De qué te protege realmente una web segura

Quien lleva un negocio pequeño suele entender la seguridad web como un asunto de bancos. Nadie quiere lo que yo tengo, se piensa, así que nadie vendrá a buscar.

Es una suposición razonable sobre las personas y equivocada sobre el software. Casi nada de lo que le ocurre a una web pequeña implica a alguien que la haya elegido. Implica a un programa que recorre todas las direcciones a las que puede llegar, prueba cada una contra una lista de fallos conocidos y se detiene allí donde algo responde. No te seleccionan. Te enumeran.

Lo cual cambia lo que significa la seguridad. No se trata de ser lo bastante interesante para que te ataquen. Se trata de no estar en la lista de cosas que responden.

La lista es pública, y ahí está todo el problema

Cuando se encuentra un fallo en un software de uso extendido, se publica. Ese es el procedimiento correcto: publicarlo es la forma en que todo el mundo aprende a corregirlo. Sale un parche, y quien lo aplica queda a salvo.

La publicación también le dice a todos los demás exactamente qué buscar y cómo. En poco tiempo queda incorporada a los escáneres automáticos, y cualquier web que siga funcionando con la versión sin parchear pasa a ser localizable por cualquiera que se moleste en mirar.

Así que la ventana que importa es la que va desde que el parche existe hasta que tú lo aplicas. Una web que nadie ha actualizado en dos años no corre riesgos desconocidos. Corre riesgos publicados, documentados y con herramientas ya hechas. Por eso "nos la hicieron y desde entonces va bien" no es la tranquilidad que parece. Nada de la web cambió, pero el conocimiento que el mundo tiene de sus debilidades siguió creciendo.

Qué hace HTTPS y qué no

El candado es el único elemento de seguridad que la mayoría sabe nombrar, y se malinterpreta habitualmente como una declaración general de que todo está bien.

HTTPS cifra la conexión entre el navegador del visitante y tu servidor. Significa que quien comparte la red de la cafetería no puede leer lo que tu cliente escribió en tu formulario ni alterar tu página por el camino. Eso importa, y es la razón por la que los navegadores marcan ahora como no seguras las webs que no lo tienen, algo que te cuesta confianza antes de que nadie lea una palabra.

Lo que no hace es decir nada sobre tu web. Una web con candado puede estar ejecutando software lleno de agujeros, guardando contraseñas en texto plano y filtrando su base de datos. HTTPS protege el trayecto, no el destino. Ponlo, porque es gratuito y automático en cualquier alojamiento decente, y no lo tomes por trabajo terminado.

Las copias de seguridad son la única recuperación real

Todo lo demás en esta página reduce la probabilidad del mal día. Las copias son lo que tienes el mal día.

Dos cosas separan una copia de seguridad de su apariencia. Tiene que estar donde el problema no pueda alcanzarla, porque una copia en el mismo servidor que la web se va con la web. Y alguien tiene que haber restaurado una. Una copia sin probar es una suposición, y la gente descubre que el archivo lleva ocho meses vacío en silencio justo en el momento en que lo necesita.

Si te llevas una sola cosa de aquí, que sea esta. Pregúntale a quien gestiona tu web cuándo restauró una copia por última vez, no si las hace.

Qué sale mal de verdad y qué cuesta

Los fallos para los que conviene prepararse no tienen nada de espectacular.

Una web comprometida suele usarse en lugar de destruirse, porque una web que funciona y con un historial limpio vale más para quien la ha tomado que una rota. Le añaden páginas que venden cosas que tú no vendes, o empieza a enviar correo, o sirve discretamente algo desagradable a tus propios visitantes. Muchas veces te enteras porque te lo dice un cliente, que es la peor forma posible de enterarse.

Después se acumula. Los navegadores empiezan a apartar a la gente, y ese aviso sobrevive a la corrección. Tu proveedor puede suspender la cuenta para proteger el resto del servidor, y entonces la web no solo está comprometida, está caída. Si envías correo desde el dominio, tu dirección puede acabar en listas de bloqueo y tu correo comercial habitual deja de llegar. Deshacer eso lleva más tiempo que cerrar el agujero original.

La otra categoría son los datos. Si recoges nombres, correos, teléfonos o cualquier cosa que un cliente escribió esperando privacidad, estás custodiando algo que le pertenece a él. Perderlo es un problema de otra naturaleza que perder tus propios archivos, con obligaciones asociadas en la mayoría de las jurisdicciones y un coste de confianza que ninguna solución técnica arregla.

En qué consiste realmente estar mantenida

En concreto, para la web de un negocio corriente: el software se actualiza cuando salen los parches, no cuando alguien se acuerda. Las copias se hacen solas, fuera del servidor, y se restauran de vez en cuando para demostrar que funcionan. El acceso de administración usa contraseñas que nadie reutiliza en otro sitio, y las cuentas antiguas se eliminan cuando la gente se va. Los formularios validan lo que aceptan, porque un formulario que acepta cualquier cosa es una puerta abierta. HTTPS está activo y sigue estándolo. Y alguien se entera de que la web se ha caído, en lugar de enterarse el dueño el lunes.

Nada de esto es dramático. Es mantenimiento, es aburrido, y lo aburrido es exactamente el objetivo.

Quién lo hace importa más que lo que cuesta

Esta es la parte que merece decirse con claridad, porque es la razón por la que organizamos nuestro propio trabajo como lo hacemos.

Todos los puntos de esa lista son continuos. Ninguno se compra una vez en el lanzamiento. Así que la pregunta real en la entrega no es si tu web es segura, sino quién es responsable de mantenerla así y si sabe que lo es.

Si tienes a alguien técnico, o estás dispuesto a aprender una rutina corta y cumplirla, hazlo tú. Es una respuesta legítima y hacemos proyectos así a propósito. Lo que no funciona es la tercera opción, en la que la web se entrega, todo el mundo da por hecho que está cubierto y pasan dos años. Ese es el estado en el que se encuentran la mayoría de las webs pequeñas comprometidas, y es un fallo de responsabilidad más que de tecnología.