La seguridad web no es opcional. Cada día se hackean miles de sitios web, y la mayoría podrían haberse protegido con medidas básicas. En esta guía te damos un checklist esencial de seguridad que todo propietario de web debe implementar.
¿Por qué es importante la seguridad web?
Un sitio web hackeado puede significar:
- Pérdida de datos: Información de clientes, contenido, configuraciones
- Daño reputacional: Clientes que pierden confianza en tu marca
- Pérdidas económicas: Tiempo de inactividad, costes de recuperación
- Penalizaciones SEO: Google marca sitios comprometidos como peligrosos
- Responsabilidad legal: Especialmente con datos personales (GDPR)
Checklist de seguridad web esencial
1. Certificado SSL activo y válido
El certificado SSL cifra la comunicación entre usuarios y tu servidor. Es obligatorio para cualquier web moderna.
Verificar:
- ☐ SSL instalado y funcionando (https://)
- ☐ Redirección automática de HTTP a HTTPS
- ☐ Certificado no caducado (monitorizar expiración)
- ☐ Sin errores de contenido mixto
2. Software actualizado
La mayoría de hackeos explotan vulnerabilidades conocidas en software desactualizado.
Mantener actualizado:
- ☐ CMS (WordPress, Joomla, etc.)
- ☐ Plugins y extensiones
- ☐ Temas y templates
- ☐ PHP y base de datos
- ☐ Sistema operativo del servidor
3. Contraseñas seguras
Las contraseñas débiles son la puerta de entrada más común para los atacantes.
Buenas prácticas:
- ☐ Mínimo 12 caracteres
- ☐ Combinación de mayúsculas, minúsculas, números y símbolos
- ☐ Contraseñas únicas para cada servicio
- ☐ Usar gestor de contraseñas
- ☐ Activar autenticación de dos factores (2FA)
- ☐ Cambiar contraseñas por defecto
4. Backups automáticos
Si todo falla, un backup reciente te permite recuperarte rápidamente.
Estrategia de backups:
- ☐ Backups automáticos diarios (mínimo)
- ☐ Almacenamiento externo (no solo en el servidor)
- ☐ Incluir archivos Y base de datos
- ☐ Probar restauración periódicamente
- ☐ Retención de varios días/semanas
5. Firewall y WAF
Un firewall de aplicaciones web (WAF) filtra tráfico malicioso antes de que llegue a tu web.
Implementar:
- ☐ WAF activo (Cloudflare, Sucuri, etc.)
- ☐ Reglas para bloquear ataques comunes (SQL injection, XSS)
- ☐ Rate limiting para prevenir fuerza bruta
- ☐ Protección DDoS
6. Acceso seguro al servidor
Si tienes acceso SSH o FTP al servidor, asegúralo correctamente.
Medidas:
- ☐ Usar SFTP en lugar de FTP
- ☐ Autenticación por clave SSH (no solo contraseña)
- ☐ Cambiar puerto SSH por defecto
- ☐ Deshabilitar acceso root directo
- ☐ Limitar IPs que pueden conectarse
7. Permisos de archivos correctos
Permisos demasiado abiertos permiten que atacantes modifiquen archivos.
Permisos recomendados:
- ☐ Archivos: 644
- ☐ Carpetas: 755
- ☐ wp-config.php (WordPress): 600 o 640
- ☐ Nunca usar 777
8. Protección del área de administración
El login de admin es el objetivo principal de los atacantes.
Proteger:
- ☐ Cambiar URL de login si es posible
- ☐ Limitar intentos de login fallidos
- ☐ Implementar captcha
- ☐ Activar 2FA para administradores
- ☐ Restringir por IP si es viable
9. Cabeceras de seguridad HTTP
Las cabeceras de seguridad añaden capas de protección en el navegador.
Cabeceras importantes:
- ☐ Strict-Transport-Security (HSTS)
- ☐ X-Content-Type-Options: nosniff
- ☐ X-Frame-Options: DENY o SAMEORIGIN
- ☐ Content-Security-Policy
- ☐ Referrer-Policy
10. Monitoreo de seguridad
Detectar problemas rápidamente minimiza el daño.
Monitorizar:
- ☐ Uptime del sitio
- ☐ Cambios en archivos críticos
- ☐ Logs del servidor
- ☐ Escaneo de malware periódico
- ☐ Alertas de seguridad
Medidas adicionales para WordPress
WordPress es el CMS más atacado por ser el más popular. Medidas extra:
- Eliminar plugins y temas no utilizados
- Usar solo plugins de fuentes confiables
- Deshabilitar la edición de archivos desde el admin
- Cambiar el prefijo de tablas de la base de datos
- Usar un plugin de seguridad (Wordfence, Sucuri, etc.)
- Optimizar con plugins de caché que incluyen seguridad
Qué hacer si tu web es hackeada
- No entres en pánico: Actúa con método
- Desconecta: Pon la web en mantenimiento para evitar más daño
- Evalúa: Determina el alcance del compromiso
- Restaura: Usa un backup limpio si es posible
- Limpia: Elimina todo código malicioso
- Actualiza: Todo el software a las últimas versiones
- Cambia: Todas las contraseñas
- Refuerza: Implementa las medidas de este checklist
- Monitoriza: Vigila estrechamente los siguientes días
Herramientas de seguridad recomendadas
Escaneo y protección
- Sucuri SiteCheck: Escaneo gratuito de malware
- Cloudflare: WAF, DDoS protection, SSL
- Wordfence: Seguridad integral para WordPress
Monitoreo
- WatcherWolf: Monitoreo de uptime, SSL y rendimiento
- Google Search Console: Alertas de problemas de seguridad detectados
Conclusión
La seguridad web no es un proyecto de una vez, es un proceso continuo. Implementa este checklist como base, mantén todo actualizado, y monitoriza constantemente para detectar problemas a tiempo.
El primer paso es tener visibilidad de lo que pasa en tu web. WatcherWolf te ayuda a monitorizar el estado de tu sitio 24/7, incluyendo la validez de tu certificado SSL.
Empieza a proteger tu web gratis
¿Listo para monitorear tu web?
Empieza gratis y recibe alertas instantáneas cuando tu sitio tenga problemas.
Crear cuenta gratis