La mayoría de los problemas de seguridad web que afectan a las pequeñas empresas no son ataques sofisticados. Son el equivalente digital de una puerta que se dejó sin cerrar: una contraseña débil reutilizada en cinco cuentas, software que no se ha actualizado en dos años, un plugin del que nadie recuerda haberlo instalado. Nada de esto necesita un departamento de TI dedicado para solucionarse; hace falta una lista corta de hábitos, aplicados de forma constante.
Contraseñas y accesos: la primera línea de defensa
Una contraseña reutilizada es la forma más común en que se compromete una cuenta, no porque el propio sitio haya sido vulnerado, sino porque la contraseña se filtró en algún otro lugar por completo y se probó contra todo lo demás que usa el dueño de esa cuenta. Un gestor de contraseñas y contraseñas únicas para cada cuenta cierran la mayor parte de esta brecha con casi ningún esfuerzo continuo una vez configurados.
La autenticación de dos factores en todo lo que controla el sitio —la cuenta de alojamiento, el sistema de gestión de contenidos, el registrador del dominio— añade una segunda verificación que detiene a la abrumadora mayoría de los intentos de intrusión automatizados, que se basan en que una contraseña por sí sola sea suficiente. Es una configuración de cinco minutos por cuenta y una de las medidas de seguridad con mejor retorno disponibles para un negocio sin ningún equipo técnico.
El acceso también debe revisarse periódicamente: un exempleado o un antiguo contratista que todavía tiene credenciales de acceso es una puerta que nadie recuerda que está abierta. Retirar el acceso cuando termina el rol de alguien debería ser un paso estándar, no una idea de último momento.
Mantener el software actualizado
Un sitio construido sobre un sistema de gestión de contenidos, un conjunto de plugins o cualquier software de terceros conlleva una obligación continua: esos componentes reciben parches de seguridad, y un sitio que nunca los aplica funciona con vulnerabilidades conocidas y publicadas que cualquiera puede consultar. Se trata menos de una actualización puntual y más de una rutina: revisar y aplicar actualizaciones con un calendario regular en lugar de dejar un sitio sin tocar entre rediseños, que es cuando la mayor parte de esto se queda desactualizado.
Copias de seguridad: la medida que importa después de que algo ya ha salido mal
Todas las demás medidas de esta lista tratan sobre prevención. Las copias de seguridad tratan sobre lo que pasa cuando la prevención falla de todos modos, y algo acaba pasando tarde o temprano, por muy cuidadoso que sea un negocio. Una copia de seguridad reciente y probada, guardada en un lugar separado del sitio en producción, convierte un desastre potencial en una tarde restaurando un archivo. Sin ella, el mismo incidente puede significar reconstruir un sitio desde cero, junto con todo lo que había en él.
La palabra "probada" importa tanto como "reciente". Una copia de seguridad que nunca se ha restaurado realmente es una copia de la que nadie puede estar seguro de que funcione, y la primera vez que se descubra que no funciona no debería ser durante un incidente real.
Lo que no hace falta que ocurra
Herramientas de seguridad de nivel corporativo a gran escala, un equipo de monitorización dedicado o una auditoría de seguridad formal no son lo que la mayoría de los sitios de pequeñas empresas necesitan primero, y tratarlos como requisitos previos a menudo significa que no se hace nada mientras el negocio espera un presupuesto o una experiencia que quizá nunca asigne. El puñado de medidas anteriores —contraseñas únicas, autenticación de dos factores, software actualizado y una copia de seguridad probada— cubre la inmensa mayoría de los incidentes reales que de verdad afectan a los sitios de pequeñas empresas, y ninguna requiere conocimientos técnicos especializados para ponerse en marcha.
Por qué esto forma parte del resto del mantenimiento del sitio
Un sitio hackeado o desfigurado no solo cuesta tiempo arreglarlo: cuesta la confianza de cada visitante que lo ve en ese estado, e interrumpe directamente todo aquello para lo que el sitio existe comercialmente, desde ese momento hasta que se restaura. El mantenimiento de la seguridad forma parte de la misma disciplina continua que tratar una web como un sistema de negocio en lugar de un folleto estático — no es un proyecto puntual que termina en el lanzamiento, sino una responsabilidad permanente mientras el sitio esté activo. Nuestro equipo web incorpora estas bases en cada sitio desde el principio y las mantiene actualizadas como parte del soporte continuo, en lugar de tratar la seguridad como un problema de otra persona que resolver después.
