya parcheado. ¡No dejes que te ocurra a ti!
3. Cambia la configuración predeterminada de tu CMS
Uno de los pasos más sencillos (aunque a menudo se pasa por alto) para mejorar la seguridad de un sitio web es cambiar la configuración predeterminada del CMS. Actualmente, WordPress está bien protegido de forma predeterminada, pero hay algunas cosas que quizá quieras hacer:
- Cambia el nombre de usuario predeterminado. Una de las cosas en las que se basan los ataques de fuerza bruta es en no tener que adivinar el nombre de usuario del administrador predeterminado: simplemente es «admin». Cámbialo por otro (que no sea tu nombre, tu nombre de usuario ni algo que se pueda adivinar) y reducirás considerablemente el riesgo de que te pirateen mediante un ataque de fuerza bruta.
- Cambia la URL de la página de inicio de sesión. Los ataques de fuerza bruta suelen tener éxito porque la página de inicio de sesión de la mayoría de las instalaciones de WordPress es la misma. Si se trata de un intento automatizado, el bot normalmente desistirá después de probar algunas URL obvias. También puedes restringir el acceso para permitirlo únicamente desde tus direcciones IP o las de tus colaboradores de confianza.
- Activa las actualizaciones de WordPress. Las actualizaciones automáticas de WordPress vienen activadas de forma predeterminada, pero si tienes una instalación antigua (algo que no debería ocurrir si mantienes todo actualizado), asegúrate de que las actualizaciones de los plugins y del núcleo estén activadas.
- Cambia el prefijo predeterminado de las tablas de WordPress. Esto dificulta que los atacantes puedan dirigirse al conocido prefijo wp_.
- Desactiva la edición de archivos desde el escritorio. Editar archivos desde el escritorio de WordPress resulta muy práctico, pero también facilita mucho que un hacker destroce tu sitio si consigue entrar.
- Oculta la versión de WordPress que utilizas. Oculta esta información para que los hackers no puedan aprovechar fácilmente las vulnerabilidades conocidas de versiones concretas de WordPress.
- Cambia los permisos de los archivos. Si conoces los permisos de archivos de Linux, quizá quieras revisar los permisos de tu sitio y asegurarte de que nada sea demasiado accesible.
- Desactiva la ejecución de PHP en directorios en los que los usuarios puedan escribir. Esto permite que tus plugins sigan funcionando y, al mismo tiempo, frena a los atacantes que suben archivos maliciosos e intentan ejecutarlos.
Con unos pequeños ajustes en la configuración, puedes reducir considerablemente el riesgo de sufrir brechas de seguridad.
4. Instala un certificado SSL en todo el sitio
Un certificado SSL cifra los datos transmitidos entre el navegador de un usuario y el servidor de tu sitio web, e impide que terceros malintencionados accedan a ellos o los intercepten sin autorización.
No solo es fundamental proteger tu sitio web con un certificado SSL para proteger los datos confidenciales (y puede que sea obligatorio por ley si gestionas algo que procesa datos confidenciales, como los inicios de sesión de usuarios o los datos de tarjetas de crédito), sino que el uso de HTTPS en todo el sitio garantiza que todos los datos (desde las credenciales de inicio de sesión hasta la información de pago y los datos personales) estén cifrados durante la transmisión.
Aunque no gestiones información de ese tipo, es imprescindible. A menudo, la gente no se siente cómoda sin ello. Los navegadores anuncian claramente la ausencia de un certificado SSL con un gran símbolo de advertencia rojo. Además, Google penaliza los sitios que carecen de un certificado SSL.
Instalar uno suele ser bastante sencillo, y tu proveedor de alojamiento o registrador de dominios a menudo te proporcionará un certificado SSL gratuito. Después de instalarlo, solo tienes que asegurarte de que las URL de tu sitio web estén configuradas para usar HTTPS en lugar de HTTP, para garantizar conexiones seguras en todo el sitio.
5. Instala una CDN
Una red de distribución de contenido, o CDN, puede mejorar considerablemente el rendimiento y la seguridad de tu sitio web. Las CDN son redes de servidores distribuidos por todo el mundo, diseñadas para ofrecer contenido a tus usuarios con mayor rapidez.
Esto tiene implicaciones para la seguridad, como resulta evidente. Una amenaza concreta que las CDN saben contrarrestar muy bien es la de los ataques DDoS, en los que un sitio web es pirateado al inundarlo con demasiado tráfico.
Las CDN frustran estos ciberataques incesantes distribuyendo la carga entre muchos servidores distintos, en lugar de hacer que un solo sitio web soporte todo el impacto.
En el caso de tu sitio web, una CDN puede ser especialmente útil, ya que muchas CDN incluyen excelentes funciones de seguridad adicionales, como cortafuegos de aplicaciones web y mitigación de bots.
Instalar una CDN normalmente solo requiere registrarse en el servicio y configurar los ajustes de DNS para dirigir el tráfico a través de la red del proveedor de CDN. Algunos plugins, como Jetpack, incluso incluyen una CDN específica para WordPress que puedes utilizar.
Control de acceso y gestión de usuarios
Una vulnerabilidad habitual que los hackers intentan aprovechar es un control deficiente del acceso de los usuarios. Aunque la cuenta de administrador esté muy bien protegida, entrar en una cuenta de nivel inferior puede proporcionarles la ventaja que necesitan para hacerse con el control del sitio.
Por eso, necesitarás políticas estrictas de control de acceso y limitar los permisos de los usuarios.
Estas son cinco formas de mejorar el control de acceso y la gestión de usuarios para aumentar la seguridad:
1. Implementa políticas y prácticas de contraseñas seguras
Los visitantes son la base de tu sitio y a menudo quieren utilizar las credenciales de inicio de sesión más sencillas posibles. Sin embargo, no exigirles que utilicen contraseñas seguras podría permitir incluso a un hacker inexperto dejar tu sitio fuera de servicio para todo el mundo. Las contraseñas débiles o fáciles de adivinar suponen un gran riesgo de seguridad, ya que pueden proporcionar acceso no autorizado al área de administración de tu sitio web.
Especialmente para usuarios con roles y capacidades de alto nivel, como aquellos que pueden editar directamente tu sitio, no solo debes fomentar, sino exigir contraseñas seguras, complejas y difíciles de adivinar. Cuanto más complicadas, mejor. Evita palabras, frases o patrones comunes y fáciles de adivinar. Utiliza una combinación larga de letras mayúsculas, minúsculas, números y símbolos que no se base en información disponible para otras personas en Internet.
También puedes implementar políticas de caducidad de contraseñas para que, una vez que una contraseña quede comprometida, se sustituya rápidamente.
2. Exige la autenticación de dos factores (2FA)
Implementar la autenticación de dos factores en todas las cuentas de usuario esenciales puede detener las brechas de seguridad de inmediato. Aunque un atacante tenga la contraseña de un usuario, aún necesitaría acceder al método de autenticación secundario para poder entrar.
Entre los métodos populares de autenticación de dos factores se incluyen los códigos basados en el tiempo, que suelen enviarse a un correo electrónico o teléfono secundario, y aplicaciones de autenticación como Google Authenticator o Authy. Algunos servicios llegan incluso a exigir una huella dactilar u otro identificador biométrico.
La función de Jetpack para la autenticación segura permite exigir que inicies sesión con una cuenta de WordPress.com y que la cuenta de WordPress.com utilice la autenticación de dos factores. En los sitios adecuados de WordPress, es una forma práctica de añadir este nivel de protección a muchos sitios de WordPress.
3. Ten cuidado con los roles y permisos de usuario
En WordPress, los roles de usuario restringen el acceso a varias funciones de tu sitio web, como la posibilidad de añadir páginas nuevas o editar las existentes.
Al asignar roles específicos a los usuarios y definir sus permisos, puedes asegurarte de que cada persona tenga el nivel de acceso adecuado en función de sus responsabilidades.
WordPress ofrece varios roles de usuario predefinidos:
- Administrador principal. Tiene acceso de administrador completo a todos los sitios web de una instalación multisitio.
- Administrador. Tiene control total sobre un único sitio web.
- Editor. Puede crear, editar y publicar entradas.
- Autor. Puede crear, editar y publicar únicamente sus propias entradas.
- Colaborador. Puede crear y editar sus propias entradas, pero no publicarlas.
- Suscriptor. Puede dejar comentarios y cambiar su perfil de usuario.
Además, puedes crear roles personalizados o editar los roles existentes para que tengan distintas capacidades. Algunos plugins también pueden añadir sus propios roles o nuevas funciones que puedes activar o desactivar para cada uno.
Asignar los roles adecuados ayuda a limitar el acceso a datos confidenciales y evita que alguien que obtenga acceso no autorizado a un rol de bajo nivel pueda causar demasiados daños.
4. Limita los intentos de inicio de sesión
Limitar el número de veces que un usuario puede intentar iniciar sesión —y fallar— es una excelente forma de proteger tu sitio.
En última instancia, tú decides cuánto dura un bloqueo, cuántas solicitudes se realizan, cuántas solicitudes hacen falta para bloquear una IP concreta y si el bloqueo de una cuenta específica se levantará únicamente cuando 2FA esté activada; esta función está incluida en algunos plugins.
5. Usa conexiones seguras para transferir archivos (SFTP o SSH)
En algún momento, probablemente necesitarás editar los archivos de tu sitio web. Aunque FTP (protocolo de transferencia de archivos) es rápido y sencillo, deja todos los datos que transmites sin cifrar y al alcance de cualquiera que quiera interceptarlos.
Esto puede incluir las credenciales de inicio de sesión de FTP, los archivos del sitio web y los ajustes de configuración; acceder a ellos facilitaría enormemente que los hackers se infiltraran en tu sitio web.
Para evitarlo, utiliza SFTP (protocolo seguro de transferencia de archivos) o SSH (shell seguro; acceso mediante línea de comandos) al gestionar archivos en la administración de tu sitio. Estos protocolos cifran los datos durante la transmisión y los protegen para que no puedan verse ni interceptarse.
Para utilizar SFTP o SSH para transferir archivos, tendrás que configurar tu cliente o servidor FTP para que admita estos protocolos. La mayoría de los alojamientos web también ofrecen esta posibilidad.
Análisis en tiempo real y copias de seguridad
A pesar de todos tus esfuerzos, el malware aún puede infiltrarse. Cuando algo sale mal, el análisis en tiempo real puede detectar una intrusión, mientras que las copias de seguridad permiten recurrir a una copia anterior si el malware consigue dañar tu sitio.
1. Configura un plugin de seguridad o un sistema de supervisión
No deberías gestionar tu sitio web sin un plugin de seguridad o una plataforma de supervisión. Debe supervisar continuamente la actividad sospechosa de los usuarios en tiempo real, los intentos fallidos de inicio de sesión, el malware y otros indicadores de riesgo.
Jetpack Scan supervisará tu sitio las 24 horas del día, los 7 días de la semana, y te enviará alertas instantáneas si algo parece ir mal. Para eliminar la mayoría de las amenazas, solo tienes que hacer clic una vez para solucionarlo. Scan también incluye un firewall de aplicaciones web y está disponible por separado o como parte del paquete Jetpack Security que incluye Jetpack Backup y Akismet, entre otras funciones.
La mayoría de los alojamientos web también ofrecen supervisión de seguridad integrada, que detecta el malware a nivel del servidor y los ataques de fuerza bruta, complementando las medidas de seguridad de la capa de aplicación.
Asegúrate de revisar con frecuencia los registros de auditoría de seguridad que recibes de las herramientas y los plugins para detectar cualquier indicio de problemas que la automatización no haya señalado.
2. Instala un cortafuegos de aplicaciones web (WAF)
Un cortafuegos de aplicaciones web actúa como un escudo entre tu sitio web e Internet, y puede supervisar y filtrar el tráfico malicioso en tiempo real. Esto puede incluir desde intentos de inyección de SQL y ataques de secuencias de comandos entre sitios (XSS) hasta ataques DDoS.
Los WAF actúan como una línea de defensa que puede ayudarte a protegerte frente a muchas de las amenazas de seguridad para sitios web más habituales que encontrarás. Pueden instalarse por completo directamente en tu servidor web o mediante servicios basados en la nube, como Jetpack, que ofrece un cortafuegos de aplicaciones web.
Revisa periódicamente los registros que genera para anticiparte a las amenazas que puedan surgir.
3. Haz copias de seguridad de tu sitio web con regularidad
Las copias de seguridad periódicas de tu sitio web son tu salvaguarda frente a la pérdida de datos, las intrusiones y cualquier otro problema que pueda surgir.
Debes hacer copias de seguridad a intervalos regulares. De hecho, aunque algunos sitios que se actualizan con poca frecuencia pueden conformarse con copias diarias, la mayoría debería utilizar copias de seguridad en tiempo real que guarden cada cambio realizado.
Estos archivos de copia de seguridad deben almacenarse fuera del servidor de tu sitio web para garantizar que no pierdas tus datos si se produce un fallo del servidor o una vulnerabilidad de seguridad. Por eso, confiar únicamente en las copias de seguridad proporcionadas por el alojamiento no es una estrategia segura.
Jetpack VaultPress Backup ofrece la solución más sólida, con copias de seguridad en tiempo real almacenadas de forma segura en la nube mediante la misma infraestructura de alta gama utilizada por WordPress VIP.
Lo mejor es que, si tu sitio web deja de funcionar, puedes recuperarlo con un solo clic. Con la aplicación Jetpack o tu cuenta de WordPress.com, puedes restaurar un sitio desde prácticamente cualquier lugar del mundo.
Es así de sencillo. No quieres que tu sitio web se quede sin conexión ni perder tus datos. Necesitas una solución automatizada que haga copias de seguridad periódicas de tu sitio web y tu base de datos para que no tengas que preocuparte.
Solo tienes que conseguir Jetpack Backup. Puedes obtener copias de seguridad por separado a través del plugin específico de VaultPress o beneficiarte de una solución más completa con el plan Jetpack Security.
Información destacada sobre Jetpack Security para sitios de WordPress
Para los usuarios de WordPress que buscan un paquete de seguridad completo, Jetpack Security ofrece un conjunto completo de potentes herramientas diseñadas para protegerte frente a una amplia variedad de amenazas y ayudarte a recuperarte en caso de emergencia.
El análisis de vulnerabilidades en tiempo real es una función esencial que supervisa tu sitio web las 24 horas del día, los 7 días de la semana, para detectar cualquier vulnerabilidad o brecha en curso. El cortafuegos de aplicaciones web, siempre activo, está perfectamente configurado para detectar posibles amenazas antes de que causen daños.
Además, Jetpack Security ofrece copias de seguridad automatizadas y en tiempo real, almacenadas de forma segura en la nube. Si alguna vez ocurre algo, puedes restaurar tu sitio con un solo clic.
Por último, Jetpack Security detecta y protege frente a una amplia variedad de amenazas, desde ataques de fuerza bruta hasta vulnerabilidades de shell explotables.
Proteger un sitio web por tu cuenta no es tarea fácil, pero Jetpack Security automatiza las partes más difíciles para que puedas olvidarte de esa carga de trabajo.
Consejo extra: evita los CAPTCHA para protegerte frente al spam
Aunque los CAPTCHA llevan más de dos décadas utilizándose para evitar el spam, sabes lo molesto que puede resultar completarlos. ¿Por qué someter a tus visitantes a eso? Y lo que es más importante, los CAPTCHA pueden provocar tasas de rebote elevadas y pocas conversiones.
Y, para colmo, los bots cada vez son mejores resolviéndolos. Un estudio observó que una IA resolvía el CAPTCHA «a prueba de robots» casi el 100 % de las veces.
Considera utilizar Jetpack Akismet Anti-spam, un potente servicio de filtrado de spam especialmente diseñado para WordPress.
Akismet aprovecha el aprendizaje automático para analizar los comentarios entrantes y los formularios enviados, evitando que tu sitio publique contenido malicioso sin necesidad de que intervengan los usuarios.
Al detectar y bloquear automáticamente el spam, Akismet mantiene tu sitio impecable y libre de spam sin obstaculizar tus objetivos de marketing.
Está disponible como plugin independiente o mediante un plan de Jetpack (incluido Jetpack Security).
Cómo responder a las brechas de seguridad de un sitio web
A pesar de todas estas medidas preventivas, puede ser difícil detener a un hacker que realmente quiera entrar. Saber cómo responder con rapidez y eficacia es crucial para minimizar el impacto de una brecha.
1. Prepara un plan de respuesta ante incidentes
Antes de que se produzca un ciberataque, deberías tener preparado un plan detallado de respuesta ante incidentes. Este establecerá los procedimientos que seguir cuando sufras diferentes brechas de seguridad y garantizará una respuesta rápida y organizada.
Si tu empresa o proyecto es muy pequeño, o si trabajas en él por tu cuenta, redactar ese plan puede ayudarte a seguir la serie de pasos inmediatos que debes dar para reparar tu sitio web y echar a los intrusos.
Estas son algunas cuestiones que debes tener en cuenta al crear y gestionar un plan de respuesta ante incidentes:
- Asigna funciones y responsabilidades a cada persona o grupo. ¿A quién se debe avisar inmediatamente? ¿Quién restaura las copias de seguridad? ¿Quién se encarga de eliminar el malware?
- Asegúrate de que existan canales de comunicación claros para contactar con cualquiera de esas personas, independientemente del nivel que ocupen en la organización.
- Desarrolla un plan de respuesta paso a paso que guíe tus acciones ante distintos tipos de incidentes de seguridad, desde la alteración del sitio hasta los ataques DDoS. También deberías contar con procedimientos para contener una brecha de seguridad y evitar que el pánico del momento provoque más daños.
- Revisa periódicamente tu plan de respuesta ante incidentes para asegurarte de que sigue actualizado y puede ponerse en práctica cuando sea necesario.
- Prueba periódicamente tu plan de respuesta ante incidentes, igual que haces con tu código, para asegurarte de que es coherente y fácil de seguir.
Adoptar medidas preventivas como esta puede reducir drásticamente el tiempo de inactividad. Esto puede marcar la diferencia entre un sitio web que permanece caído durante días y otro que solo está inactivo unas horas.
2. Analiza tu sitio web
Cuando tengas conocimiento de una brecha de seguridad, analiza completamente tu sitio web con una herramienta como Jetpack Scan para identificar archivos maliciosos restantes, puertas traseras, código anómalo, permisos de archivo sospechosos, usuarios no autorizados u otros indicios de que el sitio está comprometido.
3. Contén y soluciona la brecha
Cuando hayas identificado el origen y el alcance de la brecha de seguridad, actúa de inmediato para eliminar todo rastro de la amenaza.
Si tienes instalado Jetpack Security o algo similar, normalmente es una tarea que se resuelve con un solo clic. Como mínimo, esto debería eliminar la mayor parte del malware.
Por desgracia, el malware puede dejar restos que abran nuevas vulnerabilidades y permitan a los hackers volver a entrar. Los analizadores automatizados suelen detectarlos también, pero no está de más revisar manualmente tu sitio web para comprobar si hay algo inusual.
Estas son algunas medidas que puedes tomar:
- Plantéate dejar tu sitio web temporalmente fuera de línea si ha sido alterado o está propagando activamente malware y spam a los visitantes.
- Cambia inmediatamente las contraseñas comprometidas.
- Restaura una copia de seguridad.
- Revisa el código de tu sitio web en busca de fragmentos de código malicioso que antes no estuvieran allí.
- Comprueba si hay archivos nuevos en tu sitio web. Examina los archivos existentes para detectar cambios no autorizados.
- Comprueba si hay usuarios no autorizados, especialmente aquellos con permisos elevados.
- Corrige la vulnerabilidad que provocó la infección. Los analizadores automatizados deberían poder señalar el problema.
En el peor de los casos, puede que tengas que contratar a un desarrollador para que revise tu sitio web y elimine cualquier código malicioso persistente.
El papel de las copias de seguridad del sitio web para mitigar una brecha
Si hay una medida de seguridad que deberías adoptar, es configurar copias de seguridad. Si todo sale mal, al menos podrás restaurar tu sitio web a un estado anterior sin vulneraciones.
Sin embargo, no es una solución universal, ya que algunos tipos de malware pueden arraigarse y volver a infectar tu sitio web. Además, problemas como los ataques DDoS o las contraseñas comprometidas no se resolverán en absoluto.
Pero si has perdido muchos datos o tu sitio web ha quedado inutilizado, las copias de seguridad pueden salvar tu negocio.
Por eso es fundamental mantener copias de seguridad periódicas en la nube.
Preguntas frecuentes
Para terminar, vamos a repasar algunas de las preguntas que quizá aún tengas en mente.
¿Qué es la seguridad de un sitio web?
La seguridad de un sitio web consiste en las distintas estrategias y protocolos que se implementan para proteger los sitios web frente a las ciberamenazas. Abarca desde elegir un alojamiento seguro hasta configurar un cortafuegos de aplicaciones web.
¿Cuáles son los riesgos de no proteger un sitio web?
Si no proteges tu sitio web, lo expones a malware, filtraciones de datos, ataques DDoS e incluso a que se elimine por completo. Además de arruinar tu trabajo, también puedes poner en peligro a tus visitantes con malware y spam. Eliminar el malware también puede ser muy difícil.
¿Por qué son importantes las copias de seguridad para la seguridad de un sitio web?
Las copias de seguridad te permiten restaurar tu sitio web a un estado anterior. Esto resulta útil en caso de infección por malware, errores o pérdida de datos.
¿Existen problemas de seguridad específicos exclusivos de los sitios web de WordPress?
Los plugins y temas no seguros pueden servir como vectores de ataque, aunque el software que se integra con cualquier tipo de sitio puede ser vulnerable si no se mantiene actualizado.
¿Cómo ayuda Jetpack Security a proteger mi sitio de WordPress?
Jetpack Security ofrece una protección integral para sitios web, diseñada específicamente para proteger WordPress frente a diversas amenazas. Desde copias de seguridad en la nube en tiempo real hasta un potente cortafuegos de aplicaciones web, Jetpack Security te ayuda a anticiparte a los problemas más habituales.
¿Cómo puedo configurar Jetpack Security en mi sitio de WordPress?
Para aprovechar las ventajas de Jetpack Security, tendrás que instalar el plugin gratuito Jetpack y crear una cuenta de WordPress.com a la que conectarlo. A partir de ahí, puedes comprar Jetpack Security o cualquier componente individual que quieras para proteger tu sitio de WordPress.
¿Dónde puedo obtener más información sobre Jetpack Security?
Si quieres obtener más información sobre cómo proteger tu sitio web con Jetpack, el plugin definitivo de WordPress, puedes leer todo lo relacionado con Jetpack Security en el sitio web. El plugin se diseñó como una solución integral para todas tus necesidades de seguridad.
Jetpack 