3.4Seguridad & copias de seguridad
Lo esencial en 30 segundos
- La regla absoluta: copias de seguridad automáticas, almacenadas fuera del servidor y probadas — salvan el sitio en caso de pirateo, avería o error.
- Base: ninguna cuenta «admin», contraseñas fuertes, 2FA, actualizaciones al día y una extensión de seguridad (Wordfence).
- Las actualizaciones y las extensiones abandonadas son la primera puerta de entrada: un sitio actualizado es claramente más seguro.
Minicaso hilado — Proteger el trabajo de Hassan
El sitio del taller contiene fotos, textos y pronto una tienda. Samir explica a Hassan que una avería o un ataque puede borrarlo todo en pocos minutos. Configura copias de seguridad automáticas en un servicio externo, activa la doble autenticación y comprueba las actualizaciones. Insiste: una copia de seguridad que nunca se ha probado no es una protección.
Continuación del caso 3.3 — el sitio es rápido, también debe ser resiliente.
1. La base de seguridad
WordPress es el CMS más utilizado y, por tanto, el más atacado: robots que prueban contraseñas, vulnerabilidades de extensiones sin actualizar, formularios abusados. Unas pocas medidas bloquean la inmensa mayoría de los ataques: contraseñas fuertes, ninguna cuenta llamada «admin», doble autenticación (2FA), actualizaciones regulares y una extensión de seguridad como Wordfence.
Samir también revisa la lista de usuarios y elimina las cuentas innecesarias. Limita los intentos de conexión, vigila los archivos modificados y aplica el principio de mínimo privilegio. La seguridad no es un producto milagroso: es una higiene regular.
2. Copiar y restaurar
La copia de seguridad completa contiene los archivos y la base de datos. Debe ser automática, frecuente y estar almacenada fuera del servidor (Google Drive, Dropbox, un servicio dedicado): una copia en el mismo servidor desaparece con él. UpdraftPlus es la extensión de referencia para automatizar estas copias.
El punto que se olvida: probar la restauración. Samir lanza una copia manual y comprueba que sabe restaurarla en un entorno de prueba. Documenta el procedimiento para que Hassan u otro proveedor pueda actuar en caso de urgencia.
🔎 Ejemplo concreto — Proteger el taller (caso Samir)
1. UpdraftPlus: copia diaria, archivos + base.
2. Destino: Google Drive dedicado al taller.
3. Prueba: restauración en un sitio de prueba.
4. 2FA en todas las cuentas de administrador.
5. Wordfence: cortafuegos + limitación de conexiones.
→ Procedimiento escrito entregado a Hassan.Resultado: un sitio restaurable y un cliente tranquilo.
Lección: la copia probada es el verdadero seguro.
Vocabulario de la sección
- Copia de seguridad (backup)
- Copia completa de los archivos y de la base, para restaurar el sitio tras un incidente.
Ejemplo sencillo: una copia diaria del taller.
Lo que no es: copiar solo los archivos y olvidar la base.
Reflejo: archivos + base = copia completa.
- UpdraftPlus
- Extensión de copia de seguridad popular que automatiza las copias y las almacena fuera del servidor.
Ejemplo sencillo: copias enviadas a Google Drive.
Lo que no es: almacenar la copia en el mismo servidor.
Reflejo: fuera del servidor = sobrevive a la avería.
- Extensión de seguridad
- Cortafuegos y detección de intrusiones: Wordfence, Sucuri, Solid Security.
Ejemplo sencillo: Wordfence bloquea los intentos de conexión repetidos.
Lo que no es: creer que un plugin sustituye las actualizaciones.
Reflejo: seguridad = varias capas.
- 2FA
- Doble autenticación: un segundo factor además de la contraseña.
Ejemplo sencillo: código temporal al conectar con la cuenta de administrador.
Lo que no es: compartir una cuenta de administrador sin 2FA.
Reflejo: 2FA en todos los administradores.
- Superficie de ataque
- Conjunto de puntos expuestos: cuentas débiles, extensiones obsoletas, formularios.
Ejemplo sencillo: desinstalar las extensiones inútiles reduce la superficie.
Lo que no es: dejar cuentas inactivas con acceso de administrador.
Reflejo: menos exposición = menos riesgos.
En la práctica — Implantar la base de seguridad
- Instale UpdraftPlus, programe una copia automática y almacénela fuera del servidor.
- Lance una copia manual y pruebe la restauración en un sitio de prueba.
- Revise las cuentas: ninguna «admin», contraseñas fuertes, 2FA activada.
- Instale una extensión de seguridad y compruebe que el núcleo, el tema y las extensiones están al día.
Guion listo para decir — tranquilizar sobre la seguridad (30 s)
«Su sitio se copia automáticamente cada día y la copia se conserva fuera del servidor. Si surge un problema, restauramos en pocos minutos. También he protegido las conexiones y he comprobado que todo está actualizado.»
No prometer la invulnerabilidad; prometer una capacidad de restauración y una higiene de seguridad.
Modelo copiar-pegar — plan de copias de seguridad
FRECUENCIA: _______________ (archivos + base)
DESTINO FUERA DEL SERVIDOR: _______________
ÚLTIMA PRUEBA DE RESTAURACIÓN: _______________
CUENTAS DE ADMINISTRADOR (2FA): _______________
EXTENSIÓN DE SEGURIDAD: _______________
ACTUALIZACIONES: al día / pendientes
PROCEDIMIENTO ESCRITO ENTREGADO AL CLIENTE: sí / noSitio corporativo
Copia diaria y conservación durante varias semanas.
Tienda
Copia más frecuente: los pedidos y los clientes cambian cada día.
Sitio con mucho tráfico
Copias incrementales y almacenamiento redundante.
Cliente autónomo
Procedimiento simplificado y alerta en caso de fallo de la copia.
✓ Buenas prácticas
- Copiar automáticamente fuera del servidor antes que nada.
- Probar la restauración al menos una vez.
- Activar 2FA y mantener las actualizaciones.
✗ Errores frecuentes
- Almacenar la copia de seguridad en el mismo servidor.
- No probar nunca la restauración.
- Dejar cuentas «admin» o inactivas.
Puntos clave
- La copia automática fuera del servidor es la medida que lo salva todo.
- Una copia no probada no es una protección.
- 2FA, contraseñas fuertes y actualizaciones forman la base.
- Las extensiones obsoletas son la primera puerta de entrada.
Reto 48h — aplica mañana
Programe una copia automática fuera del servidor, lance una manualmente y restáurela en un sitio de prueba. Active la 2FA en su cuenta de administrador. 30 minutos.
- Configuro una copia de seguridad automática fuera del servidor.
- Sé probar una restauración.
- Aplico la base de seguridad: 2FA, actualizaciones, mínimo privilegio.
Preguntas frecuentes
¿Con qué frecuencia hay que hacer copias de seguridad?
Para un sitio corporativo, una copia diaria es un buen equilibrio. Para una tienda o un sitio que publica mucho, pueden justificarse varias copias al día. Lo importante es conservar varias versiones y probar la restauración.
¿Basta con la copia del proveedor de alojamiento?
No necesariamente: puede ser limitada, de corta duración o de pago al restaurar. Se mantiene una copia propia fuera del servidor, cuya frecuencia y conservación controlamos.
¿Qué hacer en caso de pirateo?
Restaurar una copia sana, cambiar todas las contraseñas, actualizar y analizar los archivos, y luego identificar la vulnerabilidad antes de volver a poner el sitio en línea. El procedimiento debe estar escrito de antemano.
¿Qué política de copias de seguridad debe implantar Samir para el taller?