Seguridad web: guía práctica para responsables de sitios

Un sitio seguro necesita algo más que un CMS actualizado o una conexión HTTPS. Protege las cuentas que lo controlan, el software que ejecuta, la información que guarda y las copias que necesitarías después de un incidente.

Define las responsabilidades antes de cambiar ajustes

Enumera el registrador del dominio, el correo administrativo, el alojamiento, el CMS, el servicio de pagos y el proveedor de copias. Anota quién puede modificar cada uno y quién ayuda a recuperar el acceso. El dominio y el correo pueden ser necesarios para recuperar la web; protégelos aunque otra empresa mantenga el sitio.

Un servicio gestionado no incluye automáticamente todos los plugins o aplicaciones que instales. Revisa el contrato y ten un contacto definido para incidentes urgentes.

Protege las cuentas que permiten controlar tu web

• Usa contraseñas únicas, un gestor de contraseñas fiable y autenticación multifactor para correo, dominio, alojamiento, CMS y copias. Cuando el servicio lo permita, prefiere métodos resistentes al phishing, como llaves de seguridad o passkeys.
• Utiliza cuentas individuales en lugar de compartir un acceso de administrador. Concede a editores y proveedores solo los permisos necesarios y retíralos al terminar el trabajo.
• Guarda los códigos y métodos de recuperación en un lugar seguro, separado de la cuenta. Comprueba el procedimiento sin bloquear el acceso del administrador.
• Revisa correos de recuperación, sesiones activas, aplicaciones conectadas y credenciales de API. Una integración puede mantener el acceso indebido después de cambiar la contraseña.

El titular debe registrar su propio método de doble factor. No envíes contraseñas, códigos de un solo uso ni códigos de recuperación a un supuesto agente de soporte o a alguien que llame sin que lo hayas solicitado.

Referencia: FIDO Alliance: passkeys y acceso resistente al phishing.

Actualiza por separado el CMS, las extensiones y el entorno de ejecución

Haz un inventario del sistema operativo, CMS, temas, plugins, bibliotecas y entornos de ejecución. Incluye dominios aparcados, sitios de pruebas, formularios antiguos y tareas programadas. Que WordPress indique “actualizado” no demuestra que el PHP del servidor tenga la corrección.

Prioriza las correcciones aplicables a componentes expuestos. Prepara una copia utilizable, comprueba la compatibilidad en un entorno de pruebas restringido y acuerda el reinicio o la recarga necesarios con el responsable. Después, verifica la versión que atiende realmente las solicitudes y prueba las funciones importantes.

Obtén las actualizaciones del distribuidor oficial o del repositorio con soporte del sistema operativo. Un proveedor puede incorporar una corrección a un paquete con numeración aparentemente antigua mediante un backport. Comprueba el aviso del paquete y la CVE correspondiente. Ocultar la versión o añadir una regla al WAF no corrige el entorno.

Consulta los avisos de PHP y la lista de actualización segura →

Limita los datos expuestos por formularios, archivos y cuentas

Recoge solo la información necesaria para el servicio y define cuánto tiempo se conserva. Restringe el acceso en el servidor: ocultar un botón o usar una URL larga no protege un archivo. Comprueba qué puede obtener una visita sin iniciar sesión, un cliente normal y un administrador.

Mantén exportaciones de bases de datos, copias, configuraciones y archivos privados fuera de las zonas públicas de descarga. El equipo de desarrollo debe validar las subidas, limitar tamaño y tipo, impedir la ejecución del contenido y verificar la autorización en cada solicitud. No uses datos reales de clientes en un sitio de pruebas abierto.

Referencias técnicas: autorización en OWASP y seguridad de subidas de archivos.

El WAF, HTTPS y la protección DDoS cumplen funciones distintas

Prueba las reglas con el inicio de sesión, formularios, pagos, búsquedas, subidas e integraciones autorizadas. Crea una excepción limitada solo después de identificar la solicitud bloqueada. No desactives todo el WAF ni bloquees países o redes compartidas únicamente porque haya aumentado el tráfico.

Incluye las etiquetas publicitarias y los servicios conectados

Registra quién controla la analítica, publicidad, chat, pagos, gestores de etiquetas y otros scripts externos. Protege esas cuentas, elimina integraciones obsoletas y revisa los cambios. Un script incluido en la web puede afectar a las visitas aunque no haya cambiado el código de tu aplicación.

Introduce las políticas de seguridad del navegador con tu equipo de desarrollo. Una política estricta sin pruebas puede impedir pagos, acceso, publicidad o controles de consentimiento. Revisa los orígenes necesarios y prueba un proceso adecuado de informes o un entorno de pruebas antes de aplicar bloqueos.

Referencia: OWASP: gestión de JavaScript de terceros.

Restaura el servicio sin restaurar también al atacante

Haz copias de los archivos, la base de datos y la configuración necesaria para reconstruir el servicio. Mantén una copia protegida fuera de la cuenta de producción, restringe su eliminación y verifica que la rutina se complete. Controlar la producción no debería permitir borrar automáticamente todas las copias de recuperación.

Prueba la restauración en un entorno aislado. Anota cuántos datos podrías perder entre copias y cuánto tardaría la recuperación. Tras una posible intrusión, identifica un punto fiable y cierra la vía de entrada antes de restaurar. Una prueba satisfactoria no demuestra que la copia más reciente esté limpia.

Referencia: CISA: prevención y respuesta al ransomware.

Ante una posible intrusión, contén el incidente y conserva las pruebas

1. Contacta con el equipo responsable. Facilita al alojamiento o al equipo de respuesta el dominio, la zona horaria, los síntomas, las capturas y los cambios recientes. Usa un contacto conocido.
2. Contén el sistema afectado. Pide al equipo que restrinja el acceso o aísle el servicio conservando registros y copias relevantes. Coordina el impacto sobre clientes y actividad empresarial.
3. No destruyas pruebas. Evita borrados masivos, restablecimientos repetidos o restaurar sobre la única evidencia disponible. Conserva de forma segura horarios, registros de acceso, cambios de cuentas y mensajes del proveedor.
4. Recupera desde un entorno fiable. Evalúa cuentas, sesiones, tokens de API y sistemas conectados, además de archivos. Cambia los secretos afectados y revoca el acceso indebido según el plan de respuesta; valida el servicio limpio antes de reabrirlo.
5. Evalúa pronto las obligaciones de notificación. Pide al responsable de privacidad o a la asesoría jurídica que determine qué autoridades y personas deben ser informadas. Los países, el sector y los hechos definen los requisitos; no existe un único plazo mundial.

Si se trata de un fallo del proveedor sin indicios de intrusión, compara primero el servicio, la región y el error en los avisos de fallos o en el monitor de estado. Que no haya un aviso no demuestra que tu sitio sea seguro.

Usa una lista breve con responsable y comprobantes

Mensaje para el alojamiento o el equipo de mantenimiento

Confirmen qué entornos de ejecución y paquetes atienden este dominio, si están aplicadas las correcciones de seguridad pertinentes y quién gestiona las actualizaciones pendientes. Incluyan los sitios de pruebas y las tareas programadas. Indiquen el plan de actualización o contención, las copias y el procedimiento de reversión, así como los resultados de las pruebas de acceso, formularios, pagos e integraciones.

Más información: seguridad de WordPress y recursos de CISA para pequeñas y medianas empresas.