Copias de seguridad y seguridad básica para tu web

Los sitios web de los negocios pequeños reciben ataques todo el tiempo, no porque alguien te haya elegido a ti, sino porque hay programas que recorren internet entero en busca de puntos débiles. Unos pocos hábitos alejan la mayor parte de eso: actualizaciones, accesos fuertes, copias de seguridad que se puedan restaurar y un plan para el día en que algo salga mal. En esta lección vas a ver lo básico en palabras simples, una revisión de diez minutos y un plan paso a paso por si algún día hackean tu sitio.

Por qué hackean los sitios pequeños

Los atacantes no se sientan a elegir negocios pequeños uno por uno. Usan herramientas automáticas que prueban miles de sitios por día, en busca de software viejo, contraseñas débiles y puertas abiertas. Tu tamaño no te protege, y un sitio fácil de abrir les sirve por muchas razones.

• Para enviar spam o hacer estafas desde tu dominio.
• Para alojar páginas falsas que roban las contraseñas de otras personas.
• Para redirigir a tus visitantes a otros sitios web.
• Para llenar tu sitio de enlaces ocultos que venden sus productos.
• Para robar datos de clientes de los formularios y de los pedidos.

No todo desastre es un ataque. Los sitios también fallan por una mala actualización, un archivo borrado, un problema del hosting o un error humano. Las copias de seguridad te protegen de todo eso.

Las copias de seguridad: tu red de contención

Una copia de seguridad es una copia completa de tu sitio web que puedes restaurar cuando algo se rompe. Es lo más útil que puedes tener, porque convierte un desastre en una molestia.

Qué debe incluir una copia

Importan dos partes. Los archivos son tus páginas, imágenes, temas, plugins y ajustes. La base de datos guarda el contenido que cambia: artículos, páginas, productos, pedidos y los datos de los formularios. Una copia que tenga solo una de las dos no puede reconstruir tu sitio. Si tu correo vive en la misma cuenta, comprueba si está incluido, y guarda también una lista de tus registros DNS.

Cada cuánto hacer una copia

Ajústala al ritmo de tu sitio. Una tienda o un sitio de reservas que recibe pedidos todos los días necesita una copia diaria, o incluso más seguido. Un sitio de presentación que casi no cambia puede copiarse una vez por semana. Haz siempre una copia justo antes de un cambio grande, como una actualización, un rediseño o una mudanza.

Dónde guardar las copias

Una copia guardada solo en el mismo servidor que tu sitio es una copia débil, porque todo lo que dañe al servidor dañará la copia. Sigue la regla 3-2-1: tres copias de tus datos, en dos tipos distintos de almacenamiento, con una copia en otro lugar, lejos de tu hosting.

Cuánto tiempo conservarlas

Conserva al menos un mes de copias. Algunos problemas, como un virus escondido, se descubren semanas después de que empiezan, y puedes necesitar una copia de antes.

Prueba la restauración

Una copia que nunca restauraste es una esperanza, no una copia. Pregunta cómo se hace una restauración, quién la hace y cuánto tarda, y prueba una vez en una copia de prueba si puedes. Una prueba simple tiene tres pasos: restaura la copia en un duplicado del sitio, abre el duplicado y comprueba que las páginas, las imágenes y los formularios funcionen, y anota cuánto tardó. Ese número te dice cuánto tiempo estarías sin conexión en una emergencia real.

Quién hace las copias

Algunos servidores de hosting copian tu sitio automáticamente, otros lo cobran aparte y otros no lo ofrecen. También puede hacerlo un plugin o un estudio. Quien sea, anota quién es el responsable y dónde están las copias, y confirma que la tarea realmente se ejecuta.

Lo básico de seguridad que todo dueño de un sitio debería saber

1. Mantén todo actualizado

Las actualizaciones arreglan debilidades que los atacantes ya conocen. Eso incluye el software de tu sitio, tus temas, tus plugins y cualquier aplicación. En plataformas como WordPress, la mayoría de las debilidades conocidas está en los plugins y los temas, más que en el programa principal. Actualiza con un calendario, y haz una copia antes.

2. Usa contraseñas fuertes y únicas

Nunca repitas una contraseña. Cuando vulneran un sitio, los atacantes prueban el mismo acceso en todos los demás. Un administrador de contraseñas crea y recuerda una contraseña fuerte distinta para cada cuenta, y tú solo tienes que recordar una.

3. Activa la verificación en dos pasos

La verificación en dos pasos te pide un código de tu celular además de la contraseña. Actívala en tu hosting, en la cuenta de tu dominio, en el área de administración de tu sitio y en tu correo. Evita la mayor parte de los robos de cuentas.

4. Limita quién tiene acceso

Dale a cada persona su propio acceso, con solo los permisos que necesita. Quita a quienes ya no trabajan contigo, incluidos los freelancers y los exempleados. No compartas un único acceso de administrador.

5. Quita lo que no usas

Los plugins viejos, los temas sin usar, los sitios de prueba y las cuentas de usuario abandonadas son puertas abiertas. Bórralos, no te limites a apagarlos.

6. Usa https y protege tus formularios

Una conexión segura protege los datos en el camino. La protección contra spam en tus formularios evita que los robots te inunden y abusen de tu página de contacto. La lección sobre SSL explica lo primero, y quien arma tu sitio puede sumar lo segundo.

7. Suma un firewall y análisis de virus

Tu hosting o un servicio de seguridad pueden bloquear ataques conocidos y analizar tus archivos en busca de software malicioso. Pregunta si está incluido y quién mira los resultados.

8. Nunca instales software pirata

Las copias gratuitas de temas y plugins que son de pago, a veces llamadas "nulled", suelen traer software malicioso escondido. Compra en la fuente oficial o usa una versión gratuita de una fuente confiable.

9. Protege la cuenta de tu dominio

Activa el bloqueo del registrador y la verificación en dos pasos, y mantén al día el correo de contacto. Si alguien se queda con tu dominio, se queda con tu sitio web y con tu correo.

10. Deja que un proveedor de pagos maneje los datos de las tarjetas

Nunca guardes números de tarjeta en tu propio sitio. Un proveedor de pagos los maneja bajo estrictas reglas de seguridad, y tú conservas solo los datos del pedido.

11. Cuidado con el phishing

Muchas intrusiones empiezan con un mensaje que engaña a una persona para que entregue una contraseña. Ten cuidado con los mensajes que te apuran, te piden un acceso o dicen que tu sitio fue hackeado o que tu dominio está por vencer. Entra tú misma o tú mismo a la página real, sin hacer clic en el enlace.

Cómo es una buena contraseña

La longitud importa más que los trucos. Una frase larga, hecha de varias palabras sin relación, es más fácil de recordar y más difícil de adivinar que una mezcla corta de símbolos. No uses el nombre de tu negocio, una fecha de cumpleaños, una mascota ni un teléfono. Deja que un administrador de contraseñas cree y guarde el resto, y protege el propio administrador con una frase larga y con la verificación en dos pasos.

Hábitos que conviene enseñar a tu equipo

La tecnología ayuda, y los hábitos importan igual. Todas las personas que trabajan en tu sitio o en tu correo deberían seguir las mismas pocas reglas.

• Nunca envíes una contraseña por correo ni por mensaje de texto. Comparte los accesos desde el administrador de contraseñas.
• Entra a las cuentas importantes solo desde dispositivos actualizados y protegidos con bloqueo de pantalla.
• Ten cuidado en las redes wifi públicas, y evita entrar desde ellas a áreas de administración.
• Avisa enseguida cuando veas algo raro: una alerta de acceso inesperada, un correo extraño, una página que se ve distinta.
• Ante la duda, no hagas clic. Pregunta primero.

Una revisión de seguridad de diez minutos

1. Entra a tu cuenta de hosting, con la verificación en dos pasos.
2. Mira si hay actualizaciones pendientes, y aplícalas después de hacer una copia.
3. Borra los plugins, los temas y las cuentas de usuario que no uses.
4. Confirma que la última copia se hizo hace poco, y descarga una.
5. Abre tu sitio y comprueba que carga con https y sin avisos.
6. Revisa la fecha de vencimiento de tu dominio y que la renovación automática esté activa.
7. Asegúrate de que el correo que recibe las alertas de seguridad sea uno que lees.
8. Envía un mensaje de prueba por tu formulario de contacto y confirma que llega.
9. Si usas Google Search Console, mira si hay avisos de problemas de seguridad.
10. Anota a quién llamar si el sitio se cae: tu hosting, tu estudio y tu registrador de dominios.

Señales de que pueden haber hackeado tu sitio

• Tu sitio redirige a otra página web, o muestra páginas que no hiciste.
• Los resultados de Google de tu sitio muestran títulos raros o productos que no vendes.
• Un navegador muestra una página roja de advertencia cuando la gente visita tu sitio.
• Tu proveedor de hosting suspende la cuenta o te envía un aviso de seguridad.
• Aparecen usuarios administradores nuevos o archivos desconocidos.
• El sitio se vuelve muy lento o se cae sin una razón clara.
• Los clientes te cuentan que recibieron spam desde tu dirección de correo.

Qué hacer si hackean tu sitio

1. Mantén la calma, y no borres todo. Las pruebas ayudan en la limpieza.
2. Avisa a tu hosting o a tu estudio. Muchos pueden analizar el sitio y limpiarlo.
3. Desconecta el sitio, o ponlo en modo de mantenimiento, si está perjudicando a los visitantes.
4. Cambia todas las contraseñas: hosting, administración del sitio, base de datos, acceso a archivos y correo. Hazlo desde un dispositivo que sepas que está limpio.
5. Restaura una copia limpia, hecha antes de que empezara el problema, o limpia el sitio con ayuda de un especialista.
6. Actualiza todo, y elimina los usuarios, plugins y archivos desconocidos.
7. Averigua cómo pasó, para cerrar esa puerta definitivamente.
8. Pídele a Google que revise el sitio si lo marcó. Google Search Console tiene un informe de problemas de seguridad con una solicitud de revisión.
9. Piensa en tus clientes. Si pudieron quedar expuestos datos personales, recuerda que cada estado tiene una ley de notificación de filtraciones de datos, y las reglas varían. Consulta con un abogado o con tu seguro.

Quién es responsable de qué

La seguridad es compartida. El hosting cuida el servidor, la red y el edificio. Tú, o el estudio que se ocupa de tu sitio, cuidan el software del sitio, los plugins, las contraseñas y el contenido. Muchas veces el problema ocurre en el hueco entre los dos, así que pregunta por escrito quién hace qué: quién actualiza, quién hace las copias, quién vigila los problemas y quién responde cuando algo se rompe.

Las copias de seguridad, la seguridad y tu web

En Good Sites Only, el hosting viene incluido en cada sitio, y el plan de mantenimiento Care, un servicio mensual que puedes sumar, cubre las copias de seguridad, las actualizaciones y la seguridad. Si prefieres ocuparte tú de tu sitio, usa la lista de arriba como punto de partida. Cuando estés lista o listo, puedes empezar tu sitio.

Preguntas frecuentes