Guía
Catorce cosas que conviene vigilar
Lo que más seguido tumba o compromete un sitio. Todo se puede dejar en automático.
-
Fallas en ataque
De miles de fallas al año, pocas se usan en ataques. Si usas el producto afectado, actualiza hoy.
Cómo: Busca lo que usas en las alertas.
DiarioVer alertas
-
Dependencias con fallas
Tu sitio usa cientos de paquetes ajenos. Si uno falla, tú lo heredas.
Cómo: Activa Dependabot en GitHub: avisa y propone la corrección.
AutomáticoActivar Dependabot
-
Paquetes maliciosos
Hay paquetes hechos para robar llaves: nombres casi idénticos a los legítimos o cuentas robadas.
Cómo: Usa lockfile, instala con npm ci y desconfía de paquetes con pocos días de vida.
Al agregar dependenciasGuía de GitHub
-
Llaves expuestas
Una llave subida a un repositorio público se encuentra en minutos.
Cómo: Activa secret scanning en GitHub. Si una llave se filtró, revócala; borrarla no basta.
AutomáticoSecret scanning
-
Cuentas maestras
Quien entra a tu registrador, DNS, GitHub o pagos controla todo.
Cómo: Segundo factor en todas y contraseñas únicas en un gestor.
Cada 3 meses
-
Vencimiento del dominio
Si vence, se apagan el sitio y el correo, y otro puede registrarlo.
Cómo: Renovación automática, tarjeta vigente y un correo que sí leas.
Cada mes
-
Certificado TLS
Vencido, tu sitio muestra una advertencia roja.
Cómo: Un monitor externo que avise 14 días antes.
Automático
-
Subdominios olvidados
Un subdominio que apunta a un servicio dado de baja puede ser tomado por alguien más.
Cómo: Borra los registros DNS de servicios que ya no usas.
Al dar de baja un servicio
-
Suplantación de correo
Sin SPF, DKIM y DMARC, cualquiera envía correo a tu nombre.
Cómo: Publica los tres. Empieza DMARC en p=none y súbelo a reject.
Al configurarQué es DMARC
-
Cabeceras de seguridad
Unas pocas cabeceras HTTP bloquean clases enteras de ataque.
Cómo: Mide tu sitio con Mozilla Observatory y corrige lo que marque.
Al publicarMozilla Observatory
-
Caídas de proveedores
A veces el sitio no responde y no es tu código.
Cómo: Antes de depurar, mira el estado de tus proveedores.
Cuando algo falleVer plataformas
-
Monitoreo externo
Que funcione en tu computadora no cuenta; importa que cargue para el visitante.
Cómo: Un monitor que revise tu página cada pocos minutos y te avise.
Automático
-
Pagos y webhooks
Un webhook sin verificar acepta que cualquiera diga «este pedido ya se pagó».
Cómo: Verifica la firma y deja el formulario de tarjeta al proveedor.
Al integrar
-
Respaldos
Un respaldo que nunca restauraste es solo una esperanza.
Cómo: Copia diaria fuera del proveedor y una restauración de prueba cada 6 meses.
Diario
Si hoy solo tienes una hora
Estos tres pasos cubren casi todo el riesgo.
- 1
Segundo factor
En registrador, DNS, GitHub y pagos.
- 2
Renovación automática
De todos tus dominios, con tarjeta vigente.
- 3
Dependabot y secret scanning
Activos en todos tus repositorios.