Mantenimiento web: para que su página funcione con fiabilidad

Una actualización puede cerrar una vulnerabilidad o estropear algo. Quien actualiza a ciegas en páginas en producción se arriesga a sufrir caídas. Un procedimiento limpio convierte el riesgo en rutina.

1. Hacer una copia. Antes de cada actualización, una copia de seguridad actual de archivos y base de datos, en un lugar separado.
2. Leer los cambios. Consultar las notas de la actualización: ¿corrección de seguridad, función nueva, cambio que exige adaptaciones?
3. Usar una copia de prueba. Instalar primero la actualización en una copia de la página (staging), no en la página en producción.
4. Comprobar las funciones importantes. Página de inicio, menú, formulario, pedido en la tienda, inicio de sesión, búsqueda, páginas con funciones especiales.
5. Pasar a producción. En un momento tranquilo, no justo antes de una campaña ni un viernes a última hora de la tarde.
6. Control posterior. Volver a comprobar las mismas funciones y revisar el registro de errores.
7. Tener preparada la vía de retorno. Si algo falla, está claro cómo se restaura rápidamente la versión anterior, según el caso.
8. Documentar. ¿Qué se actualizó, cuándo y de qué versión a cuál? Eso ayuda en una búsqueda de errores posterior.

En los grandes saltos de versión (nueva versión principal del sistema, cambio de versión de PHP) hace falta más antelación. Se planifican como un pequeño proyecto aparte, con fase de pruebas y plan de retorno.

La mayoría de los ataques no son ofensivas dirigidas, sino intentos automatizados. Hay programas que rastrean la red en busca de puntos débiles conocidos y prueban credenciales de acceso muy extendidas. Quien cierra las vulnerabilidades habituales deja de ser un objetivo rentable para la gran mayoría de estos intentos.

Medidas aplicables de inmediato

• Cada persona tiene su propia cuenta con solo los permisos que necesita. No hay accesos compartidos.
• No se utiliza el nombre de usuario estándar «admin».
• La página de inicio de sesión está protegida con autenticación en dos pasos y límite de intentos.
• Los permisos de archivos en el servidor están configurados de forma restrictiva y el contenido de los directorios no es visible públicamente.
• Los mensajes de error no muestran detalles técnicos a los visitantes.
• La conexión está cifrada y el certificado se renueva automáticamente y se supervisa.

En una emergencia ayuda un procedimiento preparado. Imprímalo y déjelo, junto con los datos de acceso (guardados de forma segura), donde las personas responsables puedan encontrarlo.

Avería 1: la página no está disponible

1. Compruebe si solo le afecta a usted (otro dispositivo, otra red).
2. Revise el dominio y el alojamiento: ¿está renovado el dominio? ¿Hay un aviso de avería del proveedor?
3. Busque errores en los registros del servidor. ¿Ha habido una actualización o algún cambio?
4. Restaure la última copia de seguridad que funcionaba si la causa no se encuentra rápido.
5. Informe a los clientes por otro canal (teléfono, redes sociales) si la caída se alarga.

Avería 2: sospecha de ataque informático

1. Bloquee los accesos: cambie las contraseñas, elimine las cuentas ajenas y, si es necesario, desconecte la página temporalmente (página de mantenimiento).
2. Guarde el estado sospechoso para aclarar la causa más adelante.
3. Instale una copia de seguridad limpia anterior al ataque y actualice todo.
4. Busque y cierre la vulnerabilidad; de lo contrario, el incidente se repetirá.
5. Compruebe si se vieron afectados datos personales. En ese caso puede haber obligaciones de notificación; consulte a su asesoría de protección de datos. Esto no constituye asesoramiento jurídico; en caso de duda, consulte a un abogado o abogada.

Avería 3: el formulario no funciona

1. Envíe una solicitud de prueba y revise la carpeta de spam y la bandeja de entrada.
2. Compruebe si su proveedor de correo acepta la dirección del remitente (configuración de SPF, DKIM, DMARC).
3. Busque errores de envío en el registro del servidor.
4. Hasta que se resuelva, ofrezca de forma bien visible una segunda vía, por ejemplo, un número de teléfono o una dirección de correo.

Avería 4: el navegador avisa «No seguro»

1. Revise el certificado: ¿caducado, dominio incorrecto, cadena incompleta?
2. Renuévelo en el proveedor de alojamiento o a través del servicio configurado.
3. Después compruebe que todos los contenidos (imágenes, scripts) se cargan cifrados, para que no queden avisos de contenido mixto.

La mayoría de los incidentes de seguridad en páginas pequeñas no son proezas de piratas informáticos, sino problemas de acceso: una contraseña antigua, la cuenta de una persona que hace tiempo que ya no está en la empresa, un acceso enviado por correo. Poner orden en los accesos es, por tanto, la medida de seguridad más eficaz y más barata.

Gestor de contraseñas. Un programa que genera y guarda para cada cuenta una contraseña aleatoria larga y propia. Solo tiene que recordar una contraseña maestra robusta. Es más seguro que cualquier regla mnemotécnica y más cómodo.

Autenticación en dos pasos. Además de la contraseña, un código de una aplicación o una llave de seguridad. Actívela para el área de administración, el alojamiento, la cuenta de dominio, el correo y el almacenamiento en la nube. Si pierde el segundo factor, necesitará códigos de recuperación guardados por separado.

Roles en lugar de cuenta compartida. Los redactores reciben solo permisos de redactor, no de administrador. Los proveedores de servicios reciben cuentas propias que se pueden desactivar. Así se puede saber quién hizo qué.

Entrega segura. Los datos de acceso no se envían por correo electrónico ni por mensajería en texto plano, sino que se comparten a través del gestor de contraseñas o se transmiten por separado (nombre de usuario y contraseña por vías distintas) y se cambian después de su uso.

Lista de comprobación cuando sale una persona o un proveedor de servicios

1. Desactivar o eliminar la cuenta en el área de administración del sitio web.
2. Bloquear los accesos a alojamiento, dominio, correo y nube o transferirlos a los nuevos responsables.
3. Cambiar las contraseñas de uso compartido (donde las haya).
4. Revisar y retirar el acceso a estadísticas, Search Console y cuentas publicitarias.
5. Renovar las claves de aplicación (claves API) de los servicios que esa persona conocía.
6. Pedir que se entregue la documentación: estructura, particularidades, tareas pendientes.
7. Anotar con fecha en el registro de accesos.

Un estudio de arquitectura (totalmente inventado) gestiona una página con WordPress. Un lunes por la mañana, un cliente avisa de que al abrir la página aparece una advertencia del navegador. Así podría ser un procedimiento limpio:

1. Primer diagnóstico: el proveedor de servicios revisa la página, ve código inyectado en un archivo y un identificador de administrador desconocido.
2. Contener: la página se redirige a una página de mantenimiento y se cambian todas las contraseñas (alojamiento, área de administración, base de datos, correo).
3. Guardar las pruebas: se guardan los registros y el estado modificado para aclarar la causa.
4. Buscar la causa: un complemento sin actualizaciones desde hacía mucho tiempo tenía una vulnerabilidad conocida.
5. Reinstalar de forma limpia: el sistema se restaura desde una copia de seguridad anterior a la manipulación en una cuenta nueva, se actualizan todos los componentes y se elimina el complemento afectado.
6. Comprobar: se examinan otras páginas y buzones en busca de anomalías, y se notifican y revisan las advertencias de los buscadores en la cuenta de la Search Console.
7. Informar: se informa del incidente a los clientes afectados en una medida adecuada. Si pudieran verse afectados datos personales, se avisa a la asesoría de protección de datos, porque pueden correr plazos de notificación.
8. Aprender: se documenta el incidente y se completa el plan de mantenimiento (inventario de complementos, supervisión de seguridad).

Quien está preparado así pierde horas en lugar de días. El daño suele deberse menos al propio ataque que a la falta de copias de seguridad y de claridad en los accesos.

Staging

Una copia de prueba de la página en la que se revisan los cambios antes de pasar a producción.

Backup

Copia de seguridad de archivos y base de datos.

Certificado SSL/TLS

Certificación digital que permite la conexión cifrada entre el navegador y el servidor.

Autenticación en dos pasos

Inicio de sesión con contraseña más una segunda prueba, por ejemplo un código de una aplicación.

Fuerza bruta

Prueba automática de muchas contraseñas.

Complemento (plug-in)

Extensión que añade una función a un sistema.

Parche

Pequeña corrección de software, a menudo para resolver una vulnerabilidad de seguridad.

SPF, DKIM, DMARC

Ajustes con los que los servidores de correo comprueban si un correo procede realmente de su dominio.