Cómo proteger su sitio web: Una guía sencilla de seguridad de sitios web

La seguridad del sitio web es un tema candente en estos días.
Los hackers están aprovechando las vulnerabilidades de los sitios web para acceder a información confidencial, desfigurar sitios web o retenerlos para pedir rescate.
Su sitio puede ser un objetivo incluso si no maneja datos sensibles porque está conectado a otros sitios que sí lo hacen. Y el hacker atacará donde encuentre el eslabón más débil.
Por eso debe tener alguna forma de seguridad en el sitio web.
Hay muchas maneras diferentes de proteger su sitio web de bots, hackers y malware.
Esta publicación le dará algunos consejos sobre cómo mantener su sitio web seguro. También discutiremos algunos desafíos comunes de seguridad del sitio web y cómo puede resolverlos.
Pero primero, algunas preguntas rápidas…

¿Qué es la seguridad del sitio web?

La seguridad del sitio web es una estrategia utilizada para mantener la seguridad de un sitio web. La seguridad de un sitio web incluye la protección contra personas externas que quieren dañar el sitio web. Pueden usarlo para cosas criminales nefastas o simplemente evitar que funcione.

¿Por qué es importante la seguridad del sitio web?

La seguridad del sitio web es importante porque garantiza que su sitio web y sus datos permanezcan protegidos. Las medidas de seguridad pueden tomar muchas formas, incluyendo el cifrado de datos, el monitoreo de visitantes del sitio web y la defensa contra agentes externos.

¿Cómo puede saber si un sitio web es seguro?

Un sitio web es seguro si no ha sido vulnerado, no puede ser vulnerado y se monitorea para detectar cualquier actividad anormal. Para ver si un sitio web es seguro, realice una verificación de seguridad del sitio web con una herramienta como SiteCheck. Aunque no es perfecto, es un nivel de defensa contra malware y virus conocidos.

5 problemas comunes de seguridad del sitio web

Los problemas de seguridad del sitio web vienen en todo tipo de formas y tamaños. Aquí están los 5 más comunes.

1) Spam

El spam a menudo se publica en forma de comentarios en blogs, foros y sitios de redes sociales bajo la apariencia de una contribución o opinión genuina.
Puede detectar fácilmente el spam de comentarios porque el contenido es completamente aleatorio o irrelevante para el tema. Las publicaciones se insertan en discusiones sin otra razón que promover contenido en otro sitio, empresa o servicio.
Las 3 principales categorías más prevalentes de spam de sitios web son salud, productos y… pornografía. 🙄

El spam de comentarios puede afectar su sitio web de muchas maneras:

• Debilita su marca

• Desperdicia su tiempo moderando y eliminando comentarios

• Daña el SEO de su sitio web

• Envía a los visitantes de su sitio a sitios web peligrosos o de baja calidad

2) Virus y malware

Malware significa “software malicioso”. Es un tipo de código que puede ser inyectado en su sitio web. Y, con más de 28,000,000 de ataques de malware bloqueados diariamente, se está volviendo más común.

Un ataque de malware puede presentarse de muchas formas diferentes, incluyendo:

• Troyano de acceso remoto

• Bot

• Utilidad de contraseña

• Keylogger

• Shell web

• Escalada de privilegios

• Shell inverso

• Gusano

• Phishing
  Estos ataques de malware pueden hacer cosas horribles a su sitio web, incluyendo pero no limitado a:

• Interrumpir los servicios de alojamiento

• Bloquear el acceso al sitio web

• Robar datos personales

• Cargar scripts de terceros sucios

• Redirigir a los visitantes del sitio web a páginas aleatorias

3) Registro de dominio WHOIS

Un ataque WHOIS intenta obtener información sensible de la base de datos WHOIS de un dominio.
Los registradores de dominios guardan su información de cuenta para que no tenga que recordarla cada vez que cambie su dominio.
Y aunque muchos propietarios de sitios web confían en estos sitios web, también hay peligros. Si alguien adquiere sus datos de inicio de sesión a través de hacking u otros medios, podría usar esta información para obtener los detalles de registro de su dominio y secuestrar su nombre de dominio.

4) Ataques DDoS

Un ataque de denegación de servicio, o ataque DDoS, es un intento de hacer que un servidor web o sitio web no esté disponible al abrumarlo con tráfico de múltiples fuentes.
La industria que más sufre de ataques DDoS, con diferencia, es la industria de los videojuegos. Con un asombroso 79% de todos los ataques enfocados en ellos.

Los ataques DDoS pueden presentarse de muchas formas diferentes, incluyendo, pero no limitado a:

• Ataques de inundación SYN envían más solicitudes de las que su servidor puede manejar.

• Ataques de inundación UDP envían grandes cantidades de datos al servidor.

• Ataques de solicitud HTTP Get sobrecargan el sitio web objetivo solicitando páginas que están en el sitio.

• Ataques de inundación ICMP envían grandes cantidades de solicitudes ICMP.

• Ataques de fuerza bruta intentan adivinar el nombre de usuario y la contraseña para la interfaz phpMyAdmin de un sitio web.

5) SEO negativo (listas negras de motores de búsqueda)

Una lista negra de motores de búsqueda es una lista de sitios web que no están indexados por ningún motor de búsqueda importante.
Algunos hackers pueden participar en algo llamado “Black Hat SEO“, también conocido como “SEO negativo“. Al insertar código malicioso en el sitio web de un competidor, pueden comprometer la seguridad del sitio y, por lo tanto, empujarlo a la lista negra de Google.
Esto se puede lograr de varias maneras:

• Spam de páginas web. Estos sitios web emplean tácticas de sombrero negro como texto oculto, redirecciones y camuflaje para dañar los resultados de Google de su competidor.

• Spam de enlaces pagados. Esta es la práctica de comprar y vender enlaces con la intención de manipular el PageRank.

• Spam de fragmentos enriquecidos. Si da a los competidores información falsa o engañosa, como reseñas falsas.

• Malware. Esto es cuando la experiencia del usuario de un sitio web se ha visto perjudicada debido a una infección de malware.

• Phishing. Estos sitios web y páginas falsos intentan robar sus datos personales haciéndose pasar por otra página. (como configurar una página falsa de PayPal para robar su información bancaria).

15 maneras simples de mantener su sitio web seguro

Ahora que hemos visto las amenazas de seguridad más comunes, veamos cómo asegurar un sitio web.

1) Use un Certificado SSL (Protocolo HTTPS)

Un Certificado SSL es un tipo de certificado que asegura su conexión con un sitio web. Vienen en diferentes formas y ayudan a proteger su información sensible de otros.
Ventajas de un Certificado SSL:

• Protege los datos sensibles que se transfieren desde su computadora o dispositivo móvil al servidor del sitio web

• Protege la información de inicio de sesión para cuentas en el sitio web, como una dirección de correo electrónico y contraseña, de ser robada por hackers

• Verifica la identidad del sitio web al cifrar la conexión entre su computadora o dispositivo móvil y su servidor

• Elimina cualquier duda sobre si está interactuando con lo que cree que está interactuando

2) Mantenga su software de sitio web actualizado

Cuando mantiene su software de sitio web actualizado, se asegura de que estén protegidos contra nuevas vulnerabilidades.
Ventajas de mantener el software actualizado:

• Mantiene su sitio web protegido contra vulnerabilidades que los ciberdelincuentes pueden usar para entrar en su sitio o robar sus datos.

• Asegura que los visitantes de su sitio estén viendo la versión más segura de su sitio web.

• Asegura que los motores de búsqueda siempre puedan acceder al contenido de su sitio web, lo que mejora el SEO.

• Mejora la experiencia del usuario de los visitantes del sitio web utilizando estándares de diseño y rendimiento del sitio web actualizados.

3) Elija un plan de alojamiento web seguro

Si está utilizando recursos de servidor compartido, como un plan de alojamiento compartido, los archivos de su sitio web se están almacenando en el mismo servidor que muchos otros sitios. Esto significa que su servidor es un objetivo más grande para ataques de hackers y malware.
Y si otro sitio web es hackeado, el suyo también podría estar en riesgo.
Algunos inconvenientes del alojamiento web en un servidor compartido incluyen:

• Mayor riesgo de ataques de malware y ransomware.

• Potencial de tiempo de inactividad debido al bajo rendimiento del servidor.

• Falta de control sobre el entorno del servidor. Esto significa que instalar aplicaciones de seguridad del sitio web específicas para proteger su sitio de ciertos tipos de ataques de sitio web es imposible.

• Sin acceso directo al servidor web que ejecuta su sitio web.
  Elija un mejor anfitrión web con protección de seguridad premium en lugar de sus típicos servicios de alojamiento compartido de bajo nivel.

4) Use contraseñas complicadas

Usar contraseñas débiles o similares en todos sus inicios de sesión de sitio web es como tener una cerca de 2 pies protegiendo su hogar.
Una vez que su contraseña es robada, será vendida a hackers que pueden hacer de todo, desde usar su dirección de correo electrónico para registrarse en membresías de prueba gratuitas hasta realmente comprar cosas con su tarjeta de crédito.
Su contraseña también podría ser utilizada para cambiar su contraseña y robar cualquier otra cuenta que tenga. Todo esto podría suceder sin que usted siquiera lo sepa.
Asegúrese de usar una contraseña complicada que solo usted sabría cómo descifrar.

5) Cambie su contraseña regularmente

Cambiar sus contraseñas regularmente mantendrá su sitio web seguro al dificultar que los bots adivinen su contraseña. También ayudará a proteger otras cuentas que usan la misma contraseña.
Use un servicio como Firefox Lockwise o LastPass Dark Web Monitoring para ser notificado cada vez que su información privada sea parte de una violación masiva de datos.
Pero no son servicios perfectos. Así que todavía es mejor práctica cambiar sus contraseñas regularmente.

6) Mantenga un registro de toda la actividad del usuario

El registro de auditoría registra toda la actividad en el backend de su sitio web. Los registros de auditoría se utilizan para detectar cualquier acceso no autorizado, exitoso o no.
Puede usar diferentes métodos para auditar las actividades de su sitio web. Estos pueden incluir gestión de sesiones, métodos de autenticación y sistemas de detección de intrusiones. Este tipo de monitoreo le ayudará a identificar usuarios no autorizados que intentan ingresar a su sitio web.
Esto es especialmente importante si tiene muchos usuarios con acceso a su sitio web. Le ayudará a distinguir usuarios maliciosos de usuarios legítimos.
Muchos plugins de seguridad web de WordPress tienen una función de registro de auditoría. Personalmente me gusta usar Defender Pro para muchos de mis sitios web.

7) Asigne permisos de usuario

Asigne permisos de usuario sabiamente para evitar cualquier riesgo innecesario de seguridad del sitio web.
Cualquiera con una cuenta de nivel administrador puede hacer lo que quiera en su sitio. Esto es un riesgo de seguridad. Necesita un sistema de controles y equilibrios para que haya limitaciones en su lugar para los usuarios del sitio web con privilegios elevados.
Aquí hay algunos ejemplos de roles comunes de usuario de sitio web:

Administrador

Los administradores pueden publicar, editar o eliminar cualquier contenido en su sitio web sin limitación. Por eso NO se recomienda para la mayoría de los usuarios porque tendrán control total sobre todo en su sitio.

Editor

Los editores pueden editar, publicar y gestionar las publicaciones de otros usuarios. Además de las suyas propias, por supuesto.

Autor

Los autores pueden crear, editar y publicar sus propias entradas de blog. No tienen acceso al contenido de otros usuarios.

Colaborador

Los colaboradores pueden crear y editar sus propias entradas de blog también, pero no pueden publicar nada.

Suscriptor

Los suscriptores no tienen la capacidad de publicar nuevo contenido en su sitio web. Solo pueden editar su información de perfil existente.

8) Haga copias de seguridad de su sitio web regularmente

¡Haga copias de seguridad, copias de seguridad y más copias de seguridad!
Haga copias de seguridad de su sitio web regularmente para evitar cualquier pérdida catastrófica de datos.
Debe actualizar regularmente su sitio web y plugins, pero una violación de seguridad podría ocurrir en cualquier momento de todos modos. Esto le costaría mucho tiempo y dinero para recuperarse.
Pero con una copia de seguridad del sitio web, podría simplemente restaurarla y borrar la violación de seguridad del código de su sitio web. (Con suerte… a veces un ataque de malware le impedirá acceder a su sitio web, en cuyo caso necesitará profundizar más en su servidor web para solucionar el problema.)

9) Mantenga su software de servidor web actualizado

La configuración del servidor web importa.
Mantener su software de servidor web actualizado corrige vulnerabilidades de seguridad del sitio web y lo mantiene un paso adelante de los hackers y bots de spam.
Las versiones más antiguas de servidores web Apache, por ejemplo, tienen muchas más vulnerabilidades que los hackers pueden usar para entrar en su sitio web.
¡Aquí es donde vale la pena tener a alguien gestionando su sitio web en su nombre! Pueden asegurarse de que la configuración de su servidor web se actualice tan pronto como se lancen nuevos parches de seguridad del sitio web.

10) Restrinja las cargas de archivos

Una de las fuentes más comunes de infección en cualquier sitio web son las cargas de archivos. Cuantas más cargas de archivos tenga, más riesgo corre con la seguridad de su sitio web.
Si bien existen algunos métodos avanzados para proteger su sitio web de cargas de archivos dañinas, es mucho más fácil simplemente restringir los permisos de carga de archivos solo a usted mismo. O al menos restringir el tipo de archivos que se pueden cargar en su sitio.

11) Oculte su área de inicio de sesión

Proteja su área de inicio de sesión ocultándola. Esto es especialmente importante para las páginas de administración que contienen la configuración de su sitio web.
Asegúrese de que su URL de inicio de sesión no sea fácilmente adivinable porque esto facilita que los bots automatizados obtengan acceso no autorizado a su sitio.
Cuando crea un nuevo sitio web de WordPress, la URL de inicio de sesión predeterminada será algo como esto:

• mywebsite.com/wp-login.php

• mywebsite.com/admin

• mywebsite.com/login
  Los hackers saben esto. Así que envían bots por miles para atacar sitios web en masa para obtener acceso a través de una contraseña débil o abrumando el servidor web con tráfico sucio.
  Simplemente rediríjalo a algo lo suficientemente diferente como para ser difícil de adivinar pero lo suficientemente fácil para que usted o sus clientes lo recuerden.

12) Liste en blanco direcciones IP específicas para acceso SFTP/SSH

Listar en blanco una dirección IP permite que direcciones IP específicas se conecten a su sitio.
Esto evitará que cualquier dirección IP, aparte de las que haya preaprobado específicamente, acceda a los archivos de su sitio web.

13) Instale firewalls

Un firewall de aplicación web, o WAF, es un servicio que bloquea y filtra el tráfico a su sitio.
Un firewall de aplicación web tiene como objetivo proteger su sitio web de ataques de Denegación de Servicio Distribuida (DDoS), bots de spam, suplantación de IP, malware, intentos de inyección SQL y más.
La mayoría de los servicios de filtrado le permitirán especificar los tipos de tráfico que le gustaría bloquear o limitar (ej: correo electrónico, FTP o voz).
Funciones más avanzadas como los Sistemas de Detección de Intrusiones (IDS) podrían proporcionar cierta protección contra intentos de inicio de sesión por fuerza bruta.
La mayoría de los firewalls también ofrecen informes sobre actividad maliciosa con el objetivo de identificar cualquier patrón para una mejor detección en el futuro.

14) Asegure su computadora personal

Si su computadora no es segura, los hackers pueden obtener acceso de usuario a ella y tomar el control de ella de forma remota. Luego pueden usar su computadora para obtener acceso a sus cuentas o atacar otros dispositivos de internet.
Mantenga su computadora actualizada con los últimos parches de seguridad y ejecute software antivirus o algún tipo de protección contra malware en ella.
Y, por supuesto, use contraseñas fuertes en todos sus dispositivos. Si son robados físicamente, los ladrones no podrán acceder a ninguno de sus datos personales.

15) Compre protección de privacidad de dominio

Para evitar que individuos astutos obtengan su información de contacto de la base de datos WHOIS, puede comprar privacidad de dominio de su registrador de dominios.
Así es como se ve cuando intenta buscar mi sitio web en WHOIS:

¿Qué tan seguro es su sitio web?

Los hackers se están volviendo más inteligentes y sofisticados día a día. Use estas medidas de seguridad para prevenir un incidente de seguridad importante. De lo contrario, su sitio web podría convertirse rápidamente en un objetivo para ataques maliciosos.
Siguiendo estos consejos de seguridad del sitio web, no solo protegerá su sitio, sino también a todos sus clientes que usan su sitio web.
Si necesita ayuda para mejorar la seguridad de su sitio web, o quiere que alguien gestione su sitio web completamente para que nunca tenga que pensar en estas cosas nuevamente, ¡hablemos!