Los consejos para proteger tu web de los hackers suelen presentarse como una larga lista de tareas. El problema es que no todos los puntos de esa lista pesan lo mismo. Unas pocas medidas cubren la mayoría de las vías de ataque que acaban en un compromiso real, y saber cuáles priorizar marca la diferencia entre una seguridad eficaz y una que solo lo parece.
Los ataques contra webs son casi todos automatizados. Los escáneres rastrean millones de sitios a la vez y buscan vulnerabilidades conocidas en versiones de software, contraseñas comunes y archivos de configuración expuestos. Un sitio no necesita tener mucho tráfico ni ser conocido para ser objetivo. Le basta con estar en línea y usar algo con un fallo conocido. Para ver todo lo que está en juego cuando faltan estas medidas, lee el artículo sobre por qué es importante la seguridad web.
Cómo proteger tu web de los hackers con una autenticación fuerte
Los ataques a credenciales están entre las formas más comunes en que los atacantes acceden a las webs. Una contraseña segura por sí sola no basta. Lo que de verdad frena a las herramientas automáticas de fuerza bruta es combinar una contraseña segura con un límite de intentos y un segundo factor de autenticación.
Contraseñas seguras y únicas
- Las contraseñas de las cuentas de administrador deben ser largas, aleatorias y únicas para el sitio. No reutilizadas de ningún otro servicio
- Las herramientas automáticas de fuerza bruta prueban primero las contraseñas cortas y las basadas en palabras o patrones comunes, y pueden intentar miles de combinaciones por minuto
- Un gestor de contraseñas genera y guarda credenciales seguras sin que tengas que memorizarlas
Autenticación en dos pasos
- La autenticación en dos pasos exige un segundo paso de verificación además de la contraseña al iniciar sesión en el panel de administración
- Aunque se robe una contraseña en una filtración de datos o con un ataque de phishing, la autenticación en dos pasos impide que el atacante la use sin controlar también el segundo factor
- Activarla en todas las cuentas de administrador es uno de los cambios individuales de mayor impacto para la seguridad web
Límite de intentos de inicio de sesión
- Las herramientas de fuerza bruta prueban miles de contraseñas en rápida sucesión. Un límite de intentos fallidos antes de bloquear una dirección IP frena este método
- Muchas plataformas web incluyen el límite de intentos como ajuste integrado o mediante una extensión de seguridad
Eliminar las cuentas que no se usan
- Cada cuenta de administrador activa con una contraseña débil o reutilizada es un posible punto de entrada
- Las cuentas creadas para antiguos empleados, colaboradores externos o desarrolladores deben eliminarse en cuanto dejen de hacer falta
Cómo proteger tu web de los hackers con un software al día
El software desactualizado es la categoría de vulnerabilidad más explotada en las webs. Cuando se encuentra y se corrige un fallo de seguridad, los detalles suelen publicarse junto con el parche. Los sitios que siguen con la versión antigua son entonces un objetivo conocido y documentado.
Aplica las actualizaciones en cuanto estén disponibles
- Las actualizaciones de la plataforma web, los plugins, los temas y las integraciones deben aplicarse sin demora. Suelen incluir parches de seguridad, y retrasarlas deja abiertas vulnerabilidades conocidas
- Configurar las actualizaciones para que se apliquen automáticamente, cuando sea posible, elimina el riesgo de perderte un parche crítico
Elimina los plugins y temas que no uses
- Los plugins y temas inactivos que no se mantienen actualizados siguen siendo vulnerables aunque no estén activos en el sitio
- Eliminarlos reduce la superficie de ataque sin afectar a nada del sitio en línea
Usa solo software de fuentes de confianza
- Los plugins, temas y extensiones de fuentes no oficiales son una vía habitual para distribuir malware
- Usar solo software del mercado oficial de la plataforma o de desarrolladores consolidados y de buena reputación reduce el riesgo de instalar código ya infectado
¿Cómo protege HTTPS tu web?
Un certificado SSL y HTTPS son requisitos básicos. Protegen los datos en tránsito e indican a los buscadores que el sitio cumple unos estándares mínimos de seguridad. Para ver todos los detalles sobre cómo configurar uno, lee el artículo sobre qué es un certificado SSL y cómo funciona.
Qué hace HTTPS
- HTTPS cifra los datos que los visitantes envían mediante formularios, páginas de acceso y procesos de pago, e impide que se puedan leer si se interceptan en tránsito
- El certificado SSL también verifica la identidad del sitio y protege contra algunas formas de interceptación del tráfico y de suplantación
Qué no hace HTTPS
- HTTPS no evita los ataques contra el propio sitio. La inyección SQL, el cross-site scripting, los intentos de inicio de sesión por fuerza bruta y la inyección de malware no los detiene HTTPS
- Es una capa de protección, no un sustituto de las demás
¿Cómo ayuda un firewall de aplicaciones web?
Qué hace
- Un firewall de aplicaciones web se coloca entre el tráfico entrante y la web, e inspecciona las solicitudes antes de que lleguen al servidor
- Filtra las solicitudes que coinciden con patrones de ataque conocidos, como intentos de inyección SQL, cargas de cross-site scripting y tráfico de fuentes maliciosas conocidas
- Los ataques que nunca llegan al servidor no pueden aprovechar vulnerabilidades en el código del sitio
Firewalls a nivel de red frente a firewalls a nivel de aplicación
- Los firewalls a nivel de red filtran el tráfico a nivel de infraestructura antes de que llegue al servidor. Suelen ofrecerlos las empresas de hosting y los proveedores de CDN
- Los firewalls a nivel de aplicación actúan a nivel del sitio y pueden ser más precisos sobre qué solicitudes permitir según el contenido y el comportamiento del sitio
- Los dos tipos tienen funciones distintas y pueden usarse juntos
Por qué las copias de seguridad son parte de proteger tu web de los hackers
Ninguna medida de seguridad elimina todo el riesgo. Cuando algo sí consigue pasar, una copia limpia determina con qué rapidez te recuperas y cuánto pierdes.
Lo que hacen las copias que las medidas de prevención no pueden
- Los ataques de ransomware que cifran los archivos del sitio causan mucho menos daño cuando existe una copia limpia reciente. Restaurar desde la copia elimina por completo la palanca del atacante
- Una copia limpia también da un punto de referencia verificado con el que comparar cuando intentas identificar qué cambió un atacante
Qué hace útil una copia de seguridad
- Las copias deben guardarse aparte del servidor del sitio. Una copia en el mismo servidor se ve comprometida o cifrada junto con todo lo demás en un ataque
- La frecuencia de las copias debe coincidir con la frecuencia con la que cambia el sitio. Un sitio que se actualiza a diario necesita copias diarias
- Comprobar que una copia se puede restaurar de verdad es tan importante como tenerla. Una copia que falla al restaurar no es una copia
Para una guía completa sobre cómo configurar y gestionar las copias de seguridad de tu web, lee el artículo sobre cómo hacer copias de seguridad de tu web. Para saber qué hacer si ya hay malware en tu sitio, lee el artículo sobre qué es el malware web y cómo eliminarlo.
Cómo gestiona WEMASY la protección de la web
La infraestructura de hosting de WEMASY incluye protección con firewall y mitigación de DDoS a nivel de red. Los certificados SSL están incluidos en todos los planes y se aplican automáticamente, así que todos los sitios se sirven por HTTPS por defecto. Las actualizaciones de software se gestionan a nivel de plataforma, y el propietario del sitio no tiene que encargarse de los parches.
Las copias de seguridad están incluidas en todos los planes y se gestionan automáticamente, con opciones de restauración desde el panel. La autenticación en dos pasos está disponible para el acceso a la cuenta de WEMASY, y la actividad de inicio de sesión se supervisa a nivel de plataforma.
Mira qué incluye en el creador de webs de WEMASY o consulta los planes en la página de precios.
Preguntas frecuentes
¿Cómo entran los hackers en las webs?
La mayoría de los compromisos de webs ocurren por tres vías: aprovechar vulnerabilidades conocidas en software desactualizado, acceder con contraseñas de administrador débiles o robadas e inyectar código malicioso a través de plugins o scripts de terceros vulnerables. Las herramientas automáticas analizan sin parar un gran número de sitios en busca de estas vulnerabilidades y las explotan sin que nadie apunte específicamente a ese sitio. Mantener el software actualizado y las credenciales de administrador seguras y únicas cierra los puntos de entrada más habituales. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Cuál es el paso más importante para proteger una web de los hackers?
Mantener todo el software actualizado y usar contraseñas seguras y únicas con autenticación en dos pasos en las cuentas de administrador cubre, juntos, la mayoría de los ataques que tienen éxito. Las actualizaciones de software cierran las vulnerabilidades conocidas antes de que los atacantes puedan explotarlas. Una autenticación fuerte impide el acceso mediante ataques a credenciales incluso cuando una contraseña queda comprometida en otro sitio. Las copias de seguridad no evitan los ataques, pero limitan el daño cuando uno tiene éxito, y por eso son parte necesaria de cualquier estrategia de protección completa.
¿El tamaño de la web influye en el riesgo de ser hackeada?
No. Los ataques contra webs son casi todos automatizados. Los escáneres rastrean millones de sitios en busca de vulnerabilidades conocidas y credenciales débiles, sin importar el tamaño, el tráfico o el sector del sitio. Una web de portafolio pequeña con software desactualizado está tan expuesta como una plataforma grande con la misma vulnerabilidad. Las medidas que protegen un sitio son las mismas sea cual sea su tamaño.
¿Qué es un firewall de aplicaciones web y necesito uno?
Un firewall de aplicaciones web filtra el tráfico entrante al sitio y bloquea las solicitudes que coinciden con patrones de ataque conocidos antes de que lleguen al servidor. Puede bloquear automáticamente intentos de inyección SQL, cargas de cross-site scripting y tráfico de fuentes maliciosas conocidas. Que necesites un firewall de aplicaciones web independiente depende de tu configuración de hosting. Muchos proveedores de hosting incluyen protección con firewall a nivel de red, que se ocupa de una parte importante de los ataques automatizados sin que el propietario tenga que configurar nada.
¿Cada cuánto debo hacer una copia de seguridad de mi web?
La frecuencia adecuada depende de cada cuánto cambia el contenido del sitio. Un sitio que se actualiza a diario con contenido, pedidos o envíos nuevos necesita copias diarias. Un sitio que cambia poco puede copiarse con menos frecuencia, pero conviene hacer una copia antes de cualquier actualización importante o cambio de plataforma. Las copias deben guardarse aparte del servidor del sitio y probarse de vez en cuando para confirmar que de verdad se pueden restaurar.
¿Puedo proteger mi web de los hackers sin conocimientos técnicos?
Sí. Las medidas de protección de mayor impacto no requieren conocimientos técnicos. Usar una contraseña segura y única en las cuentas de administrador, activar la autenticación en dos pasos y aplicar las actualizaciones con las herramientas integradas de la plataforma cubre la mayoría de las vías de ataque comunes. Elegir un proveedor de hosting o una plataforma web que incluya protección con firewall, SSL y copias de seguridad automáticas a nivel de plataforma se ocupa de la seguridad de la infraestructura sin que tengas que configurar nada.