No necesitas un departamento de sistemas para mantener razonablemente seguro el sitio web de un negocio pequeño. Necesitas ocho hábitos, la mayoría de pocos minutos, y un plan para el día en que algo falle de todos modos.
1. Actualizaciones: plataforma, tema y plugins
La mayoría de los sitios de negocios pequeños que son atacados nunca fueron un objetivo. Escáneres automáticos recorren la web buscando una falla conocida en un plugin viejo, la encuentran en tu sitio y entran. La solución no tiene nada de glamorosa: mantener al día la plataforma, el tema y cada plugin.
Los plugins abandonados son la puerta de entrada habitual. Un plugin que nadie actualiza desde hace uno o dos años puede seguir funcionando, pero tampoco nadie está corrigiendo lo que se descubre en él. Una vez al mes, revisa tu lista de plugins. Lo que no uses, elimínalo en lugar de solo desactivarlo. Lo que su autor haya abandonado, reemplázalo. Si el sitio lleva años sin nada de esto, mis notas sobre cómo recuperar un sitio web abandonado explican en qué orden hacerlo.
2. Respaldos que de verdad has restaurado
Un respaldo que nunca has restaurado es una esperanza, no un respaldo. Tres cosas hacen que valga la pena tenerlo. Vive en un lugar distinto del servidor que protege, porque si ese servidor se ve comprometido o la cuenta de hosting se cierra, el respaldo que estaba al lado se va con él. Se ejecuta solo, sin que nadie tenga que acordarse: semanal como mínimo, diario si recibes pedidos en línea. Y alguien lo ha restaurado al menos una vez, en una copia de prueba, y ha confirmado que el sitio volvió completo.
Muchos hostings incluyen respaldos. Revisa cuánto tiempo los conservan y si puedes descargar una copia. Dos semanas de retención no es mucho si notas el problema el día dieciséis.
3. Contraseñas únicas y autenticación en dos pasos
Haz una lista de las cuentas que controlan tu negocio en línea: el registrador del dominio, el hosting, el administrador del sitio, el correo del negocio y tu cuenta de Google o Microsoft. Cada una debe tener una contraseña larga que no uses en ningún otro lugar, con la autenticación en dos pasos activada. Una aplicación de autenticación es mejor que un mensaje de texto; un mensaje de texto es mucho mejor que nada.
La única forma realista de tener contraseñas únicas para una docena de cuentas es un gestor de contraseñas. Las genera, las recuerda y te permite compartir un acceso con un empleado sin mandarlo por correo. Si la contraseña de tu registrador es la misma que la de tu servicio de películas, cambia eso primero.
4. HTTPS y el certificado que lo respalda
HTTPS cifra el tráfico entre el visitante y tu sitio, y los navegadores tratan su ausencia como una advertencia. Si el certificado vence, el visitante ve una pantalla completa de "La conexión no es privada" con un botón para volver atrás, y la mayoría vuelve atrás. Hoy los certificados son gratuitos en casi cualquier hosting y se renuevan solos cuando están bien configurados. Confirma que el tuyo lo hace; en un sitio configurado a mano hace años, la renovación todavía puede depender de que alguien se acuerde. Revisa también que la versión http:// de tu dirección redirija a https://.
5. Higiene del DNS
El DNS es la libreta de direcciones que apunta tu dominio hacia tu sitio web y tu correo. Debes saber dónde vive: en el registrador, en el hosting o en un servicio como Cloudflare. Entra y lee los registros. Las agencias y herramientas de antes dejan cosas atrás: un subdominio que apunta a una cuenta de hosting que cerraste, un registro de verificación de un servicio que ya no usas. Un subdominio que apunta a nada a veces puede ser reclamado por otra persona y usado para hacerse pasar por ti. Elimina lo que no reconozcas, después de verificar para qué servía.
En el registrador, activa el bloqueo de transferencia y asegúrate de que el correo de contacto sea uno que sigas leyendo. Se pierden más dominios por una tarjeta vencida o un aviso de renovación sin leer que por cualquier ataque.
6. Autenticación del correo: SPF, DKIM y DMARC
Tres registros DNS le dicen al mundo qué servidores pueden enviar correo por tu dominio (SPF), firman tus mensajes para que no puedan alterarse en el camino (DKIM) y le indican al servidor receptor qué hacer con el correo que no pasa esas pruebas (DMARC). Sin ellos, cualquiera puede enviar correos que parecen venir de ti, y tus propios correos legítimos tienen más probabilidades de caer en spam. Es un trabajo de una sola vez, de alrededor de una hora, y lo explico paso a paso en SPF, DKIM y DMARC explicados.
7. Revisión de accesos
Cada pocos meses, haz una lista de quién puede entrar a qué. Exempleados, la agencia que hizo el sitio hace tres años, el freelancer que arregló una sola cosa, la cuenta "admin" compartida con la contraseña en una nota pegada al monitor. Cada uno es una puerta que no vigilas. Elimina las cuentas que ya no hacen falta. Dale a cada persona su propio acceso en lugar de compartir el tuyo, para poder quitar a una sola persona sin cambiarlo todo, y asigna a cada cuenta el rol más pequeño que cumpla con su trabajo.
8. Monitoreo, para enterarte tú primero
La diferencia entre un mal día y un mal mes suele ser qué tan rápido alguien se dio cuenta. Cuatro controles baratos cubren casi todo: un monitor de disponibilidad que te avisa por correo cuando el sitio se cae; alertas de vencimiento del certificado con dos semanas de anticipación; detección de cambios en los archivos, que descubre un sitio comprometido antes de que Google lo marque; y alertas de inicio de sesión desde dispositivos nuevos o de intentos fallidos repetidos en el administrador y en el correo. Muchos hostings y plugins de seguridad ofrecen parte de esto, y los monitores gratuitos cubren el resto. Manda las alertas a una dirección que de verdad leas.
Si crees que te hackearon
Primero, no borres nada. El instinto es limpiar, pero la evidencia de cómo entraron es lo que te permite cerrar la puerta. Si el sitio está mostrando algo dañino a los visitantes, ponlo en modo de mantenimiento o desconéctalo, y deja los archivos donde están.
Cambia las contraseñas desde un dispositivo de confianza, no desde el que podría estar comprometido: hosting, administrador del sitio, correo y después el registrador. Activa la autenticación en dos pasos donde estuviera apagada. Luego contacta a alguien que se dedique a esto, o a tu hosting. Lleva un registro con horas: qué notaste, qué cambiaste, con quién hablaste. Acelera la limpieza e importa si tienes que avisar a clientes o a una aseguradora.
La lista de verificación
Nada de esto es exótico; la guía Secure Our World de CISA cubre el mismo terreno. Aquí está como calendario.
| Tarea | Frecuencia | Quién puede hacerla |
|---|---|---|
| Actualizar plataforma, tema y plugins | Semanal | Tú, con un respaldo antes |
| Eliminar plugins y cuentas sin uso | Mensual | Tú |
| Restaurar un respaldo en un lugar de prueba | Trimestral | Tú o tu hosting; un desarrollador si tienes dudas |
| Dos pasos en las cinco cuentas principales | Una vez, y cuando cambie el personal | Tú |
| Confirmar que el certificado se renueva solo | Una vez, luego monitorear | Tú o tu hosting |
| Revisar registros DNS y bloqueo del registrador | Dos veces al año | Tú; un desarrollador si los registros confunden |
| SPF, DKIM y DMARC | Una vez, revisar cada año | Desarrollador o la guía de tu proveedor de correo |
| Revisión de accesos | Trimestral | Tú |
| Alertas de disponibilidad, certificado e inicio de sesión | Configurar una vez, leer cuando lleguen | Tú |
Cuándo hacerlo tú mismo y cuándo llamar a alguien
Los puntos tres, cinco, siete y casi todo el ocho son realmente tuyos. Tratan de cuentas y decisiones, no de código, y nadie sabe mejor que tú quién debería tener acceso a tu negocio.
Las actualizaciones, los respaldos y los certificados son donde la gente se atasca, porque se repiten y sus fallas son silenciosas. Si vas a hacerlos cada semana y a probar una restauración cada trimestre, no necesitas a nadie. Si ya sabes que no lo harás, para eso existe un plan de mantenimiento; describo lo que debería incluir en qué incluye el mantenimiento web.
Si prefieres que alguien revise una vez y te diga en qué punto estás, una revisión del sitio y su seguridad cuesta $250, que se acreditan a cualquier trabajo posterior. Para lo que más sirve mi formación de Security+ aquí es para saber cuáles de estas ocho cosas importan en tu sitio en particular.
Javier NapolesJavier Napoles es el fundador de Argus Digital Works en Stamford, Connecticut. Diseña, construye, protege y mantiene sitios web para pequeños negocios en Fairfield County y de forma remota, y tiene la certificación CompTIA Security+. Sobre Javier