Octubre es el Mes de la Concienciación sobre la Ciberseguridad, y la mayoría de los consejos que leerás este mes están dirigidos a empresas que cuentan con un equipo de seguridad específico. Si gestionas tu propio VPS, servidor dedicado o cuenta de revendedor, probablemente no tengas uno. Solo estás tú, quizá un desarrollador, y una larga lista de cosas que no tienen nada que ver con la seguridad.
La buena noticia es que la mayoría de los incidentes en los servidores se deben siempre a las mismas pocas deficiencias. Esta guía te guía a través de cinco preguntas que las abordan. Cada una incluye por qué es importante, una rápida autoevaluación y una acción que debes llevar a cabo este mes. Puedes repasar las cinco en una tarde.
1. ¿Podrías restaurar tu página web hoy?
Casi todo el mundo tiene copias de seguridad. Pero son muy pocos los que alguna vez han restaurado una. Ahí está el problema: una tarea de copia de seguridad puede indicar que se ha realizado correctamente durante meses, aunque la copia esté incompleta, se guarde en el mismo servidor que protege o se haya eliminado antes de que te des cuenta del problema.
La mayoría de las restauraciones no se deben a ataques. Se deben a una actualización fallida de un plugin, a una carpeta borrada o a una migración que sale mal un viernes por la tarde. Sea como sea, la pregunta es la misma: ¿cuánto tardas en volver a donde estabas?
Autoevaluación rápida
- ¿Sabes exactamente dónde se guardan tus copias de seguridad? ¿Y es en algún sitio que no sea el propio servidor?
- ¿Has restaurado alguna copia de seguridad en los últimos seis meses?
- ¿Guardas un historial lo suficientemente amplio como para volver a una versión anterior a cuando empezó el problema?
Una cosa que hacer este mes: elige una página web que no sea crítica y restaura su estado anterior. Mide cuánto tiempo tardas y comprueba qué se ha recuperado.
Más información: Tu plan de continuidad solo es tan bueno como tu última restauración
2. ¿Quién tiene acceso a tu servidor y a tus cuentas en este momento?
Cada inicio de sesión es una puerta. Con el tiempo, los servidores acumulan puertas que ya nadie recuerda haber abierto: la clave SSH de un antiguo desarrollador, la cuenta del panel de control de un colaborador externo, un inicio de sesión de administrador que comparte todo el equipo.
Los atacantes no siempre tienen que entrar por la fuerza cuando ya hay un nombre de usuario y una contraseña válidos circulando por ahí. Las credenciales robadas y reutilizadas aparecen en una gran parte de las filtraciones, a menudo mucho después de que la persona a la que pertenecían ya no necesitara acceso.
Autoevaluación rápida
- ¿Podrías hacer una lista de todas las personas que tienen acceso a tu cuenta de alojamiento, SSH, panel de control y área de administración del CMS?
- ¿Tienes activada la autenticación multifactorial en tu cuenta de alojamiento web y en tu registrador de dominios?
- ¿Cada uno tiene su propio nombre de usuario, o se comparten algunas contraseñas?
Una cosa que tienes que hacer este mes: haz una lista de todas las cuentas de acceso de tu servidor y asigna cada una a una persona real. Elimina todo lo que no puedas explicar.
Más información: ¿Quién puede acceder a tu servidor? Una auditoría de acceso de 30 minutos
3. ¿Qué hay entre los atacantes y tu página web?
En cuanto un servidor se conecta a Internet, el tráfico automatizado empieza a analizarlo en busca de inicios de sesión poco seguros, vulnerabilidades conocidas y cualquier otra cosa que pueda aprovechar. La mayor parte de ese tráfico ni siquiera debería llegar a tu aplicación.
La capa situada delante de tu sitio web es la que se encarga de ese filtrado. Dependiendo de cómo lo tengas configurado, puede ser un cortafuegos de aplicaciones web, una CDN con protección contra DDoS como Cloudflare, un escáner de malware como Imunify360 o una combinación de todo ello. Lo importante es saber qué herramientas tienes y qué hace realmente cada una, porque no se solapan tanto como la gente cree.
Autoevaluación rápida
- ¿Sabes qué protege tu sitio web del tráfico malicioso antes de que llegue al servidor?
- ¿Haces análisis en busca de malware de forma programada, y no solo cuando ves que algo va mal?
- ¿Sabes qué pasaría con tu página web si se produjera una avalancha de tráfico?
Una cosa que tienes que hacer este mes: anota todas las herramientas de seguridad que tienes en el servidor y para qué sirven. Así verás enseguida si hay lagunas o duplicados.
Más información: ¿Sigo necesitand Cloudflare si tengo alojamiento en la nube? y ¿Sigo necesitand si tengo alojamiento en la nube?
4. ¿Hay algún programa que funcione con software que ya no reciba actualizaciones?
Hay una diferencia entre el software que está desactualizado y el que ya no recibe soporte. «Desactualizado» significa que existe una solución y aún no la has aplicado. «Sin soporte» significa que no va a haber ninguna solución.
Esto tiene una fecha límite. PHP 8.2 dejará de recibir actualizaciones de seguridad el 31 de diciembre de 2026, y PHP 8.1 y versiones anteriores ya han dejado de recibirlas. Para los sitios web de WordPress , los plugins son el mayor riesgo. La gran mayoría de las nuevas vulnerabilidades de WordPress se encuentran en los plugins, y algunos de esos plugins ya no los mantiene nadie.
Autoevaluación rápida
- ¿Sabes qué versión de PHP utiliza cada una de tus páginas web?
- ¿Algún plugin tuyo lleva un año o más sin actualizarse?
- ¿El proveedor sigue ofreciendo soporte para el sistema operativo de tu servidor?
Una cosa que tienes que hacer este mes: comprueba la versión de PHP en cada página web y elimina cualquier plugin que no estés usando activamente.
Más información: ¿Hay algún programa en tu servidor que haya dejado de recibir actualizaciones?
5. ¿Qué aspectos de la seguridad son responsabilidad tuya y cuáles son responsabilidad de tu proveedor de alojamiento?
En todos los planes de alojamiento, la seguridad es una responsabilidad compartida entre tú y tu proveedor. En un plan gestionado, tu proveedor de alojamiento puede encargarse de las actualizaciones del sistema operativo y de la configuración del servidor. En cambio, en un VPS no gestionado o en un servidor dedicado, la mayor parte de eso recae en ti. En cualquier plan, el código de tu página web, los plugins y las cuentas de usuario siguen siendo tuyos.
Que haya una discrepancia no es el problema. El problema es no saber dónde está. El peor momento para averiguar quién tenía que haber aplicado una actualización es el día después de que no se haya aplicado.
Autoevaluación rápida
- ¿Sabes si tu plan es gestionado o no gestionado, y qué es lo que cubre?
- ¿Sabes quién instala las actualizaciones de seguridad del sistema operativo en tu servidor?
- Si tu página web se viera comprometida esta noche, ¿sabes a quién llamarías primero?
Una cosa que tienes que hacer este mes: lee los detalles de tu plan y anota cuáles son tus tareas. Si hay algo que no te queda claro, pregunta a nuestro equipo de atención al cliente.
Más información: ¿Qué aspectos de la seguridad son responsabilidad tuya y cuáles son responsabilidad de tu proveedor de alojamiento?
Cuando un servidor no es suficiente
Si al repasar esta lista te has dado cuenta de cuánto tiempo de tu semana te lleva el mantenimiento, no eres el único. Las copias de seguridad, el acceso, la aplicación de parches y el filtrado son tareas que no dejan de crecer a medida que añades sitios web y aumenta el tráfico.
InMotion Cloud es nuestra nube privada gestionada para equipos que prefieren dejar esas tareas en manos de los ingenieros. Las actualizaciones del sistema operativo, las copias de seguridad, el filtrado WAF y DDoS, la supervisión y la respuesta ante incidentes están incluidas en todos los planes, y contarás con ingenieros expertos como tu primer punto de contacto.