Antes de empezar: qué buscan realmente
Rara vez quieren tu catálogo. Lo que buscan es más aburrido y más rentable:
- Usar tu servidor para enviar spam o alojar páginas falsas de bancos.
- Meter enlaces ocultos a casinos o farmacias para posicionar otras webs. Google los detecta y termina penalizando tu dominio.
- Robar la base de datos de clientes: nombres, correos, teléfonos, direcciones.
- Cobrar rescate por devolverte el acceso.
El daño real casi nunca es el sitio caído un día. Es tu dominio marcado como peligroso en Google, tus correos yendo a spam y tus clientes recibiendo mensajes que parecen tuyos.
1. Plugins y temas desactualizados
Es la puerta número uno, con distancia. Cuando se publica una falla en un plugin popular de WordPress, queda documentada públicamente ese mismo día. A las horas hay robots recorriendo internet probándola en todos los sitios que la tengan instalada. No te eligieron a ti: eras uno de los cien mil que salieron en la lista.
Qué hacer:
- Actualizar el núcleo, los temas y los plugins todos los meses, sin excepción.
- Borrar de verdad lo que no usas. Un plugin desactivado sigue en el servidor y sigue siendo atacable.
- Desconfiar de los temas o plugins «premium gratis» descargados de sitios raros: muchos vienen con puerta trasera incluida.
- Si el sitio no necesita base de datos ni panel, considerar un sitio estático: sin backend no hay nada que explotar. Varios de nuestros proyectos están hechos así a propósito.
2. Claves débiles y sin segundo factor
«admin» con la clave del nombre del negocio y el año. Los robots prueban miles de combinaciones por minuto contra la página de acceso, y las combinaciones típicas ya están en sus listas.
Qué hacer:
- Claves largas y únicas, distintas por servicio, guardadas en un gestor de contraseñas.
- Segundo factor (código en el teléfono) en el panel, en el hosting y en el correo.
- Limitar los intentos de acceso: tras cinco fallos, bloqueo temporal. Y que quede registro de quién intentó entrar y desde dónde.
- Que la contraseña se guarde siempre como hash, nunca en texto plano. Si tu proveedor puede decirte cuál es tu clave por teléfono, eso está mal hecho.
3. Formularios sin protección
Un formulario de contacto abierto recibe cientos de mensajes basura al mes y, peor, puede usarse para enviar correos a terceros desde tu dominio. Resultado: tu dominio termina en listas negras y tus cotizaciones reales caen en spam.
Qué hacer:
- Verificación anti-bots que no moleste al cliente. Hoy no hace falta escribir letras torcidas: existen sistemas invisibles.
- Un campo trampa oculto que solo los robots rellenan.
- Límite de envíos por minuto y por dirección.
- Validar los datos en el servidor, no solo en el navegador. Todo lo que se valida solo en el navegador se puede saltar.
4. Precios y pagos que se pueden manipular
Esta es específica de tiendas online y la vemos más seguido de lo que debería. Si el precio del carrito viaja desde el navegador al servidor, se puede modificar antes de enviarlo. Si el pedido se marca como pagado porque el navegador volvió a la página de éxito, cualquiera puede escribir esa dirección a mano y llevarse el producto gratis.
Cómo se hace bien:
- El precio final lo calcula siempre el servidor con los datos de su base de datos. El navegador solo dice qué productos, nunca cuánto valen.
- El pedido pasa a «pagado» únicamente cuando la pasarela lo confirma al servidor, con firma verificada, y contrastando además contra la API de la pasarela.
- Cada cliente solo puede ver sus propios pedidos, aunque adivine la dirección de otro. Eso se resuelve con reglas de acceso por fila en la base de datos, no ocultando el enlace.
Puedes ver cómo está implementado en las fichas técnicas de Akim Pet Market o BeautyGangWorld.
5. Paneles y archivos expuestos
Casos que encontramos en auditorías de sitios ajenos: paneles de administración indexados por Google, respaldos de la base de datos dejados en una carpeta pública, archivos de configuración con claves accesibles desde el navegador.
Qué hacer:
- El panel fuera de los buscadores y sin enlaces desde el sitio público. Idealmente en un subdominio aparte, para que la sesión no viaje en cada visita normal.
- Ningún respaldo ni archivo de configuración dentro de la carpeta pública.
- Las claves y tokens en variables de entorno del servidor, nunca en el código ni en el repositorio.
- Rotar cualquier clave que haya quedado escrita en un archivo, aunque lo hayas borrado después.
Lo mínimo que debe tener tu sitio
Sin entrar en tecnicismos, esto es lo que pedimos como base en todo lo que entregamos:
| Medida | Para qué sirve |
|---|---|
| HTTPS y HSTS | Que nadie pueda leer ni alterar lo que viaja entre el visitante y el sitio |
| Content Security Policy | Que el navegador rechace cualquier código que no venga de tu propio sitio |
| Protección contra clickjacking | Que nadie incruste tu sitio dentro de otro para engañar a tus clientes |
| Anti-bots en formularios | Spam fuera y tu dominio con buena reputación |
| Límite de intentos | Que probar claves al azar deje de ser viable |
| Respaldos automáticos | Volver atrás en minutos si algo pasa |
| Registro de auditoría | Saber quién cambió qué y cuándo |
Qué hacer si ya te pasó
- Sacar el sitio de línea o ponerlo en mantención. Evita que siga sirviendo contenido malicioso a tus clientes.
- Cambiar todas las claves: hosting, panel, base de datos, correo y FTP.
- Restaurar desde un respaldo anterior al ataque, no desde el estado actual.
- Actualizar todo antes de volver a publicar. Si vuelves con la misma versión, te vuelven a entrar el mismo día.
- Pedir revisión en Google Search Console si tu sitio quedó marcado como peligroso.
Preguntas frecuentes
¿Un certificado SSL me deja seguro?
No. El candado cifra la conexión, nada más. Un sitio con SSL puede estar igual de hackeado. Es necesario, no suficiente.
¿Sirve un plugin de seguridad?
Ayuda con lo básico (límite de intentos, cortafuegos simple), pero es una capa más, no la solución. Y es un plugin más que mantener actualizado.
¿Cuánto cuesta tener esto bien hecho?
En un sitio nuevo, cero: es parte de construirlo bien desde el principio. En uno existente depende de qué haya que desenredar. Los rangos generales están en cuánto cuesta una página web en Chile.