Seguridad del hosting WordPress gestionado: qué cubre y qué no

El hosting WordPress gestionado es un avance real respecto a un servidor sin gestionar. El proveedor actualiza la máquina, mantiene WordPress al día y hace copias de seguridad, de modo que toda una clase de mantenimiento deja de ser tu trabajo. El riesgo es suponer que también significa que vigilan tu sitio frente a ataques. Que lo haga o no depende del hosting y del plan, y las palabras del marketing («seguro», «protegido») rara vez lo aclaran.

Qué suele cubrir el hosting gestionado

• El servidor de base. El sistema operativo, el servidor web y PHP los actualiza y configura el proveedor, y los sitios suelen estar aislados entre sí para que sea menos probable que un sitio comprometido contagie a otros.
• Actualizaciones del núcleo de WordPress. La mayoría de los hostings gestionados aplican automáticamente las versiones de seguridad del núcleo. Algunos también actualizan plugins y temas, pero muchos no, así que comprueba cuáles.
• Copias de seguridad. Copias regulares, a menudo diarias, con opción de restauración. Cuánto tiempo se conservan, y dónde, varía según el plan.
• Algo de filtrado de tráfico. Un firewall básico o un filtro a nivel de red bloquea peticiones maliciosas conocidas y avalanchas de tráfico antes de que lleguen a WordPress. Hasta dónde llega depende del proveedor.
• Escaneo de malware, en algunos planes. Varios hostings escanean archivos en busca de malware conocido. Otros solo escanean bajo petición, o solo en planes superiores.

Qué suele dejar en tus manos

• Plugins y temas. Un hosting no puede arreglar un fallo en código escrito por otra persona. Un plugin vulnerable sigue siéndolo hasta que tú o su autor lo actualicéis, y así es como se vulneran la mayoría de los sitios WordPress.
• Contraseñas y cuentas. Si un atacante tiene un acceso válido a WordPress, el refuerzo del servidor no sirve de nada, porque ese acceso parece tráfico normal. Las contraseñas débiles o reutilizadas, y las cuentas de administrador que nadie recuerda, las gestionas tú.
• Lo que hay dentro del sitio. La protección del servidor no lee tus archivos y tu base de datos de WordPress en busca de código inyectado, un administrador nuevo o un ajuste modificado, salvo que tu plan lo incluya expresamente.
• Errores de configuración. Un archivo con permisos demasiado abiertos, un registro de depuración expuesto o una copia antigua olvidada en una carpeta pública están en tu sitio, no en el servidor.

Una copia de seguridad no es un escaneo de seguridad

Las copias ayudan a recuperarte, pero copian lo que haya en el sitio, incluida una infección. Si el malware se plantó hace tres semanas y tus copias llegan a treinta días, puedes restaurar una copia que ya lo contiene. Una copia te dice cómo era el sitio. Un escaneo te dice si es así como debería ser.

Preguntas para tu hosting

Envíaselas al soporte de tu hosting, o busca las respuestas en la documentación del plan. Las respuestas concretas son buena señal. Las vagas merecen anotarse.

• ¿Escaneáis mis archivos en busca de malware y con qué frecuencia? Pregunta también si te avisan cuando se encuentra algo, y si el hosting lo limpia o solo lo informa.
• ¿Los plugins y los temas se actualizan automáticamente, o solo el núcleo?
• ¿Qué bloquea el firewall y protege el sitio si alguien llega directamente al servidor?
• ¿Cuánto tiempo se conservan las copias y se guardan fuera del servidor? Pregunta si puedes restaurar por separado los archivos y la base de datos.
• ¿Ofrecéis acceso SSH y WP-CLI? Importa para revisar el sitio tú mismo y para cualquier herramienta que trabaje desde el servidor.
• ¿Qué ocurre si mi sitio se detecta infectado? Algunos hostings suspenden el sitio hasta que se limpia.
• ¿Puedo ver los registros de acceso y de errores? Es lo primero que necesitas después de un incidente.

Comprobaciones que puedes hacer tú mismo

Ninguna depende del hosting. Cuando un paso necesita la línea de comandos, muchos hostings gestionados ofrecen SSH al menos en algunos planes.

• Revisa los administradores. En wp-admin, abre Usuarios y filtra por Administrador. Elimina o cuestiona cualquier cuenta que no reconozcas.
• Activa el acceso con dos factores para cada administrador y usa una contraseña única para cada uno.
• Elimina los plugins y temas que no uses. Un plugin desactivado aún puede ser atacado si sus archivos están en el servidor.
• Compara los archivos del núcleo con las copias oficiales: wp core verify-checksums. La guía de integridad de archivos del núcleo explica qué significa el resultado.
• Mira el sitio como lo hace un visitante, desde un teléfono y desde un resultado de búsqueda, porque algunas infecciones solo se muestran a los visitantes que llegan desde Google. La comprobación de hackeo en cinco minutos te lo explica paso a paso.

La laguna en una frase

El hosting gestionado asegura el edificio, pero no necesariamente vigila lo que ocurre dentro de tu propia vivienda. La mayoría de los compromisos de WordPress ocurren en la capa de la aplicación, a través de un plugin, una contraseña o un ajuste, y esa es la capa a la que la protección a nivel de servidor llega menos.