¿Es seguro mi sitio web? Una revisión de 15 minutos para propietarios de empresas

Lo más probable es que usted no hiciera su sitio web. Alguien lo montó hace unos años, desde entonces funciona, y mientras el formulario de contacto envíe correos y la tienda reciba pedidos, no tiene motivo para mirar debajo del capó.

La mayoría de los propietarios solo piensa en la seguridad cuando algo va mal: un cliente comenta una redirección extraña, Google muestra un aviso o la empresa de alojamiento suspende la cuenta. Para entonces el arreglo cuesta más y el daño ya está hecho.

Muchos problemas se pueden detectar antes sin conocimientos técnicos. A continuación tiene seis comprobaciones que llevan unos quince minutos en total. Ninguna toca su código y ninguna puede romper nada.

1. Mire su sitio como lo ve Google

Abra Google y escriba site:sudominio.com, con su propia dirección. Obtendrá una lista de todas las páginas de su sitio que Google conoce.

Recórrala. Busca páginas que no reconoce: nombres de productos que nunca vendió, textos en japonés o chino, enlaces sobre farmacia, casinos o préstamos. A los sitios pirateados se les añaden a menudo, sin hacer ruido, miles de páginas de spam de este tipo, porque el atacante quiere aprovechar la reputación de su sitio en los resultados de búsqueda. Google tiene incluso una guía para una variante habitual, el llamado pirateo de palabras clave en japonés.

Si tiene acceso a Google Search Console, abra a la izquierda el informe Problemas de seguridad. Google enumera ahí todo lo que ha marcado en su sitio. Un informe vacío es una buena noticia.

2. Compruebe que el candado es de verdad

Haga clic en el candado junto a su dirección en el navegador y abra los detalles del certificado. Mire la fecha de caducidad. En la mayoría de los planes de alojamiento los certificados se renuevan solos, pero «la mayoría» no es «todos». Un certificado caducado muestra a sus visitantes un aviso a pantalla completa.

Después escriba su dirección a mano con http:// en lugar de https://, y otra vez con y sin www. Las cuatro variantes deben llevar a la misma dirección segura. Si alguna se queda en http sin cifrar, los formularios de esa variante envían los datos sin cifrar.

3. Averigüe cuándo se actualizó todo por última vez

Si su sitio funciona con WordPress y puede iniciar sesión, abra Escritorio > Actualizaciones. Anote tres cosas: la versión de WordPress, cuántos plugins esperan una actualización y si el tema tiene una pendiente.

Un plugin que lleva un año sin actualizarse es la vía de entrada más habitual a un sitio WordPress. Patchstack, una empresa que sigue las vulnerabilidades de WordPress, informa año tras año de que la gran mayoría de las nuevas están en los plugins, no en el propio WordPress.

Ya que está ahí, abra la página Plugins. Todo lo que figure como inactivo sigue en su servidor. A sus archivos a menudo se puede acceder directamente, esté activado o no. Si no usa un plugin, pida que lo borren, no solo que lo desactiven.

4. Cuente a las personas que pueden iniciar sesión

Todavía en el panel de administración, abra Usuarios y filtre por Administrador. Para cada nombre, pregúntese si esa persona sigue trabajando con usted.

Antiguos empleados, una agencia con la que dejó de trabajar hace dos años, un autónomo que corrigió un fallo: estas cuentas suelen durar para siempre. Cada una es una contraseña que usted no controla y que puede haberse filtrado en otro sitio. Elimine las que no necesite y asegúrese de que las que quedan usan inicio de sesión en dos pasos.

5. Compruebe quién puede enviar correo en su nombre

Entre en un comprobador gratuito como MXToolbox, elija la consulta de DMARC y escriba su dominio. Haga lo mismo con SPF.

Si falta DMARC, cualquiera puede enviar un correo que parezca salir de su dirección. Sus clientes no verán la diferencia, y una factura falsa con su logotipo y sus datos bancarios cambiados por los de otro es una de las estafas más comunes contra pequeñas empresas. Desde 2024, Gmail y Yahoo también exigen DMARC a quien envía correo masivo, así que la falta del registro perjudica también a sus boletines reales.

Un registro que dice p=none existe, pero solo observa. Lo que de verdad le protege es p=quarantine o p=reject. Pasar a ello es trabajo de quien gestiona su dominio, y le lleva minutos una vez que SPF y DKIM están en su sitio.

6. Pregunte dónde están las copias de seguridad

Esta es una pregunta, no un clic. Pregunte a la persona que cuida su sitio dónde se guardan las copias de seguridad.

Si la respuesta es «en una carpeta del mismo servidor», merece una segunda conversación. Un archivo de copia en la carpeta del sitio web, con un nombre como backup.zip o site-old.tar.gz, puede descargarlo cualquiera que adivine la dirección. Contiene todo su sitio, a menudo con la base de datos de clientes y su contraseña. Los bots prueban estos nombres de archivo en cada sitio que visitan.

Las buenas copias están en otro lugar, se hacen según un calendario y alguien ha probado a restaurar una al menos una vez.

Lo que estas comprobaciones no muestran

Las seis comprobaciones anteriores cubren lo que se ve desde su silla. Se les escapa lo que necesita una herramienta: si sus formularios aceptan datos que deberían rechazar, bibliotecas JavaScript antiguas con fallos conocidos, subdominios de prueba olvidados, puertos abiertos del servidor o archivos de configuración que cualquiera puede leer.

Para cubrir ese hueco creé ShieldWave. Usted escribe su dirección y en unos 90 segundos ejecuta más de 20 de estas comprobaciones desde fuera, como lo haría un atacante. El informe explica cada hallazgo con lenguaje claro, los ordena en lo que hay que corregir esta semana, este mes y más adelante, y le da un encargo listo para reenviar a su desarrollador. La primera revisión es gratuita y no necesita cuenta.

Cinco preguntas para quien cuida su sitio

No necesita entender las respuestas en detalle. Necesita oír que alguien ha pensado en ellas.

1. ¿Cuándo se actualizaron por última vez WordPress, el tema y los plugins, y quién lo hace?
2. ¿Dónde se guardan las copias de seguridad, cada cuánto se hacen y alguna vez ha restaurado una?
3. ¿Quién tiene acceso de administrador ahora mismo?
4. ¿Están configurados SPF, DKIM y DMARC para nuestro dominio, y DMARC está en quarantine o reject?
5. Si mañana pirateasen el sitio, ¿qué haría primero y cómo me enteraría yo?

Si las respuestas son vagas, eso también le dice algo. La seguridad del sitio web de una pequeña empresa es mantenimiento periódico, como la revisión de un coche. Rara vez necesita un gran presupuesto. Necesita que alguien la revise según un calendario, y ahora usted sabe qué pedirle que revise.