Revisión de vulnerabilidades de seguridad web

¿Cómo sé si mi web tiene alguna vulnerabilidad?

Una vulnerabilidad es un punto débil en el software o en la configuración de una web que permite a otra persona actuar sin autorización. La mayoría no da señales: la web se abre con normalidad, llegan los pedidos y los formularios funcionan. Por eso pensar "mi web funciona, así que no hay ningún problema" resulta engañoso.

Aun así, algunas señales pueden anunciar un problema. Si observa alguna de las siguientes, le recomendamos revisar su web sin perder tiempo:

• Redirecciones inesperadas: los visitantes o quienes llegan desde Google acaban en otra web.
• Resultados que no reconoce: en Google aparecen, con el nombre de su web, páginas en otro idioma o con contenido de fármacos o apuestas.
• Cuentas desconocidas: en el panel de administración hay una cuenta de administrador que usted no ha creado.
• Avisos: una notificación de problema de seguridad en Search Console, el aviso "no es seguro" en el navegador o un correo de advertencia de su proveedor de alojamiento.
• Lentitud sin explicación: los recursos del servidor se agotan y la web va lenta aunque el tráfico no haya aumentado.
• Problemas con formularios y correo: llegan envíos sin sentido por los formularios o salen desde su dominio correos que usted no ha enviado.

¿Qué analizamos en la revisión de vulnerabilidades?

La seguridad de una web no depende de un único ajuste, sino de varias capas conectadas entre sí. En la revisión analizamos cada capa por separado y reunimos los hallazgos en un mismo informe.

¿Por qué se habla tanto de las vulnerabilidades de PHP?

PHP es el lenguaje de programación que hace funcionar una gran parte de las webs de internet; con él funcionan WordPress, muchas plataformas de comercio electrónico y webs corporativas. Por eso, cuando se descubre una vulnerabilidad en PHP, no corre riesgo una sola web, sino innumerables webs que usan la misma versión a la vez.

Un detalle importante: PHP se ejecuta en el servidor. Actualizar WordPress o los plugins no actualiza PHP; la corrección la aplica el proveedor de alojamiento o el equipo que gestiona el servidor. Las versiones antiguas de PHP cuyo soporte de seguridad ha terminado no reciben correcciones para las nuevas vulnerabilidades. En nuestra noticia de UNIT Journal sobre la regla del parche y la página de mantenimiento ante una vulnerabilidad de PHP explicamos las últimas vulnerabilidades de PHP y cómo proteger la visibilidad en buscadores si hay que cerrar la web.

¿Cómo realizamos la revisión de seguridad?

Solo empezamos la revisión con el permiso escrito del propietario de la web y después de definir juntos el alcance. Los métodos que utilizamos no dañan la web, no borran datos y no generan una carga que empeore la experiencia de los visitantes.

• Inventario: hacemos una lista de las versiones de PHP, de la base de datos, del sistema de gestión de contenidos, de los temas y de los plugins.
• Comparación con vulnerabilidades conocidas: contrastamos cada componente con los avisos de seguridad públicos.
• Análisis desde fuera: comprobamos qué puede ver de la web un visitante o una herramienta automática: archivos expuestos, mensajes de error, páginas de acceso y cabeceras.
• Revisión de la configuración: cuando se nos da acceso, revisamos la configuración del servidor, del panel y del dominio.
• Revisión del código y de los archivos: si se considera necesario, buscamos en los archivos de la web cambios inesperados, puertas traseras o código malicioso.

¿Qué hacemos si encontramos una vulnerabilidad?

Clasificamos cada hallazgo en tres grupos según su impacto y lo fácil que resulta explotarlo: los que hay que cerrar de inmediato, los que se planifican a corto plazo y los que se abordarán en el siguiente periodo de mantenimiento. En el informe se explica con un lenguaje sencillo qué es cada hallazgo, por qué importa y cómo se cierra.

Probamos las actualizaciones haciendo antes una copia de seguridad y, si es posible, en un entorno de pruebas; después las aplicamos en la web en producción. Para las correcciones del lado del servidor también nos encargamos de la comunicación con su proveedor de alojamiento. Si la web ha sido comprometida, eliminamos el código malicioso, renovamos las contraseñas y las claves de acceso, buscamos puertas traseras y, si hace falta, solicitamos una nueva revisión a través de Search Console.

¿Cómo se protege la visibilidad en buscadores durante la actualización?

Un parche urgente puede obligar a cerrar la web durante un breve periodo. Si en ese tiempo las páginas muestran una página de error, los buscadores pueden interpretar que la web se ha eliminado. Lo correcto es devolver, durante el mantenimiento, el código de estado que indica una interrupción temporal, mantener ese periodo lo más corto posible y asegurarse de que el archivo robots sigue accesible.

En las webs comprometidas, limpiar las páginas ajenas que han entrado en los buscadores y retirar los avisos también forma parte del trabajo. Llevamos a cabo estos pasos junto con nuestro equipo de SEO y seguimos en Search Console los errores de rastreo y las notificaciones de seguridad.

¿Qué diferencia hay entre una revisión de seguridad y una prueba de penetración?

La revisión de vulnerabilidades se centra en encontrar y priorizar los puntos débiles conocidos de la web: qué software está desactualizado, qué ajuste falta, qué archivo está expuesto. La prueba de penetración, en cambio, imita el camino que seguiría un atacante para comprobar si esos puntos débiles pueden explotarse de verdad; es un trabajo más amplio y más largo.

Para la mayoría de las webs corporativas y de las pequeñas tiendas online, el punto de partida adecuado es una revisión periódica de vulnerabilidades y el cierre de los hallazgos. En proyectos con pasarela de pago, una gran base de datos de clientes u obligaciones de auditoría por normativa, la prueba de penetración puede planificarse aparte; valoramos juntos esa necesidad al final de la revisión. Si hace falta una prueba de penetración, también dejamos por escrito su alcance y los permisos.

¿Qué webs necesitan una revisión periódica?

Conviene dar por hecho que toda web tiene suficiente valor para un ataque; la mayoría de los ataques no empiezan apuntando a una empresa concreta, sino con escaneos automáticos que buscan cualquier web vulnerable. Recomendamos especialmente una revisión periódica en estas webs:

• Tiendas online que procesan pagos y datos de clientes
• Webs corporativas que recogen datos personales mediante formularios, registros o sistemas de citas
• Webs que llevan mucho tiempo sin actualizarse o funcionan sobre una plataforma antigua
• Webs que han perdido el contacto con la agencia o el programador que las hizo y en las que no está claro quién las gestiona
• Webs de WordPress que utilizan muchos plugins

Si la plataforma antigua no puede actualizarse, renovar la web puede ser más seguro y menos costoso. En ese caso seguimos el enfoque de nuestras páginas de diseño de páginas web y de web y e-commerce.

¿Qué hay que hacer para mantener la seguridad de la web?

• Rutina de actualización: el software principal, los temas y los plugins se actualizan de forma periódica y con una copia de seguridad previa.
• Copias de seguridad: se guardan en un lugar distinto de la web y de vez en cuando se comprueba que la restauración funciona.
• Seguridad de las cuentas: las cuentas de administrador son personales y se usan contraseñas robustas y verificación en dos pasos.
• Sencillez: se eliminan los plugins, temas y cuentas que no se usan.
• Mínimo privilegio: cada persona tiene solo los permisos que necesita para hacer su trabajo.
• Supervisión: se siguen las notificaciones de Search Console, las alertas del servidor y los cambios en los archivos.

¿Por dónde empezar con la seguridad de su web? Nuestra recomendación

Si quiere saber si su web tiene alguna vulnerabilidad, le recomendamos este orden:

1. 1.Reúna los accesos: aclare quién tiene los datos del dominio, del alojamiento y del panel de administración.
2. 2.Averigüe la versión: anote la versión de PHP y del sistema de gestión de contenidos desde el panel de alojamiento o desde la pantalla de salud del sitio.
3. 3.Haga una copia de seguridad: antes de cualquier cambio, asegúrese de que hay una copia actualizada guardada fuera de la web.
4. 4.Encargue una revisión: solicite una revisión que compare el inventario con las vulnerabilidades conocidas y priorice los hallazgos.
5. 5.Establezca una rutina: deje por escrito quién se encargará de las actualizaciones, las copias de seguridad y la supervisión.

Basta con que nos escriba con la dirección de su web; hablamos del alcance y empezamos la revisión. Puede contactarnos desde la página de contacto o con el formulario al final de esta página.