Ningú no t'ha triat. Un bot va trobar un forat conegut en un programari que vas deixar d'actualitzar i es va quedar la teva web com a recurs, igual que se'n va quedar moltes altres aquella mateixa setmana.
Això importa, perquè canvia el que has de fer. No t'estàs defensant d'un atacant que té alguna cosa contra tu. Estàs mantenint tancada una porta que una màquina comprova cada pocs dies.
Qui es molestaria a piratejar la meva web?
No els interessa res del teu negoci. Volen el teu servidor i el teu domini.
Una web compromesa sense que ningú se n'adoni sol estar fent una d'aquestes quatre feines. Enviar correu brossa des del teu servidor, que per a un altre és franqueig gratuït i per a tu una reputació d'enviament arruïnada. Allotjar pàgines d'enllaços brossa que no tenen res a veure amb tu, perquè posicioni la web d'un altre. Redirigir qui entra des del mòbil a un altre lloc mentre a l'ordinador veus la portada normal, i per això sovint el propietari no veu el problema. O, si les dades de la targeta s'escriuen en un formulari de la teva pròpia web, llegir en silenci el que la gent tecleja en aquests camps.
Res d'això no necessita que siguis gran ni interessant. Necessita que se't pugui trobar i que estiguis desactualitzat.
Com te n'assabentaries?
Gairebé sempre per una altra persona, i més tard del que voldries.
Un client et truca i et diu que la teva web li surt amb un avís en vermell. Aquest avís no és una exageració del teu proveïdor d'allotjament. Quan Google determina que una web està compromesa, les pàgines afectades poden aparèixer amb una etiqueta d'advertència als resultats de cerca o amb una pàgina d'avís intermèdia al navegador, com explica l'Ajuda de Google Search Console a la documentació de l'informe de problemes de seguretat. Per a qui intenta reservar amb tu, aquesta pantalla diu que el teu negoci és perillós.
O el teu proveïdor d'allotjament suspèn el compte. Les empreses d'allotjament actuen de pressa amb el correu brossa sortint perquè s'hi juguen la reputació de les seves pròpies IP, i sovint el primer que saps és que la web ja ha caigut.
L'únic canal que t'avisa aviat és aquest mateix informe de problemes de seguretat, a Google Search Console. És gratuït, verificar el teu domini és qüestió d'un matí i és fàcil que a la teva web ningú no l'hagi configurat mai. Si després de llegir això no fas res més, fes això.
Quant costa de debò?
La neteja gairebé mai no és el que surt car.
El que surt car són els dies. La teva web està caiguda o marcada mentre s'arregla, i això passa quan passa, que sovint és la setmana que tenies una promoció. El lliurament del teu correu se'n ressent pel correu brossa que va sortir amb el teu domini, així que durant un temps fins i tot els teus missatges normals acaben a la carpeta de correu brossa. Si els teus formularis ja fallaven, això ho empitjora, i els correus del formulari que no arriben es converteixen en un altre embolic que ja no pots distingir d'aquest.
Després hi ha la part de les cerques. L'avís es pot revisar i retirar, però les pàgines brossa que es van indexar amb el teu domini no desapareixen perquè hagis esborrat els fitxers. Netejar això va més lent que netejar el servidor.
I si cobres amb targeta en un formulari de la teva pròpia web, hi ha una conversa que no vols tenir: dir als teus clients que no pots assegurar quines dades es van capturar mentre la web estava compromesa. Aquest és l'escenari que de debò val la pena pagar per evitar.
A més, hi ha una obligació legal que convé conèixer. Si la web guardava dades personals, com els missatges dels formularis o els comptes de clients, i la bretxa suposa un risc per a aquestes persones, el RGPD (article 33) demana notificar-la a l'AEPD en un termini de 72 hores des que te n'assabentes. Què et toca fer en el teu cas concret és una pregunta per al teu assessor, no per a qui et fa la web.
Per què entren en aquestes webs?
Per tres portes gens glamuroses, més o menys en aquest ordre.
Programari que ningú no va actualitzar. Extensions o plugins, temes i el nucli de la plataforma. Les vulnerabilitats es publiquen, perquè així es distribueix la correcció, i aquesta mateixa publicació diu a cada escàner exactament què ha de buscar. Una web sense pedaços no s'està amagant. Està anunciant un número de versió.
Els accessos. Un sol compte d'administrador, una contrasenya que es fa servir en altres llocs, sense segon factor. No cal res enginyós.
Coses instal·lades que ja no fas servir. L'extensió de reserves que vas provar un mes, el tema antic al costat del que està en ús, la còpia de proves en un subdomini oblidat. Desactivat no és el mateix que eliminat, i el codi que no fas servir continua executant-se quan algú li ho demana.
El fil comú no és la deixadesa. És que la web ja no és de ningú. Qui la va fer va passar a una altra cosa, l'accés és en un correu de fa dos anys i no hi ha cap mes en què actualitzar-la sigui feina d'algú. Si no tens clar ni tan sols qui té les claus, el primer que cal posar en ordre és de qui és la teva web en realitat.
Et salven les còpies de seguretat?
Només si són recents, estan desades fora de la web i s'han provat.
Poden fallar de tres maneres. La còpia viu al mateix compte d'allotjament, així que quan el compte se suspèn o s'esborra, la còpia se'n va amb ell. La còpia existeix però ningú no n'ha restaurat mai cap, i el dia que la necessites descobreixes que fa mesos que falla sense avisar. O la restauració funciona perfectament i torna a posar el mateix programari sense pedaços que els va deixar entrar, així que et toca repetir-ho la setmana següent.
Una còpia de seguretat és una marxa enrere, no una solució. Restaures, després actualitzes, després canvies totes les contrasenyes, i només llavors demanes a Google que revisi l'avís.
És més segura una plataforma allotjada?
Força més, sí, i val la pena dir-ho clar perquè afecta la base sobre la qual construeixes.
A Shopify o en una plataforma allotjada semblant, el servidor i l'aplicació principal són feina d'un altre, i aquesta és la capa per on solen entrar a les webs petites. La teva exposició passa a les apps que instal·les, als comptes d'empleat que dones i a qualsevol codi a mida del tema. Menys superfície, no zero. El que es guanya i es perd més enllà de la seguretat és a Shopify, Wix o web a mida.
Una web al teu propi allotjament pot ser igual de segura. El que passa és que no es manté així tota sola.
Què cal de debò per mantenir-la segura?
Menys del que es pensa la gent, però ha de passar amb un calendari i no quan algú se'n recorda.
Actualitzacions instal·lades i després comprovades, perquè una actualització que trenca sense avisar el teu formulari de reserves és una altra caiguda. Còpies de seguretat fora del servidor, i una restauració provada de debò. Doble factor a tots els comptes d'administrador, i res d'accessos compartits. El que no es fa servir, eliminat i no desactivat. Search Console connectat, perquè l'informe de problemes de seguretat tingui on avisar. La disponibilitat vigilada, perquè sàpigues que la web ha caigut abans que te'n parli un client.
El manteniment que ofereixo és un pla mensual. El que inclou i el que en mou el preu és a la pàgina de preus, i el que costa en total mantenir viva una web durant un any, a quant costa una web a l'any. Que ho faci jo, que ho faci el teu programador o que et posis un recordatori al teu propi calendari importa molt menys que el fet que algú ho faci.
Si vols que algú miri la teva web des de fora, escriu-me i el mateix dia laborable et dic què arreglaria primer, amb un preu tancat i una data.