Hacerse cargo del sitio web de un cliente: qué revisar antes de presupuestar

Un cliente nuevo ha dejado de trabajar con su desarrollador anterior y quiere que alguien se haga cargo del sitio web. Le pregunta cuánto costará el mantenimiento mensual. Es tentador responder con su tarifa habitual. El problema es que todavía no sabe a qué se compromete.

Un sitio que ha cambiado de manos puede traer decenas de plugins, algunos sin tocar desde hace mucho, un volcado de la base de datos en una carpeta pública y una cuenta de administrador de alguien a quien nadie recuerda. Si lo presupuesta como un sitio bien cuidado, sus primeras semanas de mantenimiento no se cobran. Y si el sitio ya está comprometido, desde el día en que usted se hace cargo parece problema suyo.

A continuación tiene una lista en dos partes: lo que puede revisar desde fuera antes de que el cliente le entregue ninguna contraseña, y lo que debe mirar en el panel de administración cuando se la entregue. Al final, cómo convertir los hallazgos en un presupuesto.

Primero, el permiso del cliente

Mirar un sitio como lo haría cualquier visitante no requiere permiso de nadie. Lanzar herramientas de análisis contra él es distinto: la empresa de alojamiento o el desarrollador anterior pueden reaccionar mal ante un tráfico que no esperaban. Un correo de una línea del cliente, «Acepto que revise el sitio antes de presupuestar», le cubre.

Desde fuera, sin contraseñas

Todo esto puede hacerlo antes de la primera reunión. Lleva una media hora y a menudo basta para saber si será un presupuesto estándar.

Certificado y redirecciones. ¿El sitio funciona solo con HTTPS? ¿http:// y las versiones con y sin www acaban todas en una única dirección segura? ¿Cuándo caduca el certificado, y el servidor sigue aceptando TLS 1.0 y 1.1, ya retirados? La comprobación de certificado SSL (en inglés) responde a todo eso en segundos.

El correo del dominio. Los registros MX, SPF, DKIM y DMARC. Que no haya DMARC, o que esté en p=none, es una partida de su presupuesto y una pista de que nadie ha mirado el DNS en un tiempo. Anote también dónde está alojado el correo del cliente, porque cada cambio de DNS que haga después tiene que respetarlo. La comprobación de SPF, DKIM y DMARC (en inglés) muestra el estado actual.

Plataforma y versiones. Sobre qué funciona el sitio, qué versión, qué plugins aparecen en el código de la página y si revelan sus números de versión. La metaetiqueta generator y los parámetros ?ver= en las URL de los scripts dicen mucho. Contraste lo que encuentre con una base de datos de vulnerabilidades como WPScan o Patchstack.

Archivos que no deberían ser públicos. backup.zip, volcados .sql, wp-config.php.bak, una carpeta .git, un archivo .env, phpinfo.php. No adivine las direcciones a mano: una herramienta las comprobará más rápido y a fondo. Si encuentra algo, no lo descargue. Anote la dirección y avise al cliente de inmediato. La copia de seguridad olvidada en su servidor explica por qué esto no puede esperar.

Formularios. ¿Cada formulario se envía por HTTPS, tiene protección contra spam y un aviso de privacidad al lado? Envíe una consulta de prueba y pregunte al cliente si llegó y a qué buzón. Ocurre que un formulario de contacto lleva meses enviando los contactos a la dirección de un antiguo empleado.

Cabeceras y subdominios. Añadir las cabeceras de seguridad que faltan suele ser un trabajo pequeño, pero va en el presupuesto. Los subdominios olvidados como test. u old. pueden ser más arriesgados que el sitio principal, porque nadie los actualiza.

Señales de hackeo. Busque en Google site:dominiodelcliente.com y recorra los resultados. Páginas en japonés, o sobre farmacias o casinos, significan que empieza por una limpieza, no por el mantenimiento.

En el panel de administración, cuando tenga acceso

Copias de seguridad. Dónde están, con qué frecuencia se hacen, cuánto tiempo atrás llegan y quién puede acceder a ellas. Pregunte si alguien ha restaurado alguna vez el sitio desde una. Antes de cambiar nada, haga su propia copia completa y guárdela fuera del servidor. Es su seguro por si algo resulta que ya estaba roto antes de que usted llegara.

Cuentas de administrador. Revise cada usuario con el perfil Administrador. Las cuentas de la agencia anterior, de antiguos empleados o de personas que nadie reconoce deben eliminarse, con el acuerdo del cliente. Trate una cuenta que nadie sabe explicar como un posible indicio de compromiso, no como desorden.

Plugins y tema. Cuente los plugins y anote cuáles esperan actualización, cuáles están desactivados y cuáles llevan mucho tiempo sin una versión nueva. Revise las licencias de los plugins de pago: a nombre de quién están y si han caducado. Un plugin premium sin licencia no recibe actualizaciones, y una copia «de una fuente no oficial» puede traer código añadido. Compruebe si el tema se editó directamente en lugar de mediante un tema hijo, porque la próxima actualización borrará esos cambios. Plugins de WordPress desactualizados explica qué actualizar primero y qué eliminar.

Versión de PHP y entorno. La pantalla Salud del sitio, en Herramientas, muestra las versiones de PHP y de la base de datos junto con los avisos del propio WordPress. Una versión antigua de PHP a menudo bloquea todas las demás actualizaciones, así que decide el orden del trabajo.

Alojamiento, dominio y DNS. Es el punto que es fácil dejar para después y que luego lo bloquea todo. Averigüe a nombre de quién está registrado el dominio y quién puede entrar en el registrador, en qué cuenta está el alojamiento y quién lo paga, y quién puede cambiar el DNS. Lo ideal es que todo pertenezca al cliente y que usted tenga su propio acceso, no el del desarrollador anterior. Si el dominio está registrado a nombre de la agencia anterior, inicie la transferencia antes de planificar cualquier migración.

Los formularios por dentro. Adónde van los envíos, si se guardan en la base de datos y durante cuánto tiempo. Años de consultas antiguas llenas de datos personales son una cuestión de RGPD para el cliente, así que inclúyala en su informe aunque la decisión no sea suya.

Convertir los hallazgos en un presupuesto

El cliente no ve la diferencia entre un sitio bien cuidado y uno abandonado. En el navegador se ven iguales. Si su presupuesto muestra una sola cifra por «hacerse cargo del sitio» y la de un competidor es más baja, el cliente elige la más baja. Tiene que mostrar de dónde sale la diferencia.

Divida el presupuesto en tres partes:

1. Estado actual. Una lista breve de lo que encontró, con la fecha de la revisión. Tres frases por punto: qué está mal, qué podría costarle a la empresa y qué hay que hacer. Sin jerga. En lugar de «no hay DMARC», escriba «cualquiera puede enviar correos que parecen de su empresa, incluidas facturas falsas».
2. Limpieza inicial. El trabajo puntual que se deriva del estado actual, cada punto con su propio precio o estimación de tiempo. El cliente ve exactamente qué paga y puede fijar prioridades si el presupuesto es ajustado. Marque los puntos urgentes, como un volcado de la base de datos a la vista de todos, como condición para hacerse cargo.
3. Mantenimiento mensual. Una cuota fija por mantener el sitio en el estado en que usted lo deje.

Añada una frase sobre la responsabilidad: su mantenimiento cubre el sitio desde la fecha de entrega, y los problemas enumerados en el estado actual pasan a ser suyos solo cuando se hayan corregido. Pida a un abogado que lo redacte para su mercado, pero el principio protege a ambas partes. El cliente sabe qué paga, y usted no responde del descuido de otro.

Guarde las pruebas del día de la revisión: el informe, las capturas de pantalla, la lista de cuentas y de plugins. Si tres meses después aparece una infección anterior a su llegada, podrá demostrarlo.

Un informe que el cliente pueda leer por su cuenta

Una lista en un presupuesto funciona mejor cuando el cliente puede reenviarla a un socio o a su gestor sin llamarle a usted para que se la traduzca. Por eso conviene adjuntar al presupuesto un informe de la revisión con su propia marca.

ShieldWave se ocupa de la mitad exterior de esta lista. Revisa el sitio sin plugin ni contraseñas y, en el plan Enterprise, el informe lleva el logotipo y los datos de su agencia. El cliente recibe cada problema explicado sin jerga y un plan de corrección ordenado por urgencia; usted recibe los hallazgos con direcciones, pruebas y tiempo de trabajo estimado para preparar el presupuesto. Enterprise cuesta 29 USD al mes para sitios ilimitados, con una prueba de 7 días. No mirará por usted dentro del panel, las copias de seguridad ni la lista de accesos, así que la segunda mitad de esta lista sigue siendo trabajo suyo.