La frase la hemos oído decenas de veces, siempre antes y nunca después. Entender por qué hackean webs pequeñas quita mucho miedo y ahorra bastante dinero, porque el motivo no tiene nada que ver con lo interesante que sea tu negocio: tiene que ver con lo desatendida que esté tu web.
No te han elegido a ti
Detrás de casi ningún ataque a una web pequeña hay una persona mirando tu negocio. Hay programas que recorren internet de forma automática buscando versiones desactualizadas de gestores de contenido, plantillas y complementos con agujeros ya conocidos y publicados.
Cuando encuentran uno, entran. Da igual si la web es de una asesoría, de un taller o de una tienda de bicicletas: lo que buscaban no era tu empresa, era esa versión del complemento que llevas dos años sin actualizar.
Qué buscan de verdad
Casi nunca es tu información. Lo habitual es más aburrido y más rentable para quien lo hace:
- Mandar correo basura desde tu servidor, hasta que tu dominio acaba en las listas negras y tus correos legítimos dejan de llegar.
- Colar páginas escondidas dentro de tu web —normalmente de sectores que no quieres tener cerca— para aprovechar el prestigio que tu dominio tiene en Google.
- Redirigir a tus visitantes a otro sitio cuando entran desde el móvil, que es lo que hace que tardes semanas en enterarte.
- Usar tu alojamiento para almacenar archivos o atacar a otros.
El daño real no es dramático de película: es que tu correo deja de funcionar, que Google marca tu web como insegura y que pierdes posiciones que te costó dos años levantar.
Las cuatro puertas por las que se entra
Casi todos los casos que nos llegan encajan en una de estas cuatro, y las cuatro se cierran sin gastar demasiado.
1. Complementos y plantillas sin actualizar
Es la vía más común, con diferencia. Cada complemento que instalas es una puerta más que alguien tiene que mantener cerrada, y muchos de ellos los escribió hace años alguien que ya no los toca. El problema no es tener complementos: es tener quince y no saber para qué sirven doce.
2. Contraseñas repetidas
La misma contraseña que usas en una tienda online que sufrió una filtración hace tres años. Esas listas circulan y se prueban de forma automática en miles de sitios. Si la de tu web está entre ellas, no hace falta ningún agujero técnico: se entra por la puerta, con la llave.
3. El propio panel de acceso
Si tu web tiene una dirección de entrada conocida, recibe intentos automáticos todos los días, aunque no lo sepas. La mayoría fallan, pero solo hace falta que uno acierte, y basta con que un usuario antiguo del que nadie se acuerda tenga una contraseña floja.
4. Alojamientos compartidos mal separados
Cuando decenas de webs conviven en el mismo servidor sin estar bien aisladas, un vecino comprometido puede acabar salpicando al resto. Es la parte que no depende de ti, y por eso conviene saber dónde está alojada tu web y quién responde si pasa algo.
Cómo saber si ya te ha pasado
Muchas webs llevan meses comprometidas sin que nadie se dé cuenta. Estas son las señales, de la más evidente a la más sutil:
- Google avisa en los resultados de que el sitio puede ser peligroso.
- Tus correos empiezan a rebotar o a caer en la carpeta de basura de todo el mundo.
- La web va mucho más lenta de repente y sin motivo.
- Aparecen usuarios administradores que no has creado.
- Al buscar en Google site:tudominio.com salen páginas que no reconoces.
Esa última comprobación es gratis y tarda diez segundos. Escribe site: seguido de tu dominio, sin espacio, y mira si todo lo que sale es tuyo.
Las primeras 24 horas
Si confirmas que ha pasado, el orden importa más que la prisa:
- Avisa a quien lleve tu web y a tu alojamiento. Los proveedores serios tienen procedimiento para esto.
- Cambia todas las contraseñas desde un ordenador distinto: alojamiento, gestor, base de datos, correo y registrador del dominio.
- Restaura una copia anterior al problema, no la de ayer. Si la única copia que hay es de anteayer y ya estaba infectada, no sirve.
- Actualiza todo antes de volver a publicar, o volverás a estar donde estabas en una semana.
- Revisa los usuarios y borra los que no reconozcas.
- Pide la revisión a Google si te habían marcado, para que quiten el aviso.
Si te has quedado sin saber por dónde empezar, el servicio de ayuda en ciberseguridad del INCIBE atiende de forma gratuita a empresas y particulares, y tiene material específico para pymes en su sección de empresas.
La parte que casi nadie sabe: si había datos de clientes
Cuando en la web hay datos personales —un formulario de contacto con nombres y teléfonos ya cuenta— y se ven comprometidos, hay obligaciones que cumplir. La Agencia Española de Protección de Datos explica cómo se gestiona una brecha de seguridad y en qué casos hay que notificarla, con un plazo de referencia de 72 horas desde que se tiene constancia.
No es para asustar: es para que quien lleve tu web lo sepa y no descubráis el trámite tres semanas tarde. Vale la pena preguntarlo antes de que haga falta.
¿Quieres saber qué te costaría a ti?
Respondemos el mismo día. Sin compromiso y sin discursos.
Cómo reducir el riesgo sin volverse loco
La seguridad perfecta no existe, pero casi todos los ataques a webs pequeñas se evitan con cosas poco épicas:
- Menos complementos. Cada uno que quitas es una puerta menos que vigilar. Si llevas seis meses sin usarlo, fuera.
- Actualizaciones al día, con una copia hecha justo antes por si algo se rompe.
- Contraseñas únicas y verificación en dos pasos en el panel y en el correo.
- Copias automáticas que alguien comprueba. Una copia que nadie ha restaurado nunca no es una copia, es una carpeta.
- Los accesos a tu nombre, para poder actuar sin depender de nadie. Lo contamos en de quién es tu dominio.
Todo eso es exactamente lo que debería cubrir un mantenimiento web que se pague. Si el tuyo no lo incluye, no es mantenimiento: es alojamiento con otro nombre.
Lo que no sirve
Instalar un complemento de seguridad y olvidarse. Es la solución que más se vende y la que menos funciona sola: un candado bueno en una puerta que nadie revisa sigue siendo una puerta que nadie revisa. Ayuda, pero no sustituye a mantener el sitio al día.
Tampoco sirve esconder la dirección de acceso y ya está. Se descubre en minutos y da una falsa sensación de tranquilidad.
La opción que casi nadie plantea: quitar la puerta
Si tu web es informativa —lo que haces, dónde estás, cómo contactar, tus servicios y tus artículos—, no necesita un gestor de contenidos con base de datos y panel de acceso funcionando las veinticuatro horas. Se puede construir en HTML y CSS, y entonces no hay complementos que actualizar, ni base de datos que atacar, ni pantalla de acceso que reciba intentos cada noche.
No es magia ni la hace invulnerable: sigue habiendo que cuidar el alojamiento, el dominio y el correo. Lo que cambia es la superficie: se pasa de vigilar veinte piezas a vigilar tres. Y de paso suele ir bastante más rápida, que es el otro problema clásico de las webs con demasiados complementos, y del que hablamos en por qué tu web va lenta en el móvil.
Si el cambio te da respeto por el posicionamiento, es un miedo razonable y tiene solución: se mantienen las direcciones y se redirige lo que haga falta, como explicamos en migrar la web sin perder posiciones.
Qué cuesta tenerlo cubierto
En nuestros planes publicados, el alojamiento, el dominio, el correo y el mantenimiento van incluidos: 100 € al mes la landing de una página y 200 € la web de hasta diez subpáginas, con un artículo mensual. Los planes de 400, 750 y 1.500 € suman artículos, ficha de Google, reseñas, campañas y redes. Sin IVA, sin permanencia y con la migración incluida.
Y si lo que tienes hoy es un gestor lleno de complementos que nadie toca desde hace años, escríbenos por WhatsApp con la dirección de tu web. Le echamos un vistazo, te decimos si hay algo raro y qué haríamos primero. Sin compromiso y el mismo día.
Cuéntanos qué necesitas y te damos un precio
Respondemos el mismo día. Sin compromiso y sin discursos.