La primera señal de que la seguridad de una web ha fallado muchas veces ni siquiera la nota el propietario del sitio. Los visitantes ven advertencias, acaban redirigidos a páginas desconocidas o descubren que sus datos han quedado comprometidos, mientras el sitio parece funcionar con normalidad en la superficie. La seguridad web es el conjunto de medidas que protegen un sitio del acceso no autorizado, el robo de datos, el malware y las caídas. Este artículo explica por qué importa en cualquier web, sea cual sea su tamaño o su finalidad, cómo son las amenazas más habituales y qué protecciones básicas debería tener todo sitio.
Los ataques automatizados no _blocked_úan una web antes de atacarla. Rastrean internet de forma continua en busca de vulnerabilidades conocidas que explotar, sin importar el tamaño, el sector o el tráfico del sitio. La diferencia entre las webs que sufren un ataque y las que no casi nunca tiene que ver con lo conocido que sea un sitio. Casi siempre depende de las medidas de seguridad que tenga.
¿Qué le puede pasar a una web poco segura?
Los fallos de seguridad web no siempre son espectaculares. A menudo pasan desapercibidos para el propietario del sitio mientras causan un daño importante a los visitantes, a la reputación y al posicionamiento.
Robo de datos
- Si tu web recoge cualquier información de los visitantes, como formularios de contacto, direcciones de correo o datos de pago, un sitio poco seguro pone esos datos en riesgo
- Una brecha que exponga datos de los visitantes genera responsabilidad legal, sobre todo en las regiones donde las leyes de protección de datos exigen un tratamiento seguro de la información personal
- Es poco probable que vuelvan los visitantes que descubren que sus datos quedaron expuestos a través de tu web
Inyección de malware
- Los atacantes que consiguen acceso a una web pueden inyectar código malicioso que se ejecuta en silencio en segundo plano
- Este código puede redirigir a los visitantes a páginas fraudulentas, mostrar anuncios no deseados, robar credenciales de acceso o usar el sitio para atacar a otros
- El propietario del sitio suele no saber que esto ocurre hasta que un visitante lo comunica o un escáner de seguridad lo detecta
Desfiguración
- Algunos ataques sustituyen el contenido de una web por el mensaje, las imágenes o los enlaces del atacante
- La desfiguración se ve de inmediato y daña la credibilidad y la confianza
- Para cualquier web que dependa de su presencia en internet para atraer o retener visitantes, recuperarse de una desfiguración puede llevar mucho tiempo y esfuerzo
Caídas
- Los ataques diseñados para saturar un servidor con tráfico pueden dejar una web completamente fuera de línea
- Cada hora que una web está caída son visibilidad, clientes potenciales e ingresos perdidos
- Recuperarse de un ataque grave puede llevar días si no hay copias de seguridad
¿Cómo afecta la seguridad web al posicionamiento en buscadores?
Los buscadores vigilan activamente los problemas de seguridad y los tienen en cuenta en el posicionamiento y la visibilidad en las búsquedas.
Advertencias de malware en los resultados de búsqueda
- Cuando un buscador detecta malware en una web, añade una etiqueta de advertencia a su resultado en la búsqueda
- Los visitantes que ven una advertencia antes de hacer clic rara vez continúan
- Las tasas de clics caen casi a cero cuando se muestran advertencias de seguridad, sin importar lo bien posicionada que esté la página
Advertencias de seguridad del navegador
- Los navegadores muestran una advertencia a pantalla completa cuando un visitante intenta entrar en un sitio marcado como peligroso o en un sitio sin HTTPS
- Los visitantes tienen que elegir activamente seguir adelante pese a estas advertencias, y la mayoría no lo hace
- Un sitio que activa advertencias del navegador pierde el tráfico de todos los visitantes que ven una
HTTPS como señal de posicionamiento
- HTTPS, la versión segura del protocolo HTTP, es una señal de posicionamiento confirmada
- Los sitios que sirven sus páginas por HTTP en lugar de HTTPS están en desventaja de posicionamiento frente a páginas equivalentes servidas de forma segura
- Los navegadores también marcan los sitios HTTP como "No seguro" en la barra de direcciones, lo que reduce la confianza del visitante incluso antes de cualquier interacción
Para una explicación completa de cómo funciona HTTPS y qué protege, consulta el artículo sobre qué es HTTPS y cómo protege tu web.
¿Cuáles son las amenazas de seguridad web más habituales?
Ataques de fuerza bruta
- Herramientas automáticas prueban miles de combinaciones de usuario y contraseña para acceder a los paneles de administración de una web
- Las contraseñas débiles y los intentos de inicio de sesión ilimitados facilitan mucho los ataques de fuerza bruta
- La autenticación en dos pasos y los límites de intentos de inicio de sesión reducen este riesgo de forma notable
Inyección SQL
- Los atacantes insertan código malicioso en campos de formulario o parámetros de URL para manipular las consultas a la base de datos
- Una inyección SQL con éxito puede exponer o borrar el contenido de la base de datos, incluidos los datos de clientes
- Esta amenaza es especialmente relevante para las webs con campos de búsqueda, formularios de inicio de sesión o formularios de contacto que interactúan con una base de datos
Cross-site scripting
- Se inyectan scripts maliciosos en una página que luego cargan otros visitantes en sus navegadores
- Estos scripts pueden robar cookies de sesión, redirigir a los visitantes o capturar lo que escriben en los formularios
- El cross-site scripting es una de las vulnerabilidades más comunes en las aplicaciones web
Malware y ransomware
- Cuando un atacante tiene acceso a un sitio, puede instalar malware que se ejecuta en segundo plano, recoge datos o cifra archivos
- El ransomware deja a los propietarios fuera de sus propios sitios y exige un pago para restaurar el acceso
- Las copias de seguridad periódicas son la defensa principal contra el ransomware, ya que restaurar una copia limpia elimina la ventaja del atacante
Software desactualizado
- Las vulnerabilidades conocidas del software de una web, de los plugins y de los temas se publican abiertamente cuando salen los parches
- Los sitios que usan versiones desactualizadas son vulnerables a los ataques que explotan esas vulnerabilidades publicadas
- Mantener el software actualizado es una de las medidas de seguridad web más sencillas que existen
¿Qué medidas de seguridad básicas debería tener toda web?
HTTPS y un certificado SSL
- Toda web debería servir sus páginas por HTTPS, que cifra los datos en tránsito entre el navegador del visitante y el servidor
- Un certificado SSL es lo que habilita HTTPS. Sin él, los datos se transmiten en texto plano y pueden interceptarse
- Los navegadores marcan como "No seguro" los sitios sin HTTPS. Es poco probable que los visitantes envíen formularios o hagan compras en un sitio con esa etiqueta
Para una explicación completa de cómo funcionan los certificados SSL y cómo conseguir uno, consulta el artículo sobre qué es un certificado SSL y cómo funciona.
Autenticación sólida
- Las cuentas de administración deben usar contraseñas sólidas y únicas, y autenticación en dos pasos
- Limita los intentos de inicio de sesión para bloquear las herramientas automáticas de fuerza bruta
- Elimina las cuentas de administración que no uses. Cada cuenta activa con credenciales débiles es una posible puerta de entrada
Copias de seguridad periódicas
- Las copias de seguridad permiten restaurar un sitio a un estado limpio tras un ataque sin pagar un rescate ni reconstruirlo desde cero
- Las copias de seguridad deben guardarse aparte del propio sitio. Una copia guardada en el mismo servidor se pierde si el servidor se ve comprometido
- Prueba las restauraciones de vez en cuando para confirmar que las copias funcionan como se espera
Actualizaciones de software
- Aplica las actualizaciones de la plataforma de la web, los plugins, los temas y cualquier integración de terceros en cuanto estén disponibles
- Las actualizaciones suelen incluir parches de seguridad que cierran las vulnerabilidades descubiertas desde la versión anterior
Un cortafuegos de aplicaciones web
- Un cortafuegos de aplicaciones web se sitúa entre el tráfico entrante y la web y filtra las solicitudes maliciosas conocidas antes de que lleguen al servidor
- Los cortafuegos pueden bloquear automáticamente los intentos de inyección SQL, el cross-site scripting, el tráfico de bots y otros patrones de ataque habituales
Para una guía completa sobre cómo proteger tu web del acceso no autorizado y de los ataques, consulta el artículo sobre cómo proteger tu web de los hackers. Para saber cómo configurar copias de seguridad periódicas, consulta el artículo sobre cómo hacer copias de seguridad de tu web.
Cómo gestiona WEMASY la seguridad de la web
El creador de webs de WEMASY incluye certificados SSL en todos los planes, así que todos los sitios se sirven por HTTPS de forma predeterminada. No hace falta ninguna configuración ni compra aparte. La infraestructura de alojamiento incluye protección con cortafuegos y mitigación de DDoS a nivel de red, lo que reduce la exposición a los ataques automáticos habituales sin que el propietario del sitio tenga que configurar nada.
El equipo de la plataforma mantiene y actualiza el software que funciona en WEMASY, así que los propietarios de los sitios no tienen que aplicar parches de seguridad al sistema subyacente. Las copias de seguridad están incluidas y se gestionan automáticamente, con opciones de restauración disponibles desde el panel.
Mira qué incluye en el creador de webs de WEMASY o consulta las opciones de plan en la página de precios.
Preguntas frecuentes
¿Por qué es importante la seguridad de una web?
La seguridad web protege a la vez a los visitantes, los datos del sitio y la visibilidad en buscadores. Una web poco segura puede usarse para robar datos de los visitantes, propagar malware a quienes la visitan o quedar completamente fuera de línea. Los buscadores marcan los sitios inseguros en los resultados y los navegadores avisan a los visitantes antes de entrar, y ambas cosas reducen el tráfico de forma drástica. Un incidente de seguridad puede dañar para siempre la confianza y la visibilidad que un sitio ha construido. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Todas las webs necesitan seguridad?
Sí. Los ataques automatizados rastrean internet de forma continua en busca de vulnerabilidades y no eligen webs según su tamaño o su tráfico. Cualquier web de acceso público es un posible objetivo. Las consecuencias de una brecha, como pérdida de datos, advertencias de malware en los resultados de búsqueda, caídas y responsabilidad legal, son las mismas sea cual sea el tamaño o la finalidad del sitio.
¿Afecta la seguridad de la web al SEO?
Sí, directamente. HTTPS es una señal de posicionamiento confirmada, es decir, los sitios servidos de forma segura tienen ventaja de posicionamiento sobre los sitios HTTP. Además, las webs que los buscadores marcan por malware reciben etiquetas de advertencia en los resultados que reducen la tasa de clics casi a cero. Las advertencias de seguridad del navegador bloquean a los visitantes antes de que lleguen a la página. Un incidente de seguridad puede sacar un sitio de los resultados de búsqueda por completo hasta que se resuelva el problema y se revise.
¿Cuál es la medida de seguridad web más importante?
HTTPS mediante un certificado SSL es el mínimo imprescindible. Sin él, los datos enviados por los formularios viajan en texto plano y los navegadores marcan el sitio como no seguro. Además, una autenticación sólida en las cuentas de administración y mantener todo el software actualizado son las dos medidas que evitan la mayoría de los ataques habituales. Las copias de seguridad periódicas son el recurso final que limita el daño cuando fallan las demás medidas.
¿Cómo sé si han hackeado mi web?
Las señales habituales son que los visitantes cuenten que los redirigen a otros sitios sin esperarlo, que los resultados de búsqueda muestren páginas desconocidas o advertencias, que el sitio cargue mucho más lento de lo normal, que aparezca contenido que no añadió el propietario del sitio o que te quedes sin acceso al panel de administración. Muchos ataques están pensados para ser invisibles para el propietario del sitio mientras afectan a los visitantes, así que revisar con regularidad los informes de los escáneres de seguridad y vigilar caídas inusuales en el rendimiento de búsqueda son hábitos importantes.
¿Qué diferencia hay entre la seguridad de la web y la seguridad del alojamiento web?
La seguridad del alojamiento web se refiere a las protecciones aplicadas a nivel de infraestructura, como el servidor, la red y el centro de datos. La seguridad de la web se refiere a las protecciones aplicadas a nivel del sitio, como el código de la aplicación, los sistemas de autenticación y la configuración. Ambas importan. Un entorno de alojamiento seguro no protege una web con contraseñas débiles o software desactualizado, y una seguridad sólida a nivel de sitio no puede compensar un proveedor de alojamiento con malas prácticas de infraestructura.