Me levanté, desayuné y encendí mi ordenador. Empecé a organizar mi día, tenía varios proyectos urgentes pendientes. Abrí mi correo y vi un mensaje que me llamó la atención. Inmediatamente supe que hoy no sería un gran día.
«Acceso a la web desactivado».
Rápidamente pulsé sobre el mensaje y lo leí. Abrí mi navegador y comprobé lo que decía. Era cierto, una de mis webs estaba inaccesible.
En el mensaje se explicaba por qué. Había sido objeto de un ataque y tenía varias páginas infectadas.
No era la primera vez que me pasaba algo así, así que ya sabía lo que tocaba.
Tendría que tirarme prácticamente toda la mañana hablando con los del alojamiento, escaneando los ordenadores con acceso a las web infectadas y los ficheros de las webs en aquel hosting, tendría que cambiar contraseñas y buscar una copia de seguridad limpia.
Si esto no te ha pasado, es difícil que te pueda transmitir lo problemático de la situación, pero lo intentaré.
Por un lado, vas a perder toda la mañana, o incluso todo el día. Por otro, si tienes un negocio basado en internet que funciona, vas a perder un montón de dinero y algunos de tus empleados estarán mano sobre mano esperando que el problema se solucione.
Para ahorrarte esta situación, hoy tenemos con nosotros a Pedro Santos, especialista en seguridad por internet y director de Host-Fusion, empresa dedicada al hosting y diseño web.
La entrevista está dividida en tres bloques, uno de prevención, otro de cura y un último sobre alojamiento web.
Hola, Pedro. Gracias por estar hoy con nosotros.
Como venía contando, ya he tenido alguna experiencia con virus, troyanos y demás fauna salvaje del internet, y sé de primera mano lo molesto de todo esto. Así que estoy deseando escuchar tus consejos para mantener bien lejos a toda esa tropa.
Si te parece, vamos a ello.
Prevención
- ¿Cómo se infectan las web, cuál es la razón más común? Propio ordenador, no actualizar, claves poco seguras, servidores poco seguros… Hola, en primer lugar darte las gracias por la entrevista y saludar a todos vuestros lectores.
Las causas de infecciones webs son múltiples, hoy en día la gran mayoría de webs están realizadas con CMS como WordPress, Joomla y sistemas creados en php.
Tener estos sistemas desactualizados, ya sean los core, los themes, plugins o extensiones es la causa más común de ser infectados por malware.
Por otro lado también existe la posibilidad de que sean infectados por vulnerabilidades en un servidor que no está bien protegido o actualizado. En este caso, incluso si tu web está totalmente actualizada en sus componentes, puede ser víctima de una infección que afecte a todo el servidor.
Es muy importante también la seguridad y actualizaciones de los propios ordenadores del usuario. Si estos son comprometidos, lo más normal es que la información sensible que almacenemos, claves, datos bancarios, tarjetas, cuentas de correo, etc. se vean comprometidas y utilizadas para actividades delictivas (spam, propagación de virus, accesos a cuentas bancarias, etc.)
- Pregunta muy concreta, ¿se puede infectar una web en html que funciona sin base de datos ni programación?
Partiendo de la base que html no es un lenguaje de programación y si además no utiliza base de datos, ni formulario en php, no es probable que sea infectado. Sin embargo, si el servidor se ve comprometido o el ordenador del administrador de la web tiene algún malware, sí que podrá infectarse.
- En el caso de WordPress, ¿qué plugins de seguridad aconsejas para prevención?
Me gustan Ninjafirewall, Wordfence y Sucuri Security. Tienen además la ventaja de que se pueden combinar y utilizar juntos. Existen muchos otros, pero destacaría estos tres.
- Otra pregunta más bien concreta, ¿es buena idea usar la opción de multisite de Worpress? Si lo usas ¿tienes más o menos riesgo? ¿los virus pueden afectar a todas las páginas dentro?
El uso de multisite en WordPress va en función de las necesidades de la web y el proyecto. La ventaja de multisite es que desde el administrador principal se puede tener actualizado todos los sitios, pero corre el mismo riesgo que cualquier WordPress desactualizado y vulnerable.
- ¿Algún consejo respecto a la copia de seguridad? Aparte de hacerla, claro :-).
Pues eso, hacerla y guardar las copias en local, además de disponer de algún sistema de restauración como el que ofrecemos nosotros a nuestros clientes.
De esta forma, si tienen alguna incidencia, ellos mismos pueden restaurar la copia con un solo clic. Estos backups se generan automáticamente sin intervención y sin plugins, y se pueden descargar al ordenador local.
- ¿Hay algún plugin popular que desde el punto de vista de seguridad sea problemático?
El problema es que el desarrollador no lo actualice, pero casi todos los plugins de seguridad disponen de equipos de desarrollo que mantienen los plugins actualizados. Mi recomendación es siempre utilizar plugins originales y no utilizar plugins de dudosa procedencia.
Internet está lleno de plugins de pago crackeados que se ofrecen gratis. Desde el momento que te lo descargas te conviertes en su víctima, tú y quien visita tu web.
- Las páginas de WP necesitan actualizaciones prácticamente todas las semanas, esto puede ser bastante fastidioso. ¿Es realmente necesario actualizar todos los plugins?, ¿hay algunos más importantes que otros?, ¿hay alguna forma de automatizar las actualizaciones?
Cierto y en ocasiones resulta tedioso estar todo el día actualizando, más si administras varias webs. Con todo, hay empresas que facilitan centralizar todos tus sitios y actualizarlos desde la misma interfaz, como puede ser ManageWP. Existen otros plugins y empresas que ofrecen servicios parecidos.
Es importante tener todos tus sitios actualizados, ya sea el core, plugins y themes. Esto te asegura tenerlo todo al día, con sus mejoras y sus fix de seguridad. No hacerlo te convierte en carne de cañón hay que huir de cosas como «no actualizo porque todo funciona bien y tengo miedo a que se rompa algo» esto, es un error.
En seguridad no hay plugins cuya actualización sea más importantes que la de otros. Si el plugin es vulnerable, lo más normal es que tu web acabe comprometida.
Cura
- ¿Cómo podemos saber que nuestra web está infectada?
Si tu web está infectada empezarás a notar que hace cosas extrañas, que se redirecciona a otros sitios, que las búsquedas en google incluyen páginas que tú no has creado, que tus visitantes te avisan de que les salta el antivirus, etc.
Si te das de alta en Google Search Console recibirás avisos indicándote que tu web está comprometida. También tu proveedor de hosting puede detectarlo con sus sistemas antivirus y avisarte. Por supuesto, si utilizas plugins como Wordfence, este escanea a diario y si detecta algo te informa mediante email.
Nosotros, en este aspecto somos pro activos y si nuestros sistemas detectan alguna incidencia, actuamos directamente. Solucionamos el problema e informamos al cliente de lo ocurrido, las medidas tomadas y los pasos que debe seguir para que no se repita el problema.
- Una vez que hemos descubierto que una web está infectada, así, de forma muy básica y general ¿qué pasos deberíamos dar?
Lo primero es desactivar la web para que no sea indexada por Google y de esta forma evitar ser baneada y marcada como web «peligrosa» ya que si esto ocurre corremos el riesgo de desaparecer del motor de búsqueda.
Si disponemos de una copia de seguridad limpia, restaurar, y asegurarnos de que todo está actualizado, cambiar contraseñas de administrador y de usuario de la base de datos.
Si es un WordPress podemos reinstalar WordPress, plugins, themes. Todo dependerá del tipo de infección y de hasta dónde ha llegado.
Mi consejo es ponerlo en manos de profesionales si no sabemos cómo solucionar el problema, ya que una reinfección es normal si no se toman medidas.
- Antes preguntábamos por plugins de WP para la prevención de infecciones. Ahora, me gustaría saber, ¿cuáles aconsejas para la cura?
En realidad no existen plugins que realicen curas, hay que limpiar los sitios manualmente. Sin embargo, Wordfence y Sucuri Security tienen herramientas para ayudarte a limpiar y restaurar la web, como puede ser restaurar archivos del repositorio de WordPress o reinicializar plugins.
- Tienes un grupo en FB sobre seguridad en WordPress, ¿puede darse cualquiera de alta y resolver allí sus dudas sobre prevención y cura?
Si, recientemente hemos creado un grupo en FB llamado Seguridad WordPress que está abierto para cualquiera que solicite unirse al grupo.
No es exactamente un grupo creado para dar soporte técnico, es más bien para compartir y participar y a nivel informativo, vamos publicando avisos sobre seguridad en WordPress, plugins y themes vulnerables con el fin de que el usuario esté informado y pueda tomar medidas cuanto antes.
Si bien es cierto también se plantean casos y dudas que intentamos que el resto de usuarios del grupo aporten sus conocimientos y experiencias similares. El fin es informar, colaborar y estar informado.
Alojamiento web
- ¿Qué es en tu opinión lo más importante a la hora de contratar un hosting?
Contratar con una empresa de confianza, que esté reconocida en el sector y te ofrezca soporte técnico especializado, servicios, garantías y calidad. No nos quedemos solo con los precios, cual es el más barato o el más caro. Lo barato sale caro.
- ¿Qué hostings populares no contratarías nunca? ¿Hay alguno que te parezca especialmente bueno? (aparte del vuestro en Host-Fusion, claro)
En esto tengo una máxima, no hablar ni bien ni mal de otras empresas, creo que la ética es un gran valor, evidentemente puede haber mejores y peores, pero al final el que opina y valora es el cliente.
- ¿Qué es lo que diferencia el hosting de Host-Fusion de los demás? ¿Para quién está pensado vuestro servicio especialmente?
Nuestro soporte personalizado, nuestros clientes son nuestros amigos, nuestra familia y los cuidamos.
Nuestros servicios están especializados en Hosting para WordPress seguro y somos de las pocas empresas que ofrecen herramientas específicas para WordPress como auto-instalación en un clic, restauración en un clic, backups configurables, certificados SSL gratuitos, firewall con reglas personalizadas anti hackeos, antivirus y sistema de parches virtuales para proteger las instalaciones de nuestros clientes y un equipo de soporte especializado en WordPress que ayudan y dan soporte a nuestros clientes.
—-
Pues, muchas gracias por tus consejos, Pedro. Seguro que nos ayudarán a más de uno a mantener nuestras webs a salvo. A mí desde luego me has dejado con ganas de probar vuestros servicios 🙂
Esto es todo por hoy. No olvidéis que si necesitas un alojamiento, en Host-Fusion tienes una opción segura y profesional a buen precio.
Es más, Pedro ha dejado aquí un código descuento para vosotros: VAN3
Aquí podéis contratar el servicio: https://host-fusion.com/whmcs/cart.php
Con este código de descuento recibes un 15% de descuento en hosting.
Tanto el descuento como el dominio gratis son para siempre. Puedes elegir dominios de las extensiones .es .com .net .org .info y te instalan WordPress con medidas de seguridad, certificado SSL (tan importante hoy para SEO) y backups configurados.
Latest posts by Adrián (see all)
- Cómo crear tu marca y vender más – Entrevista con Pau Dalmau de Morillas - 14 febrero, 2017
- ¿Te ha pasado alguna vez? Prevención y cura de webs infectadas - 8 diciembre, 2016
- Internet, ¿lugar sin ley? – dudas legales en internet - 26 octubre, 2016
- +80 recetas para hacer crecer tu negocio más rápidamente - 19 septiembre, 2016
- Qué es el growth hacking y cómo se aplica - 13 julio, 2016
Deja una respuesta