Nadie eligió tu negocio

Nadie eligió tu negocio. Esa es la parte que se suele entender mal sobre la seguridad de un sitio web.

Puede que no sepas con qué está hecho tu sitio web. Casi siempre da lo mismo. Wix, Squarespace, el creador de sitios de GoDaddy y Shopify son plataformas alojadas. En cualquiera de ellas aplican igual las cuentas, el dominio, la autenticación de dos factores y las revisiones gratuitas. Cuando un paso es solo para WordPress, se indica.

Lo que en realidad está pasando

El escaneo es automático. Un programa recorre todas las direcciones que encuentra, prueba una lista de fallas que ya son públicas y sigue de largo. No le importa qué tan pequeño seas, ni que las reservas te lleguen por teléfono, ni que el sitio tenga cinco páginas. No eres un blanco. Eres una fila en una lista.

Es mejor noticia de lo que parece, porque cambia en qué consisten las soluciones. No te estás defendiendo de alguien que está pensando en ti. Estás cerrando puertas que una máquina va a probar, no va a poder abrir y va a dejar atrás. Las soluciones son aburridas, son pocas y se terminan.

Puedes verlo pasar, si tu hosting tiene un panel de control. Abre el registro de accesos de tu sitio web. El hosting basado en cPanel lo muestra en Raw Access o Visitors. Algunas plataformas no te dan ningún registro, y si la tuya no lo hace, pasa directo a la lista de abajo. Recorre un minuto del registro. Las líneas que vale la pena mirar son las solicitudes de páginas que no existen, las pantallas de inicio de sesión de programas que nunca se instalaron y los nombres de archivos que nunca estuvieron ahí. Si no encuentras ninguna, ese también es un buen resultado.

Cinco cosas, en este orden

Aparta una tarde, o haz un paso al día entre cliente y cliente. Nada de esto necesita un especialista.

1. Averigua con qué funciona tu sitio y quién lo actualiza. Las fallas que se prueban ya son públicas. Eso normalmente significa que la solución también es pública, y más vieja que el intento. En una plataforma alojada, el proveedor actualiza el software y no tienes nada que instalar. En WordPress, la pantalla de Actualizaciones te dice cómo estás. Si el sitio lo hizo otra persona y no tienes con qué entrar, escríbele por correo y pregunta cuándo se actualizó por última vez. "No sé" es una respuesta útil.

2. Elimina lo que no estás usando. Cada plugin, tema y aplicación conectada es más código instalado en tu sitio, incluidos los que probaste una vez y dejaste ahí. En una plataforma alojada, quita las aplicaciones que ya no uses. En WordPress, desactivar un plugin deja sus archivos donde estaban, así que borra los que no vayas a volver a usar. Deja instalado un tema predeterminado. WordPress recurre a él si el tema activo falla.

3. Dos factores en tres cuentas: el dominio, el hosting y el correo. En una plataforma alojada, la cuenta de hosting es la misma con la que entras a la plataforma. El registrador del dominio es la cuenta más fácil de olvidar. Quien controla tu dominio puede apuntarlo a donde quiera, y muchas veces puede restablecer otras contraseñas a través del correo asociado a él. Ya que estás en el panel del registrador, revisa la fecha de vencimiento del nombre. Revisa el correo de contacto que figura en el registro. Un nombre .com.au es una licencia, con fecha de renovación y un contacto. Si ese contacto es alguien que ya no está en el negocio, cámbialo hoy.

4. Averigua quién todavía tiene acceso. Escribe la lista en papel: los accesos al sitio web, la cuenta de hosting o de la plataforma, el registrador del dominio, el correo compartido, los administradores de tu Perfil de Empresa de Google, el sistema de reservas, las redes sociales. Una recepcionista que se fue el año pasado. Un desarrollador de hace tres años. Un amigo que ayudó una vez con la mejor intención. Para cada nombre, la pregunta no es si confías en esa persona. Es si te darías cuenta.

El acceso no es lo mismo que la propiedad. Quién figura como titular de la licencia del dominio es información pública, y revisar ese registro es lo primero que hay que hacer antes de aceptar que te rehagan el sitio.

5. Ten una copia de seguridad que hayas restaurado de verdad. Una copia de seguridad que nunca restauraste es un archivo, no una copia de seguridad. Aparta una mañana tranquila para la prueba, y hay otro artículo sobre cómo hacerla. En una plataforma alojada, guarda tu propia copia del texto de las páginas, las fotos y la lista de precios.

De lo que no vale la pena preocuparte

El ruido del registro, por sí solo, no es un incidente. Las solicitudes de un inicio de sesión de WordPress en un sitio que no tiene WordPress son una máquina tocando una puerta que no existe. No hay nada que hacer con ellas, y bloquear cada dirección a mano no se acaba nunca, porque la lista se vuelve a llenar.

Una calificación con letra de un sitio gratuito que analiza encabezados no es una emergencia. Vale la pena agregar los encabezados de seguridad que falten la próxima vez que alguien toque el código. No son motivo para llamar a nadie un domingo. En una plataforma alojada, esos encabezados los pone tu proveedor y no tienes nada que hacer.

El spam en el formulario de contacto es molesto, no una intrusión. Casi siempre significa que el formulario funciona.

Un correo no solicitado que te avisa que encontraron una vulnerabilidad en tu sitio es un mensaje de venta hasta que se demuestre lo contrario. No hagas clic en nada de ese correo. En vez de eso, haz por tu cuenta las revisiones gratuitas de más abajo. Eso incluye nuestros correos. Todo lo que le escribimos a una empresa dice qué vimos en un navegador, en una fecha concreta, y nada más.

La excepción que sí hay que tomarse en serio solo aparece en los sitios autoalojados: software que ya dejó de recibir actualizaciones por completo. Si la versión que tienes ya no tiene soporte, por más cuidado que tengas eso no se arregla, y va en la lista de cosas que hay que planear.

Revisiones gratuitas que puedes hacer hoy

Las cuatro sirven sin importar con qué esté hecho tu sitio.

Google Search Console, en la sección Seguridad y acciones manuales. Tienes que verificar el sitio una vez antes de que Google te muestre algo. La verificación es gratis y se hace una sola vez. Si Google detectó algo, ahí es donde lo dice, y nombra las páginas. Lo que quieres es que esté vacío.

El estado del sitio en Navegación Segura de Google, en transparencyreport.google.com/safe-browsing/search. Escribe tu dominio. Te dice si Google está advirtiendo en este momento a los visitantes que se alejen de tu sitio. Si el tráfico cayó de golpe, una advertencia aquí lo explicaría.

MXToolbox, en mxtoolbox.com. Haz la revisión de listas negras y la consulta del registro SPF de tu dominio. Lee bien cada aparición antes de actuar. Muchas son contra una dirección compartida de tu proveedor de correo y no contra ti. Aparecer en una lista de la que nunca has oído hablar no es lo mismo que estar bloqueado por Gmail o por Outlook. Si tu correo está llegando con normalidad, anótalo y sigue.

Have I Been Pwned, en haveibeenpwned.com. Escribe cada dirección de correo que pueda entrar a algo de la lista que hiciste en el paso cuatro. Un resultado aquí no prueba que haya un problema en tu sitio. Es un motivo para cambiar esa contraseña y activar la autenticación de dos factores, que de todos modos era el paso tres.

Por dónde empezar

Haz primero el paso tres. Activar la autenticación de dos factores en el dominio, el hosting y el correo es rápido y se hace de una sentada. Además protege las cuentas de las que dependen los otros cuatro pasos. Después escribe la lista de accesos. Ese es el orden que usaríamos en un sitio que nunca hemos visto, porque un sitio web se puede volver a hacer y un dominio que está en la cuenta de otra persona no.

Si prefieres encargarle esa tarde a otra persona, ese es el tipo de trabajo que hacemos. En cualquier caso, la lista de arriba es la lista completa, y se termina cuando se termina.