Lista de seguridad web para pequeñas empresas
Respuesta corta: usa HTTPS en todas partes, mantén el software actualizado, guarda copias de seguridad probadas fuera del servidor, activa la verificación en dos pasos en las cuentas de tu sitio, hosting, dominio y correo, añade cabeceras de seguridad, publica SPF y DMARC, protege tu dominio contra la caducidad y las transferencias, y vuelve a revisar tu sitio con regularidad. Cada punto enlaza a una solución paso a paso.
Cuentas y accesos
- Verificación en dos pasos en el panel de tu web, el panel del hosting, el registrador del dominio, el correo y el proveedor de pagos.
- Un gestor de contraseñas y una contraseña única para cada cuenta.
- Elimina las cuentas antiguas de empleados, agencias y pruebas. Da a cada persona solo el rol que necesita.
Software
- CMS, plugins y temas actualizados, con actualizaciones automáticas donde sea seguro. Encuentra plugins desactualizados.
- Borra plugins y temas que no uses y copias antiguas del sitio (carpetas de staging, copias de seguridad dentro de la carpeta web).
- Si usas WordPress, sigue la lista de refuerzo de WordPress.
Copias de seguridad
- Copias diarias automáticas de los archivos y la base de datos, guardadas fuera del servidor.
- Al menos una copia que la propia web no pueda borrar (para que un ransomware o un atacante no pueda eliminarla).
- Prueba a restaurar cada pocos meses. Una copia que nunca has restaurado es una esperanza, no un plan.
HTTPS y cabeceras
- Certificado válido con renovación automática, solo TLS 1.2 o superior, redirección de HTTP a HTTPS. Revisión SSL en 6 puntos.
- HSTS, X-Content-Type-Options, protección contra el enmarcado y Referrer-Policy. Cabeceras para copiar.
- Una Content-Security-Policy, al menos en las páginas de pago. Guía de CSP.
- Secure, HttpOnly y SameSite en las cookies. Guía de atributos de cookies.
- Ningún número de versión del servidor, PHP o CMS a la vista. Cómo ocultarlos.
Correo y dominio
- SPF, DKIM y DMARC para tu dominio. Registros para copiar.
- Dominio con renovación automática, bloqueo en el registrador y verificación en dos pasos en el registrador.
- Un archivo security.txt para que te puedan avisar de problemas.
Pagos
- Mejor páginas o campos de pago alojados por tu proveedor de pagos, para que los números de tarjeta nunca pasen por tu servidor.
- Vigila los scripts de tu página de pago. Frena el robo de tarjetas en el pago.
Vigilancia y respuesta
- Vuelve a revisar tu sitio después de cada cambio y al menos una vez al mes.
- Apunta a quién llamar si hackean el sitio: tu hosting, tu desarrollador, tu proveedor de pagos.
- Conoce las señales de un hackeo. Cómo saber si han hackeado WordPress.
Preguntas frecuentes
¿Cuál es el punto más importante de esta lista?
Mantener el software actualizado, seguido muy de cerca por la verificación en dos pasos y las copias de seguridad probadas. La mayoría de los hackeos de sitios pequeños aprovechan vulnerabilidades conocidas y ya corregidas, o contraseñas reutilizadas.
¿Necesito un plugin de seguridad?
Puede ayudar con la protección del inicio de sesión y la vigilancia de archivos, pero no sustituye a las actualizaciones, las copias de seguridad ni la verificación en dos pasos.
¿Cuánto tiempo lleva esta lista?
La mayoría de los sitios pequeños pueden hacer los puntos de cuentas, actualizaciones y cabeceras en una tarde. Los registros de correo y las copias de seguridad pueden requerir a tu hosting o a tu proveedor de correo.