Por qué el hosting es parte de la seguridad de tu web
Porque una web perfecta en un servidor mal protegido sigue siendo una web vulnerable.
Un servidor conectado a internet recibe intentos de acceso automáticos desde el primer día: robots que prueban contraseñas, que buscan puertos abiertos o programas sin actualizar. No van a por ti en concreto; van a por cualquiera que se deje una puerta abierta.
Por eso la idea clave es la defensa en profundidad: varias capas independientes, cada una con su función. Ninguna es infalible por sí sola, pero un fallo en una no deja el servidor al descubierto.
Capa 1: el firewall del proveedor
La primera barrera está fuera de tu máquina, en la red del proveedor de hosting.
Los buenos proveedores de servidores (VPS o nube) ofrecen un firewall de red que se configura desde su panel y filtra el tráfico antes de que llegue a tu servidor. La regla de oro es cerrarlo todo y abrir solo lo imprescindible: normalmente los puertos de la web (80 y 443) para todo el mundo, y el de administración solo para las direcciones desde las que trabajas.
Su gran ventaja es que el tráfico no deseado ni siquiera llega a tocar tu máquina. Si un día un servicio interno queda expuesto por error, este firewall sigue bloqueándolo.
Capa 2: el firewall del propio servidor
La segunda barrera es la misma idea, pero dentro de la máquina.
En el sistema operativo del servidor se configura otro firewall propio (en Linux, con herramientas como ufw o nftables) con las mismas reglas: cerrado por defecto y abierto solo lo necesario. Puede parecer redundante, y lo es a propósito. Si alguien cambia por error una regla del panel del proveedor, o si cambias de proveedor y la configuración no viaja contigo, el servidor sigue protegido.
Dos firewalls no son el doble de trabajo: son la garantía de que un solo error de configuración no abre tu servidor a internet.
Capa 3: el acceso de administración
Por donde se gestiona el servidor es la puerta más valiosa, y la que más ataques recibe.
- Solo con clave o certificado. El acceso remoto (SSH) se permite únicamente con claves criptográficas o certificados, y se desactiva el acceso con contraseña. Una contraseña se puede adivinar probando millones de combinaciones; una clave privada, en la práctica, no.
- Nada de entrar como administrador. Se entra con un usuario normal y se eleva el permiso solo cuando hace falta. El acceso directo del administrador (root) queda deshabilitado.
- Solo desde sitios conocidos. Siempre que se puede, el acceso de administración se limita a una lista de direcciones IP o a una VPN.
- Bloqueo de insistentes. Herramientas como fail2ban bloquean durante un tiempo las direcciones que fallan el acceso repetidas veces.
Capa 4: lo que corre dentro del servidor
Con las puertas cerradas, toca cuidar lo que hay dentro.
El sistema operativo y cada programa del servidor, al día. Los parches de seguridad se aplican en cuanto salen, no cuando alguien se acuerda.
Cada aplicación en su propio contenedor, sin acceso a las demás. Si una tiene un problema, no arrastra al resto.
Un proxy inverso recibe todo el tráfico web y lo reparte. Las bases de datos y los servicios internos no se publican a internet.
Certificados válidos que se renuevan solos y redirección de HTTP a HTTPS, para que nada viaje sin cifrar.
Si tu web se conecta con otras plataformas, las claves de esas conexiones también forman parte de esta capa: deben guardarse fuera del código y con permisos mínimos. Te contamos cómo lo hacemos en nuestras integraciones con otras plataformas.
Capa 5: copias de seguridad y vigilancia
Ninguna protección es perfecta, así que hay que estar preparado para cuando algo falla.
Las copias de seguridad se guardan fuera del servidor: una copia en la misma máquina desaparece con ella si el disco falla o si alguien entra y la borra. Y una copia que nunca se ha restaurado es una suposición, no una copia: conviene probar de vez en cuando que se puede recuperar la web a partir de ella.
Por último, alguien tiene que mirar: avisos si la web deja de responder, si el disco se llena o si el certificado está a punto de caducar. Detectar pronto un problema es la diferencia entre un susto y una caída de días.
Qué preguntarle a tu proveedor de hosting
Si no sabes cómo está protegido tu alojamiento web, estas preguntas te lo aclaran en cinco minutos.
| Pregunta | Respuesta que quieres oír |
|---|---|
| ¿Hay firewall antes del servidor y en el propio servidor? | Sí, los dos, con solo los puertos necesarios abiertos. |
| ¿Cómo se accede para administrarlo? | Solo con clave o certificado, nunca con contraseña. |
| ¿Quién aplica las actualizaciones de seguridad? | Una persona concreta, de forma periódica. |
| ¿Dónde están las copias de seguridad? | Fuera del servidor, y se ha probado a restaurarlas. |
| ¿Qué pasa si la web se cae un domingo? | Hay un aviso automático y alguien que lo atiende. |
Si las respuestas son vagas o no hay nadie a quien preguntar, probablemente estás en un hosting compartido barato donde todo eso queda en tus manos.
Cómo lo hacemos nosotros
Las webs que desarrollamos y alojamos se protegen con estas capas.
Firewall en el proveedor y en la máquina, acceso de administración solo con certificado, servicios aislados y actualizados, HTTPS y copias fuera del servidor. Lo incluimos en la cuota anual de nuestro mantenimiento de páginas web, sin cuota mensual, para que no tengas que preocuparte por el servidor y te centres en tu negocio.
Si tienes la web en un hosting del que no sabes cómo está protegido, o estás pensando en cambiar de plataforma, escríbenos y lo revisamos contigo.
Cuéntanos dónde tienes tu web
