Por qué te afecta a ti y no solo al cliente
En hosting compartido la seguridad es colectiva. Un sitio comprometido puede consumir recursos de todos, enviar spam desde la IP del servidor y arrastrar la reputación de tus demás clientes. El daño rara vez se queda en la cuenta afectada.
Tu propia cuenta primero
Tus credenciales de revendedor abren todas las cuentas que administras. Son el objetivo más valioso de tu operación:
- Contraseña larga y única, guardada en un gestor de contraseñas.
- Verificación en dos pasos activada, con los códigos de respaldo guardados fuera del teléfono.
- Nunca compartas ese acceso con colaboradores. Si necesitas delegar, valora crear cuentas separadas.
- Cambia la clave al terminar cualquier colaboración externa.
Paquetes: concede lo necesario
Cada función ampliada es una vía más de error o abuso. Deniega por defecto el acceso por consola y la apertura remota de bases de datos, y concede el resto según el perfil del cliente. Revisa las funciones de tus paquetes una vez al año: es fácil que se acumulen concesiones puntuales que nadie recuerda.
Higiene de la cartera
| Revisión | Frecuencia | Qué buscas |
|---|---|---|
| Consumo por cuenta | Mensual | Picos repentinos, que suelen indicar infección o abuso. |
| Límites de correo alcanzados | Mensual | Cuentas que empiezan a tocar el techo sin motivo comercial. |
| Versiones de WordPress y plugins | Mensual | Instalaciones sin actualizar. La puerta de entrada más común. |
| Certificados SSL | Mensual | Vencimientos próximos, sobre todo en certificados de pago. |
| Cuentas FTP existentes | Trimestral | Accesos de proveedores que ya no trabajan con el cliente. |
| Cuentas inactivas | Trimestral | Sitios abandonados que nadie mantiene. |
Los sitios abandonados son el mayor riesgo
Un WordPress que nadie ha tocado en tres años, con plugins de hace cuatro versiones, es el vector más probable de un incidente en tu servidor. No genera tickets, no molesta a nadie y por eso pasa desapercibido. Identifícalos, avisa al cliente y, si no responde, valora suspenderlo antes de que el problema aparezca.
Exige lo básico a tus clientes
- SSL activo y HTTPS forzado en todos los sitios.
- Actualizaciones automáticas de seguridad activadas.
- Nada de usuarios administradores llamados admin.
- Respaldos configurados, sean tuyos o suyos.
Ten un plan antes de necesitarlo
Decide de antemano qué harás cuando un sitio de tu cartera resulte comprometido: a quién avisas, en qué orden actúas y cuánto cobras por la limpieza si no está incluida. Improvisar ese procedimiento en caliente, con el cliente llamando cada diez minutos, sale mucho peor.
Lo que no está en tus manos
El firewall del servidor, las actualizaciones del sistema y el endurecimiento general son responsabilidad nuestra. Si detectas algo que requiere intervención a nivel de servidor, abre un ticket con los detalles: cuanto antes lo sepamos, menos alcance tendrá.
