🛡️ Manual Seguridad Web General
Guía Completa de Protección para Todos los Tipos de Sitios Web - HostingExpress
📋 Tabla de Contenidos
Introducción
La seguridad web no es exclusiva de WordPress o CMS específicos. TODOS los sitios web están bajo amenaza constante, independientemente de su tecnología. Esta guía proporciona medidas de seguridad universales aplicables a cualquier tipo de sitio web.
Recuerda: Por más seguridad que tengan los servidores de HostingExpress, si TÚ no tienes seguridad en tu CMS, sitio web, contraseñas, antivirus del equipo que administra tu sitio, y otras medidas personales, de nada sirve la seguridad del servidor. La seguridad es responsabilidad compartida. El proveedor de hosting protege la infraestructura, pero TÚ debes proteger tu contenido, credenciales y dispositivos.
Cada día se registran millones de intentos de ataque a sitios web. No es cuestión de "si" serás atacado, sino de "cuándo". La preparación es clave.
Proporcionar medidas de seguridad prácticas y universales que protejan tu sitio web, sin importar su tecnología o tamaño.
Amenazas Web Comunes
Estas amenazas afectan a TODOS los tipos de sitios web:
1. Ataques de Fuerza Bruta
Intentos repetidos de acceso usando combinaciones de usuario/contraseña.
Paneles de control (cPanel, Plesk), FTP, bases de datos, aplicaciones web.
2. Inyección de Código
Inserción de código malicioso en formularios o parámetros de URL.
SQL Injection, PHP Injection, Command Injection, XSS.
3. Malware y Virus
Software malicioso que infecta tu servidor o sitio web.
Pérdida de datos, acceso no autorizado, distribución de malware a visitantes.
4. DDoS (Denegación de Servicio)
Ataques que sobrecargan tu servidor con tráfico para dejarlo inoperativo.
Sitio no disponible, pérdida de ingresos, daño a reputación.
5. Robo de Datos
Acceso no autorizado a información sensible (datos de clientes, contraseñas, etc.).
Violación de privacidad, demandas legales, pérdida de confianza.
6. Defacement (Alteración de Sitio)
Modificación no autorizada del contenido visible de tu sitio.
Vandalismo, propaganda, daño a reputación.
7. Phishing y Social Engineering
Engaños para obtener información sensible de usuarios o administradores.
Correos falsos, sitios clonados, técnicas de manipulación.
8. Vulnerabilidades Zero-Day
Vulnerabilidades desconocidas que no tienen parche disponible.
Mantener sistemas actualizados, monitoreo activo, WAF.
Seguridad del Hosting
La seguridad comienza con tu proveedor de hosting. Elige sabiamente.
Características de Hosting Seguro
| Característica | Importancia | Lo que Buscar |
|---|---|---|
| Firewall | Crítica | WAF integrado, protección DDoS |
| Backups Automáticos | Crítica | Diarios, redundancia, fácil restauración |
| SSL/HTTPS | Crítica | Certificados gratuitos, renovación automática |
| Escaneo de Malware | Alta | Escaneos automáticos, alertas |
| Actualizaciones | Alta | Software actualizado, parches de seguridad |
| Aislamiento de Cuentas | Alta | Separación entre usuarios, contenedores |
| Monitoreo 24/7 | Media | Alertas de anomalías, respuesta rápida |
| Soporte Técnico | Media | Disponible 24/7, experto en seguridad |
Preguntas al Elegir Hosting
- ¿Qué tipo de firewall utilizan?
- ¿Con qué frecuencia hacen backups?
- ¿Dónde se almacenan los backups?
- ¿Tienen protección DDoS?
- ¿Cómo manejan los ataques?
- ¿Qué soporte técnico ofrecen?
- ¿Tienen certificados SSL incluidos?
- ¿Cómo protegen contra malware?
- ¿Qué paneles de control ofrecen (cPanel, Plesk, DirectAdmin)?
- Firewall avanzado incluido
- Backups automáticos diarios
- SSL/HTTPS gratuito
- Escaneo de malware 24/7
- Soporte técnico 24/7
- Protección DDoS
- Aislamiento de cuentas
- Panel de Control DirectAdmin (seguro y confiable)
Seguridad del Dominio
Tu dominio es tu identidad en línea. Protégelo como si fuera tu casa.
1. Contraseña Fuerte del Registrador (y del Panel de Control)
La contraseña de tu registrador es crítica. Con ella, alguien puede transferir tu dominio.
- Mínimo 16 caracteres
- Mezcla de mayúsculas, minúsculas, números, símbolos
- Única para cada cuenta
- Guardada en gestor de contraseñas
2. Autenticación de Dos Factores (2FA)
Requiere una segunda verificación para acceder a tu cuenta de registrador.
- Accede a tu cuenta de registrador
- Ve a Configuración → Seguridad
- Habilita 2FA
- Elige método (SMS, app de autenticación, email)
- Guarda códigos de recuperación
3. Bloqueo de Transferencia
Previene que tu dominio sea transferido sin tu consentimiento.
- Accede a tu cuenta de registrador
- Ve a Gestión de Dominio
- Busca "Bloqueo de Transferencia" o "Transfer Lock"
- Actívalo
4. Protección WHOIS
Oculta tu información personal en la base de datos WHOIS pública.
Evita spam, phishing, y ataques dirigidos a tu información personal.
5. Contactos Verificados
Mantén contactos de administrador, técnico y facturación actualizados y verificados.
- Accede a tu cuenta de registrador
- Ve a Gestión de Dominio
- Verifica todos los contactos
- Usa direcciones de correo que controles
6. DNSSEC
Protege tu DNS contra ataques de envenenamiento.
Solicita a tu proveedor que habilite DNSSEC si no está disponible.
7. Monitoreo de Cambios
Recibe alertas si alguien intenta cambiar tu dominio.
Habilita notificaciones por correo para cambios de DNS, transferencias, renovaciones.
Certificados SSL/HTTPS
HTTPS es esencial para TODOS los sitios web modernos, no solo tiendas en línea.
¿Por Qué HTTPS es Importante?
| Aspecto | Beneficio |
|---|---|
| Encriptación | Protege datos en tránsito entre navegador y servidor |
| Autenticación | Verifica que el sitio es legítimo |
| SEO | Google penaliza sitios sin HTTPS |
| Confianza | Los navegadores muestran candado de seguridad |
| Cumplimiento | Requerido por leyes de protección de datos |
Tipos de Certificados SSL
| Tipo | Validación | Costo | Mejor Para |
|---|---|---|---|
| Domain Validated (DV) | Rápida (minutos) | Gratis/Bajo | Blogs, sitios pequeños |
| Organization Validated (OV) | Media (horas) | Medio | Empresas medianas |
| Extended Validation (EV) | Completa (días) | Alto | Tiendas, bancos, finanzas |
| Wildcard | Varía | Medio | Múltiples subdominios |
Instalar Certificado SSL
- Accede a tu panel de control (cPanel, Plesk, DirectAdmin, etc.)
- Ve a SSL/HTTPS o Certificados
- Si usas Let's Encrypt (gratis), haz clic en "Auto-instalar"
- Si tienes certificado pagado, carga el archivo
- Verifica que tu sitio use https:// en la URL
- Configura redirección automática de http a https
Renovación Automática
Los certificados expiran. Configura renovación automática para evitar problemas.
Habilita renovación automática y recibe notificaciones de expiración.
Un certificado expirado hace que los navegadores muestren advertencias de seguridad. Tus visitantes no podrán acceder a tu sitio.
Control de Acceso
Limita quién puede acceder a áreas críticas de tu sitio.
1. Contraseñas Fuertes
La primera línea de defensa es una contraseña fuerte.
- Mínimo 12-16 caracteres
- Mayúsculas, minúsculas, números, símbolos
- Sin información personal
- Sin palabras del diccionario
- Única para cada cuenta
2. Gestor de Contraseñas
No memorices contraseñas. Usa un gestor seguro.
| Gestor | Características |
|---|---|
| 1Password | Completo, sincronización en la nube, compartir seguro |
| Bitwarden | Gratis/Premium, código abierto, auto-hospedable |
| LastPass | Popular, integración con navegadores |
| KeePass | Gratis, local, sin sincronización en la nube |
3. Autenticación de Dos Factores (2FA)
Requiere verificación adicional además de contraseña.
- App de autenticación (Google Authenticator, Authy)
- SMS (menos seguro, pero mejor que nada)
- Llaves de seguridad físicas
2. Limitar Intentos de Login
Previene ataques de fuerza bruta limitando intentos fallidos. Esto aplica a tu panel de control (DirectAdmin, cPanel, Plesk), FTP/SFTP, base de datos, y cualquier área de administración.
Máximo 5 intentos fallidos, luego bloquear por 30 minutos.
5. Cambiar Puertos Predeterminados
Los hackers buscan servicios en puertos estándar. Cámbialos.
| Servicio | Puerto Estándar | Cambiar a |
|---|---|---|
| SSH | 22 | 2222 o similar |
| FTP | 21 | No usar FTP, usar SFTP |
| cPanel | 2082 | Personalizar |
6. Restringir por IP
Permite acceso solo desde IPs específicas (tu oficina, casa, etc.).
<FilesMatch "^wp-admin">
Order Deny,Allow
Deny from all
Allow from 192.168.1.1
</FilesMatch>Protección de Datos
Los datos son el activo más valioso. Protégelos adecuadamente.
1. Encriptación de Datos
Encripta datos sensibles tanto en tránsito como en reposo.
HTTPS/SSL encripta datos entre navegador y servidor.
Encripta datos en la base de datos usando algoritmos como AES-256.
2. Minimizar Datos Recopilados
Solo recopila datos que realmente necesitas.
- Menos datos = menos riesgo si se comprometen
- Cumple mejor con leyes de privacidad (GDPR, CCPA)
- Aumenta confianza de usuarios
3. Retención de Datos
No guardes datos más tiempo del necesario.
- Define período de retención para cada tipo de dato
- Automatiza eliminación después del período
- Documenta tu política de retención
- Comunica a usuarios
4. Cumplimiento de Regulaciones
Cumple con leyes de protección de datos.
| Regulación | Región | Requisitos Clave |
|---|---|---|
| GDPR | Unión Europea | Consentimiento, derecho al olvido, notificación de brechas |
| CCPA | California, USA | Derecho a acceso, eliminación, no venta de datos |
| LGPD | Brasil | Consentimiento, transparencia, seguridad |
| PIPEDA | Canadá | Consentimiento, acceso, corrección |
5. Auditoría de Acceso a Datos
Registra quién accede a datos sensibles y cuándo.
- Detecta acceso no autorizado
- Cumple con regulaciones
- Ayuda en investigaciones de brechas
Seguridad FTP/SFTP
El acceso a archivos es crítico. Usa SFTP, nunca FTP.
FTP vs SFTP
| Aspecto | FTP | SFTP |
|---|---|---|
| Encriptación | No | Sí (SSH) |
| Seguridad | Baja | Alta |
| Contraseña Visible | Sí (peligro) | No (encriptada) |
| Recomendación | NO USAR | USAR SIEMPRE |
Configurar SFTP
- Accede a tu panel de control (DirectAdmin, cPanel, Plesk, etc.)
- Ve a FTP/SFTP
- Crea cuenta SFTP con contraseña fuerte
- Limita acceso a carpeta específica (home)
- Usa cliente SFTP (FileZilla, WinSCP, Cyberduck)
- Conecta usando SFTP, no FTP
Mejores Prácticas SFTP
- Usa contraseña única y fuerte
- Considera usar autenticación por clave SSH
- Limita acceso a IP específicas si es posible
- Desactiva FTP completamente
- Cambia puerto SSH predeterminado (22)
- Usa cliente SFTP moderno y actualizado
Autenticación por Clave SSH
Más seguro que contraseña. Usa pares de claves pública/privada.
- Genera par de claves SSH en tu computadora
- Copia clave pública al servidor
- Configura cliente SFTP para usar clave privada
- Deshabilita acceso por contraseña
Backups - Tu Red de Seguridad
Sin backups, un ataque puede ser catastrófico. Los backups son tu salvavidas.
Aunque HostingExpress realiza backups automáticos de la infraestructura del servidor, la responsabilidad principal de mantener backups seguros y accesibles es DEL USUARIO. Los backups automáticos del servidor son una medida de protección adicional, pero NO son garantía de recuperación total de tus datos. Debes implementar tu propia estrategia de backups independiente.
¿Por qué? Los backups del servidor pueden estar sujetos a limitaciones de retención, pueden no incluir todos tus datos, pueden ser lentos de restaurar, o pueden no estar disponibles en caso de desastre total del centro de datos. Además, si tu sitio es comprometido y el malware se propaga durante días, los backups del servidor también pueden estar infectados.
Tu responsabilidad incluye:
- Configurar backups adicionales independientes del servidor
- Almacenar backups en múltiples ubicaciones (regla 3-2-1)
- Probar regularmente la restauración desde tus backups
- Mantener backups actualizados según la frecuencia de cambios en tu sitio
- Documentar tu estrategia de backups
- Verificar que tus backups sean accesibles cuando los necesites
Estrategia de Backups - Responsabilidad del Usuario
- 3 copias de tus datos (mínimo)
- 2 medios de almacenamiento diferentes
- 1 copia fuera del sitio (offsite)
HostingExpress proporciona backups automáticos como servicio de infraestructura. Sin embargo, estos backups son:
- Responsabilidad compartida: Nosotros mantenemos la infraestructura, pero TÚ debes verificar que funcionen para ti
- No garantizados: Aunque hacemos todo lo posible, no podemos garantizar recuperación al 100% en todos los casos
- Sujetos a limitaciones: Pueden tener límites de retención, espacio, o velocidad de restauración
- Pueden estar infectados: Si tu sitio tiene malware durante días, los backups automáticos también pueden estar infectados
- Complementarios, no reemplazo: Deben complementar, no reemplazar, tu propia estrategia de backups
Por lo tanto, DEBES crear tus propios backups independientes.
Tu Responsabilidad: Crear Backups Independientes
Además de los backups del servidor, DEBES crear tus propios backups independientes. Esto es especialmente crítico si:
- Tu sitio contiene datos críticos o de clientes
- Tu sitio genera ingresos
- No puedes permitirte perder contenido
- Necesitas recuperación rápida en caso de desastre
- Requieres cumplimiento de regulaciones (GDPR, HIPAA, etc.)
Un sitio web fue hackeado y el malware se propagó durante 2 semanas sin ser detectado. Los backups automáticos del servidor también estaban infectados porque se realizaban diariamente y el malware ya estaba presente. La única forma de recuperarse fue usando un backup externo que el usuario había hecho 3 semanas antes. Si no hubiera tenido ese backup independiente, habría perdido todo.
Tipos de Backups
| Tipo | Contenido | Frecuencia | Tamaño |
|---|---|---|---|
| Completo | Archivos + BD | Semanal | Grande |
| Incremental | Solo cambios | Diario | Pequeño |
| Base de Datos | Solo BD | Diario | Pequeño |
| Manual | Lo que elijas | Antes de cambios | Varía |
Dónde Almacenar Backups
- Servidor Local: Rápido, pero vulnerable si servidor se compromete
- Almacenamiento en la Nube: Google Drive, Dropbox, AWS S3, Azure
- Disco Externo: Físico, seguro, pero requiere gestión manual
- Servidor Remoto: Otro servidor en diferente ubicación
Prueba Tus Backups - Responsabilidad Crítica
Un backup que no se puede restaurar es inútil. Esta es TU responsabilidad.
- Regularmente (mensual) intenta restaurar un backup
- Verifica que el sitio funcione correctamente
- Documenta el tiempo de restauración
- Identifica problemas antes de una emergencia real
- Prueba restauración en ambiente de prueba, no en producción
- Verifica que todos los datos estén presentes después de restaurar
Si nunca has restaurado desde backup, no sabes si funciona. Prueba regularmente. No esperes a una emergencia para descubrir que tus backups no funcionan. Esto es responsabilidad tuya, no del proveedor de hosting.
Documentar Tu Estrategia de Backups
Debes documentar tu estrategia de backups para que otros puedan recuperar tu sitio si algo te sucede.
- Dónde se almacenan los backups (ubicaciones específicas)
- Con qué frecuencia se realizan
- Cómo acceder a los backups (credenciales, URLs, etc.)
- Cómo restaurar desde cada tipo de backup
- Quién es responsable de cada tarea
- Procedimiento de prueba de restauración
- Tiempo estimado de recuperación
Monitoreo Continuo
La detección temprana es clave. Monitorea activamente tu sitio.
Qué Monitorear
| Elemento | Qué Buscar | Herramientas |
|---|---|---|
| Disponibilidad | ¿Está el sitio en línea? | Uptime Robot, Pingdom |
| Rendimiento | Velocidad de carga | Google PageSpeed, GTmetrix |
| Cambios de Archivos | Modificaciones no autorizadas | Wordfence, Sucuri |
| Logs de Acceso | Intentos sospechosos | Análisis de logs del servidor |
| Malware | Código malicioso | Wordfence, Sucuri, Virustotal |
| SSL/Certificado | Expiración próxima | SSL Labs, navegador |
Herramientas de Monitoreo Recomendadas
- Uptime Robot: Monitoreo de disponibilidad (gratis)
- Google Search Console: Alertas de malware, problemas de indexación
- Google Analytics: Tráfico anómalo, comportamiento de usuarios
- Wordfence: Seguridad completa para WordPress
- Sucuri: Monitoreo de seguridad universal
- SSL Labs: Análisis de certificado SSL
- Logs de DirectAdmin/cPanel: Monitoreo de intentos de acceso al panel
Configurar Alertas
- Elige herramientas de monitoreo
- Configura alertas por correo para eventos críticos
- Establece umbrales (ej: sitio caído, velocidad muy lenta)
- Verifica que recibas alertas
- Crea plan de respuesta para cada tipo de alerta
❓ Preguntas Frecuentes
¿Qué hago si mi sitio fue hackeado, qué hago?Pasos inmediatos: 1) Contacta a soporte técnico, 2) Restaura desde backup limpio (TÚ debes tener uno), 3) Cambia todas las contraseñas, 4) Escanea con herramientas de seguridad, 5) Revisa logs, 6) Implementa seguridad mejorada. Si no tienes backup limpio, la recuperación será mucho más difícil.
¿Necesito HTTPS si no tengo tienda?
Sí. HTTPS es esencial para TODOS los sitios. Google penaliza sin HTTPS, navegadores muestran advertencias, y es mejor para privacidad.
¿Con qué frecuencia debo hacer backups?
Mínimo semanal. Si actualizas contenido frecuentemente, haz diarios. Si tienes tienda, haz diarios o en tiempo real. Recuerda: Esta es tu responsabilidad, no del servidor. Aunque HostingExpress hace backups, debes tener los tuyos propios.
¿Qué es un WAF?
Web Application Firewall. Filtra tráfico malicioso antes de llegar a tu sitio. Protege contra inyecciones, XSS, DDoS, etc.
¿Puedo usar contraseña débil si tengo firewall?
No. Firewall es una capa, pero contraseña fuerte es fundamental. Usa ambas.
¿Qué hago si mi certificado SSL expira?
Renuévalo inmediatamente. Un certificado expirado causa advertencias de seguridad. Configura renovación automática.
¿Es seguro usar FTP?
No. FTP envía contraseña sin encriptación. Usa SFTP siempre. Considera autenticación por clave SSH.
¿Cómo sé si tengo malware?
Signos: Redirecciones extrañas, publicidad inesperada, rendimiento lento, Google marca como inseguro. Escanea con herramientas profesionales.
¿Necesito 2FA si tengo contraseña fuerte?
Sí. 2FA añade capa adicional. Incluso contraseña fuerte puede ser comprometida. 2FA es defensa en profundidad.
¿Qué es una brecha de datos?
Acceso no autorizado a datos. Puede ser nombres, emails, contraseñas, datos de pago. Requiere notificación a usuarios y reguladores.
📞 Soporte Técnico
Email: info@hostingexpress.com.mx
Horario de Atención: Lunes a Viernes, 9:30 AM - 5:00 PM (Hora de México)
Soporte Técnico 24/7:
Sistema de Tickets: Accede a tu área de cliente
¿Cómo Reportar un Problema de Seguridad?
- Inicia sesión en tu área de cliente
- Ve a la sección "Soporte" o "Tickets"
- Haz clic en "Crear Nuevo Ticket"
- Selecciona categoría "Seguridad"
- Describe el problema detalladamente
- Adjunta capturas de pantalla y logs si es posible
- Envía el ticket y espera respuesta de nuestro equipo
Servicios de Seguridad Disponibles
- Escaneo de malware profesional
- Limpieza de sitios hackeados
- Auditoría de seguridad completa
- Configuración de WAF y firewall
- Monitoreo 24/7 de seguridad
- Backups automáticos con redundancia
- Asesoramiento de seguridad personalizado
- Respuesta a incidentes de seguridad
HostingExpress iniciamos operaciones en 2006 y contamos con más de 20 años de experiencia en hosting web seguro. Nuestro equipo de seguridad está disponible 24/7 para proteger tu sitio web contra todas las amenazas.