Proteger tu sitio web: los gestos básicos

Se suele pensar que un sitio pequeño no interesa a nadie. Sin embargo, basta una contraseña adivinada para que una página cambie de contenido, o un nombre de dominio secuestrado para que el sitio se vuelva inaccesible. Y un ataque puede prescindir de cualquier técnica: basta un simple mensaje que pide un código o un pago.

Estos son los gestos básicos, ordenados del más evidente al más olvidado. La mayoría se hacen una sola vez.

HTTPS en todas partes, y un certificado que se renueva solo

El HTTPS cifra los intercambios entre el visitante y tu sitio: lo que escribe en tu formulario de contacto no viaja en claro. Cybermalveillance.gouv.fr recomienda servir el sitio solo en HTTPS, y algunos navegadores señalan los sitios que no lo hacen.

Comprueba tres cosas:

• la dirección de tu sitio empieza por https y el navegador no muestra ninguna advertencia;
• la antigua dirección http, sin la s, redirige sola a la versión segura;
• el informe de HTTPS de Search Console no señala ni un certificado no válido, ni una página que redirija a la versión no segura.

El certificado, que garantiza la identidad del sitio, tiene una fecha de fin, y su duración se acorta. El CA/Browser Forum, que fija las reglas de los certificados, adoptó en 2025 una reducción por etapas de su duración máxima: de 398 días a 47 días, entre marzo de 2026 y marzo de 2029. Renovar a mano dejará de ser viable. Pregunta a tu alojamiento si la renovación es automática.

Contraseñas largas y únicas, y un segundo cerrojo

La CNIL da tres referencias de solidez equivalente: al menos 12 caracteres mezclando mayúsculas, minúsculas, cifras y caracteres especiales; al menos 14 caracteres mezclando mayúsculas, minúsculas y cifras; o una frase de contraseña de al menos 7 palabras. Cybermalveillance.gouv.fr añade una contraseña distinta para cada servicio, y un gestor de contraseñas para recordarlas por ti.

Empieza por las cuentas que abren las demás:

1. Tu correo, que sirve para restablecer todo lo demás. Cybermalveillance.gouv.fr la cuenta entre las contraseñas más importantes que proteger.
2. El registrador del nombre de dominio, y el alojamiento del sitio.
3. La cuenta de Google que gestiona tu ficha de empresa.
4. Las redes sociales del negocio.

En cada una, activa la doble autenticación: en cada conexión desde un aparato nuevo, un código recibido en tu teléfono, o una aplicación, confirma que eres de verdad tú. La CNIL considera estas soluciones más protectoras que una contraseña sola, y Google la recomienda para la cuenta que gestiona la ficha.

A la menor duda, cambia la contraseña enseguida, y en todas partes donde la hubieras reutilizado.

Las actualizaciones, en cuanto salen

Si tu sitio funciona con un gestor de contenidos (un CMS) con extensiones, cada actualización puede corregir un fallo. Cybermalveillance.gouv.fr recomienda instalarlas en cuanto están disponibles, de forma automática si es posible, y hacer una copia de seguridad justo antes. Para las extensiones:

• instala solo las que usas, y quita las demás;
• descárgalas solo de la fuente oficial;
• desconfía de una extensión que no ha cambiado en años: probablemente ya no se mantiene.

El mismo reflejo vale para el ordenador y el teléfono con los que gestionas el sitio. Limita también los accesos: una cuenta por persona, los derechos de administración reducidos a lo estricto, y los antiguos colaboradores retirados el día de su marcha. Google lo recomienda para la ficha de empresa, y Cybermalveillance.gouv.fr para el sitio.

Las copias de seguridad, y una restauración probada

Una copia de seguridad solo vale si se restaura. Cybermalveillance.gouv.fr recomienda hacer copias regulares del sitio, de su configuración y de sus datos, comprobar que la copia se puede volver a poner en su sitio, conservar una en otro lugar, y desconectar el soporte después de usarlo para que un ataque no pueda alcanzarlo.

En la práctica:

• pregunta a tu alojamiento qué copia, con qué frecuencia, y cuánto tiempo conserva las copias;
• guarda tú los originales de tus textos y de tus fotos;
• una vez al año, restaura el sitio desde una copia, en una dirección de prueba.

El nombre de dominio: a tu nombre, renovado, bloqueado

Un nombre de dominio secuestrado puede desviar a tus visitantes o hacer el sitio inaccesible, advierte Afnic. Cuatro comprobaciones, que hacer en tu registrador (ver también elegir un nombre de dominio):

• El titular. Tú, o tu empresa, debéis figurar en el directorio de titulares, el Whois. Afnic cita dos casos frecuentes: el proveedor que registra el nombre a su propio nombre por comodidad, y el asalariado que lo registra al suyo y luego deja la empresa.
• La fecha de vencimiento. Renovación automática activada, tarjeta al día, y una dirección de contacto que funciona. Tómala preferiblemente fuera de ese dominio: si el dominio cae, los correos que debían avisarte caen con él.
• El bloqueo. Para un .fr, Afnic ofrece .FR Lock, que bloquea todo cambio técnico del nombre sin tu acuerdo; se pide al registrador. Cybermalveillance.gouv.fr recomienda este bloqueo, y DNSSEC, una firma que impide falsificar por el camino la dirección de tu sitio.
• El código de transferencia. Este código, llamado «auth-info», permite trasladar el nombre a otro registrador. Dáselo solo al que hayas elegido.

El phishing dirigido a los propietarios de sitios y de fichas

Tu nombre de dominio y tu ficha de Google son públicos: los estafadores los conocen. Las trampas que reconocer:

• El falso aviso de vencimiento. Una carta o un correo se parece a una factura de renovación de tu dominio. Afnic ha descrito esta trampa: al pagar, firmas en realidad la transferencia del nombre a un proveedor desconocido. Renueva solo en tu registrador, escribiendo tú mismo su dirección.
• La falsa llamada de Google. Alguien propone conservar, verificar o mejorar tu ficha a cambio de dinero. Google es claro: la ficha se crea gratis, nunca pide datos bancarios por teléfono, ni un código de un solo uso. Cuelga, sin pulsar ninguna tecla.
• La petición de acceso a la ficha. No aceptes una invitación para gestionar tu ficha de alguien que no conoces.
• El chantaje con las opiniones, que amenaza tu nota: ver responder a las opiniones.

Los reflejos, según Cybermalveillance.gouv.fr: comprueba que el remitente escribe desde el nombre de dominio del organismo; pasa el ratón por encima de un enlace sin hacer clic para ver adónde lleva; comprueba por otro canal, con el número que ya conoces. Ningún organismo serio te pedirá tu contraseña.

Si has hecho clic, o has dado un código:

1. Cambia la contraseña enseguida, y en todas partes donde se usaba.
2. Guarda el mensaje, como prueba.
3. En Francia, señala los correos a Signal Spam y los SMS al 33700.
4. Presenta una denuncia. En Francia, Info Escroqueries responde en el 0 805 805 817, gratuito, para orientarte.

En resumen: HTTPS con un certificado que se renueva solo, contraseñas largas y únicas reforzadas por la doble autenticación, actualizaciones sin esperar, copias de seguridad cuya restauración has probado, un dominio a tu nombre y bloqueado, y la duda sistemática ante todo mensaje que pide un código o dinero.