Nadie te ha elegido. Un bot encontró un agujero conocido en un software que dejaste de actualizar y se quedó tu web como recurso, igual que se quedó muchas otras esa misma semana.
Eso importa, porque cambia lo que tienes que hacer. No te estás defendiendo de un atacante que tiene algo contra ti. Estás manteniendo cerrada una puerta que una máquina comprueba cada pocos días.
¿Quién se molestaría en hackear mi web?
No les interesa nada de tu negocio. Quieren tu servidor y tu dominio.
Una web comprometida sin que nadie se dé cuenta suele estar haciendo uno de estos cuatro trabajos. Mandar spam desde tu servidor, que para otro es franqueo gratis y para ti una reputación de envío arruinada. Alojar páginas de enlaces basura que no tienen nada que ver contigo, para que posicione la web de otro. Redirigir a quien entra desde el móvil a otro sitio mientras en el ordenador ves la portada normal, que es por lo que muchas veces el dueño no ve el problema. O, si los datos de la tarjeta se escriben en un formulario de tu propia web, leer en silencio lo que la gente teclea en esos campos.
Nada de eso necesita que seas grande ni interesante. Necesita que se pueda llegar a ti y que estés desactualizado.
¿Cómo te enterarías?
Casi siempre por otra persona, y más tarde de lo que te gustaría.
Un cliente te llama y te dice que tu web le sale con un aviso en rojo. Ese aviso no es una exageración de tu hosting. Cuando Google determina que una web está comprometida, las páginas afectadas pueden aparecer con una etiqueta de advertencia en los resultados de búsqueda o con una página de aviso intermedia en el navegador, como explica la Ayuda de Google Search Console en la documentación del informe de problemas de seguridad. Para quien intenta reservar contigo, esa pantalla dice que tu negocio es peligroso.
O tu hosting suspende la cuenta. Las empresas de hosting actúan rápido con el spam saliente porque se juegan la reputación de sus propias IP, y muchas veces lo primero que sabes es que la web ya está caída.
El único canal que te avisa pronto es ese mismo informe de problemas de seguridad, en Google Search Console. Es gratis, verificar tu dominio lleva una mañana y es fácil que en tu web nadie lo haya configurado nunca. Si después de leer esto no haces nada más, haz eso.
¿Cuánto cuesta de verdad?
La limpieza casi nunca es lo caro.
Lo caro son los días. Tu web está caída o marcada mientras se arregla, y eso pasa cuando pasa, que muchas veces es la semana en que tenías una promoción. La entrega de tu correo se resiente por el spam que salió con tu dominio, así que durante un tiempo hasta tus mensajes normales acaban en la carpeta de spam. Si tus formularios ya fallaban, esto lo empeora, y los correos del formulario que no llegan se convierten en otro lío que ya no puedes distinguir de este.
Luego está la parte de las búsquedas. El aviso se puede revisar y retirar, pero las páginas basura que se indexaron con tu dominio no desaparecen porque hayas borrado los archivos. Limpiar eso va más lento que limpiar el servidor.
Y si cobras con tarjeta en un formulario de tu propia web, hay una conversación que no quieres tener: decirles a tus clientes que no puedes asegurar qué datos se capturaron mientras la web estaba comprometida. Ese es el escenario que de verdad vale la pena pagar por evitar.
Hay además una obligación legal que conviene conocer. Si la web guardaba datos personales, como los mensajes de los formularios o las cuentas de clientes, y la brecha supone un riesgo para esas personas, el RGPD (artículo 33) pide notificarla a la AEPD en un plazo de 72 horas desde que te enteras. Qué te toca hacer en tu caso concreto es una pregunta para tu asesor, no para quien te hace la web.
¿Por qué entran en estas webs?
Por tres puertas nada glamurosas, más o menos en este orden.
Software que nadie actualizó. Plugins, temas y el núcleo de la plataforma. Las vulnerabilidades se publican, porque así se distribuye el arreglo, y esa misma publicación le dice a cada escáner exactamente qué buscar. Una web sin parches no se está escondiendo. Está anunciando un número de versión.
Los accesos. Una sola cuenta de administrador, una contraseña que se usa en otros sitios, sin segundo factor. No hace falta nada ingenioso.
Cosas instaladas que ya no usas. El plugin de reservas que probaste un mes, el tema antiguo al lado del que está en uso, la copia de pruebas en un subdominio olvidado. Desactivado no es lo mismo que eliminado, y el código que no usas se sigue ejecutando cuando alguien se lo pide.
El hilo común no es el descuido. Es que la web ya no es de nadie. Quien la hizo pasó a otra cosa, el acceso está en un correo de hace dos años y no hay ningún mes en el que actualizarla sea trabajo de alguien. Si no tienes claro ni quién tiene las llaves, lo primero que hay que poner en orden es de quién es tu web en realidad.
¿Te salvan las copias de seguridad?
Solo si son recientes, están guardadas fuera de la web y se han probado.
Hay tres formas de que fallen. La copia vive en la misma cuenta de hosting, así que cuando la cuenta se suspende o se borra, la copia se va con ella. La copia existe pero nadie ha restaurado nunca una, y el día que la necesitas descubres que lleva meses fallando sin avisar. O la restauración funciona perfectamente y vuelve a poner el mismo software sin parches que les dejó entrar, así que te toca repetirlo la semana siguiente.
Una copia de seguridad es una vuelta atrás, no un arreglo. Restauras, luego actualizas, luego cambias todas las contraseñas, y solo entonces le pides a Google que revise el aviso.
¿Es más segura una plataforma alojada?
Bastante más, sí, y vale la pena decirlo claro porque afecta a la base sobre la que construyes.
En Shopify o en una plataforma alojada parecida, el servidor y la aplicación principal son trabajo de otro, y esa es la capa por la que suelen entrar en las webs pequeñas. Tu exposición pasa a las apps que instalas, a las cuentas de empleado que das y a cualquier código a medida del tema. Menos superficie, no cero. Lo que se gana y se pierde más allá de la seguridad está en Shopify, Wix o web a medida.
Una web en tu propio hosting puede ser igual de segura. Lo que pasa es que no se mantiene así sola.
¿Qué hace falta de verdad para mantenerla segura?
Menos de lo que la gente cree, pero tiene que pasar con un calendario y no cuando alguien se acuerda.
Actualizaciones instaladas y luego comprobadas, porque una actualización que rompe sin avisar tu formulario de reservas es otra caída. Copias de seguridad fuera del servidor, y una restauración probada de verdad. Doble factor en todas las cuentas de administrador, y nada de accesos compartidos. Lo que no se usa, eliminado y no desactivado. Search Console conectado, para que el informe de problemas de seguridad tenga dónde avisar. La disponibilidad vigilada, para que sepas que la web está caída antes de que te lo diga un cliente.
El mantenimiento que ofrezco es un plan mensual. Lo que incluye y lo que mueve su precio está en la página de precios, y lo que cuesta en total mantener viva una web durante un año, en cuánto cuesta una web al año. Que lo haga yo, que lo haga tu programador o que te pongas un recordatorio en tu propio calendario importa mucho menos que el hecho de que alguien lo haga.
Si quieres que alguien mire tu web desde fuera, escríbeme y el mismo día laborable te digo qué arreglaría primero, con un precio cerrado y una fecha.