Per què pirategen webs petits i què fer les primeres 24 hores

La frase l'hem sentida desenes de vegades, sempre abans i mai després. Entendre per què pirategen webs petits treu molta por i estalvia força diners, perquè el motiu no té res a veure amb com d'interessant sigui el teu negoci: té a veure amb com de desatès estigui el teu web.

No t'han triat a tu

Darrere de gairebé cap atac a un web petit hi ha una persona mirant el teu negoci. Hi ha programes que recorren internet de forma automàtica buscant versions desactualitzades de gestors de continguts, plantilles i connectors amb forats ja coneguts i publicats.

Quan en troben un, entren. Tant és si el web és d'una assessoria, d'un taller o d'una botiga de bicicletes: el que buscaven no era la teva empresa, era aquella versió del connector que fa dos anys que no actualitzes.

Què busquen de debò

Gairebé mai és la teva informació. L'habitual és més avorrit i més rendible per a qui ho fa:

• Enviar correu brossa des del teu servidor, fins que el teu domini acaba a les llistes negres i els teus correus legítims deixen d'arribar.
• Colar pàgines amagades dins del teu web —normalment de sectors que no vols tenir a prop— per aprofitar el prestigi que el teu domini té a Google.
• Redirigir els teus visitants a un altre lloc quan entren des del mòbil, que és el que fa que triguis setmanes a assabentar-te'n.
• Fer servir el teu allotjament per emmagatzemar arxius o atacar altres.

El dany real no és dramàtic de pel·lícula: és que el teu correu deixa de funcionar, que Google marca el teu web com a insegur i que perds posicions que et va costar dos anys aixecar.

Les quatre portes per les quals s'entra

Gairebé tots els casos que ens arriben encaixen en una d'aquestes quatre, i les quatre es tanquen sense gastar-hi gaire.

1. Connectors i plantilles sense actualitzar

És la via més comuna, de llarg. Cada connector que instal·les és una porta més que algú ha de mantenir tancada, i molts els va escriure fa anys algú que ja no els toca. El problema no és tenir connectors: és tenir-ne quinze i no saber per a què serveixen dotze.

2. Contrasenyes repetides

La mateixa contrasenya que fas servir en una botiga en línia que va patir una filtració fa tres anys. Aquestes llistes circulen i es proven de forma automàtica en milers de llocs. Si la del teu web hi és, no cal cap forat tècnic: s'entra per la porta, amb la clau.

3. El mateix panell d'accés

Si el teu web té una adreça d'entrada coneguda, rep intents automàtics cada dia, encara que no ho sàpigues. La majoria fallen, però només cal que un encerti, i n'hi ha prou que un usuari antic del qual ningú no se'n recorda tingui una contrasenya fluixa.

4. Allotjaments compartits mal separats

Quan desenes de webs conviuen al mateix servidor sense estar ben aïllades, un veí compromès pot acabar esquitxant la resta. És la part que no depèn de tu, i per això convé saber on està allotjat el teu web i qui respon si passa alguna cosa.

Com saber si ja t'ha passat

Molts webs fa mesos que estan compromesos sense que ningú se n'adoni. Aquests són els senyals, del més evident al més subtil:

• Google avisa als resultats que el lloc pot ser perillós.
• Els teus correus comencen a rebotar o a caure a la carpeta de brossa de tothom.
• El web va molt més lent de sobte i sense motiu.
• Apareixen usuaris administradors que no has creat.
• En buscar a Google site:eldomini.com surten pàgines que no reconeixes.

Aquesta última comprovació és gratis i triga deu segons. Escriu site: seguit del teu domini, sense espai, i mira si tot el que surt és teu.

Les primeres 24 hores

Si confirmes que ha passat, l'ordre importa més que la pressa:

1. Avisa qui porti el teu web i el teu allotjament. Els proveïdors seriosos tenen procediment per a això.
2. Canvia totes les contrasenyes des d'un ordinador diferent: allotjament, gestor, base de dades, correu i registrador del domini.
3. Restaura una còpia anterior al problema, no la d'ahir. Si l'única còpia que hi ha és d'abans-d'ahir i ja estava infectada, no serveix.
4. Actualitza-ho tot abans de tornar a publicar, o tornaràs a ser on eres en una setmana.
5. Revisa els usuaris i esborra els que no reconeguis.
6. Demana la revisió a Google si t'havien marcat, perquè treguin l'avís.

Si t'has quedat sense saber per on començar, el servei d'ajuda en ciberseguretat de l'INCIBE atén de forma gratuïta empreses i particulars, i té material específic per a pimes a la seva secció d'empreses.

La part que gairebé ningú sap: si hi havia dades de clients

Quan al web hi ha dades personals —un formulari de contacte amb noms i telèfons ja compta— i es veuen compromeses, hi ha obligacions a complir. L'Agència Espanyola de Protecció de Dades explica com es gestiona una bretxa de seguretat i en quins casos cal notificar-la, amb un termini de referència de 72 hores des que se'n té constància.

No és per espantar: és perquè qui porti el teu web ho sàpiga i no descobriu el tràmit tres setmanes tard. Val la pena preguntar-ho abans que faci falta.

Com reduir el risc sense tornar-se boig

La seguretat perfecta no existeix, però gairebé tots els atacs a webs petits s'eviten amb coses poc èpiques:

• Menys connectors. Cada un que treus és una porta menys per vigilar. Si fa sis mesos que no el fas servir, fora.
• Actualitzacions al dia, amb una còpia feta just abans per si alguna cosa es trenca.
• Contrasenyes úniques i verificació en dos passos al panell i al correu.
• Còpies automàtiques que algú comprova. Una còpia que ningú no ha restaurat mai no és una còpia, és una carpeta.
• Els accessos a nom teu, per poder actuar sense dependre de ningú. Ho expliquem a de qui és el teu domini.

Tot això és exactament el que hauria de cobrir un manteniment web que es pagui. Si el teu no ho inclou, no és manteniment: és allotjament amb un altre nom.

El que no serveix

Instal·lar un connector de seguretat i oblidar-se'n. És la solució que més es ven i la que menys funciona sola: un pany bo en una porta que ningú no revisa continua sent una porta que ningú no revisa. Ajuda, però no substitueix mantenir el lloc al dia.

Tampoc serveix amagar l'adreça d'accés i prou. Es descobreix en minuts i dona una falsa sensació de tranquil·litat.

L'opció que gairebé ningú planteja: treure la porta

Si el teu web és informatiu —què fas, on ets, com contactar, els teus serveis i els teus articles—, no necessita un gestor de continguts amb base de dades i panell d'accés funcionant les vint-i-quatre hores. Es pot construir en HTML i CSS, i llavors no hi ha connectors per actualitzar, ni base de dades per atacar, ni pantalla d'accés que rebi intents cada nit.

No és màgia ni el fa invulnerable: continua havent-hi de cuidar l'allotjament, el domini i el correu. El que canvia és la superfície: es passa de vigilar vint peces a vigilar-ne tres. I de passada sol anar bastant més ràpid, que és l'altre problema clàssic dels webs amb massa connectors, i del qual parlem a per què el teu web va lent al mòbil.

Si el canvi et fa respecte pel posicionament, és una por raonable i té solució: es mantenen les adreces i es redirigeix el que calgui, com expliquem a migrar el web sense perdre posicions.

Què costa tenir-ho cobert

Als nostres plans publicats, l'allotjament, el domini, el correu i el manteniment van inclosos: 100 € al mes la landing d'una pàgina i 200 € el web de fins a deu subpàgines, amb un article mensual. Els plans de 400, 750 i 1.500 € sumen articles, fitxa de Google, ressenyes, campanyes i xarxes. Sense IVA, sense permanència i amb la migració inclosa.

I si el que tens avui és un gestor ple de connectors que ningú no toca des de fa anys, escriu-nos per WhatsApp amb l'adreça del teu web. Hi fem un cop d'ull, et diem si hi ha res estrany i què faríem primer. Sense compromís i el mateix dia.