Por qué te afecta a ti y no solo al cliente
En hosting compartido, la seguridad es un asunto colectivo. Un sitio comprometido en tu cartera puede consumir recursos de todos, enviar spam desde la IP del servidor y arrastrar la reputación de envío de tus demás clientes. El daño rara vez se queda en la cuenta afectada.
Tu propia cuenta primero
Tus credenciales de revendedor abren todas las cuentas que administras. Son el objetivo más valioso de tu operación:
- Contraseña larga y única, guardada en un gestor de contraseñas.
- Verificación en dos pasos si tu plan la incluye.
- Nunca compartas ese acceso con colaboradores. Crea cuentas separadas si necesitas delegar.
- Cambia la clave al terminar cualquier colaboración externa.
Permisos: concede lo necesario
Cada permiso ampliado es una vía más de error o abuso. Deniega por defecto el acceso por consola y la apertura remota de bases de datos, y concede el resto según el perfil del cliente. Revisa los permisos de tus planes una vez al año: es fácil que se acumulen concesiones puntuales que nadie recuerda.
Higiene de la cartera
| Revisión | Frecuencia | Qué buscas |
|---|---|---|
| Consumo por suscripción | Mensual | Picos repentinos, que suelen indicar infección o abuso. |
| Versiones de WordPress y plugins | Mensual | Instalaciones sin actualizar. Es la puerta de entrada más común. |
| Certificados SSL | Mensual | Vencimientos próximos, sobre todo en certificados de pago. |
| Cuentas FTP existentes | Trimestral | Accesos de proveedores que ya no trabajan con el cliente. |
| Suscripciones inactivas | Trimestral | Sitios abandonados que nadie mantiene y todos pueden atacar. |
Los sitios abandonados son el mayor riesgo
Un WordPress que nadie ha tocado en tres años, con plugins de 2021, es el vector más probable de un incidente en tu servidor. No genera tickets, no molesta a nadie y por eso pasa desapercibido. Identifícalos, avisa al cliente y, si no responde, valora suspenderlo antes de que el problema aparezca.
Exige lo básico a tus clientes
- SSL activo y HTTPS forzado en todos los sitios.
- Actualizaciones automáticas de seguridad activadas.
- Nada de usuarios llamados admin.
- Respaldos configurados, sean tuyos o suyos.
Puedes incluir estos puntos como requisitos en tus condiciones de servicio. No es una imposición arbitraria: es lo que permite que el servicio siga siendo estable para todos.
Ten un plan antes de necesitarlo
Decide de antemano qué harás cuando un sitio de tu cartera resulte comprometido: a quién avisas, en qué orden actúas y cuánto cobras por la limpieza si no está incluida. Improvisar ese procedimiento en caliente, con el cliente llamando cada diez minutos, sale mucho peor.
