Mantenimiento y seguridad del sitio web: qué hacer con regularidad

Las tareas más importantes

• Actualizaciones: Mantener al día el sistema, las extensiones y los temas. Las versiones obsoletas son una vía de entrada frecuente.
• Copias de seguridad: Copias periódicas que se guarden en otro lugar y se puedan restaurar.
• Accesos: Contraseñas largas y únicas, autenticación en dos pasos, eliminar las cuentas que no se necesiten.
• HTTPS: Certificado válido, renovación automática.
• Supervisión: Tener a la vista la disponibilidad y los errores.
• Limpieza: Eliminar las extensiones sin uso.

¿Con qué frecuencia?

Las actualizaciones de seguridad, lo antes posible; las copias de seguridad, de diarias a semanales según la frecuencia de los cambios; pruebas de funcionamiento tras los cambios importantes y revisiones periódicas de formularios y enlaces.

Ejemplo práctico: un año de mantenimiento

Así puede ser un ritmo razonable para la página de una empresa. Cada semana: comprobar la disponibilidad y el formulario, leer los avisos de seguridad del sistema. Cada mes: instalar las actualizaciones, hacer antes una copia de seguridad y después recorrer las páginas más importantes. Cada trimestre: revisar las cuentas de usuario, comprobar el certificado y la vigencia del dominio, restaurar una copia de seguridad a modo de prueba. Cada año: comprobar que los contenidos estén al día, eliminar las extensiones sin uso, revisar la tarifa de alojamiento y los costes. Lo decisivo es que alguien sea responsable de ello con nombre y apellidos; de lo contrario se queda sin hacer.

Errores típicos

• Copia de seguridad solo en el mismo servidor: Si el servidor falla o sufre un ataque, la copia desaparece con él.
• Copia de seguridad nunca probada: Una copia solo cuenta cuando se ha restaurado con éxito.
• Cuenta de administrador compartida: Si todos usan la misma contraseña, no se puede saber quién cambia qué, y cuando un empleado se va hay que cambiarlo todo.
• Aplazar las actualizaciones porque «funciona»: Las vulnerabilidades suelen ser de dominio público antes de que se instale una actualización.
• Pasar por alto el vencimiento del dominio: Si se pierde la renovación, la página desaparece y, en el peor de los casos, también la dirección de correo electrónico.

Cómo reconocer un ataque

Posibles señales son páginas o enlaces desconocidos en los resultados de búsqueda, redirecciones a sitios ajenos, tiempos de carga que de pronto se vuelven lentos, avisos en el navegador o notificaciones en la cuenta de búsqueda de Google. Ante una sospecha: cambie los datos de acceso, bloquee los accesos, restaure una copia de seguridad limpia y aclare la causa antes de volver a publicar la página. Resulta útil configurar la Google Search Console, que puede avisar de problemas de seguridad.

Ayuda para decidir: ¿encargarse uno mismo o externalizar?

Encargarse uno mismo compensa si conoce el sistema, reserva tiempo fijo para ello y sabe instalar las actualizaciones con seguridad. Externalizar tiene sentido si la página es crítica para el negocio (por ejemplo, una tienda), nadie en la empresa tiene los conocimientos o las vacaciones y las bajas por enfermedad dejarían el mantenimiento con lagunas. Una página de bajo mantenimiento y sin muchas extensiones reduce el esfuerzo en ambos casos; más sobre la elección del sistema en WordPress o a medida.

Mito frente a realidad

Mito: A los atacantes no les interesan las páginas pequeñas. Realidad: Muchos ataques son automatizados y buscan de forma específica vulnerabilidades conocidas, sin importar el tamaño de quien la gestiona. Una página pequeña con una extensión obsoleta es un objetivo tan fácil como una grande. Un ataque puede perjudicar ya cuando la página se usa como base para enviar spam o redirecciones sin que usted lo note al principio.

Documentar los accesos y las responsabilidades

Deje por escrito dónde están registrados el dominio, el alojamiento, el correo electrónico y el área de administración del sitio web, y a nombre de quién. Ocurre con más frecuencia de lo que se piensa que una agencia anterior o un empleado figure como titular y que nadie tenga ya acceso. Con un breve resumen guardado en un lugar seguro y al menos dos personas autorizadas evitará esa paralización. Las contraseñas deben estar en un gestor de contraseñas, no en una tabla abierta ni en un correo electrónico.

Menos tecnología, menos riesgo

Cuantas menos extensiones y servicios externos use una página, menores son el esfuerzo y el riesgo. Por eso construimos de forma deliberadamente ligera. Si lo desea, el soporte continuo forma parte de los servicios descritos en Sitios web.