Posted on

Nueva herramienta Email Migrator para transferencias de correo electrónico rápidas y fáciles

Al cambiar tu proveedor de hosting, a veces no se trata solo de mover tu sitio web y apuntar tu dominio al nuevo servidor. Si también usas servicios de correo electrónico como parte de tu plan de alojamiento, la parte más desafiante del proceso puede ser transferir tus cuentas de correo electrónico y mensajes sin perder datos o crear una interrupción en el proceso de comunicación de tu negocio. Para hacer frente a este desafío para las personas, que prefieren tener todo alojado en un solo lugar, ahora hemos añadido una nueva herramienta de migración de correo electrónico. Te permite transferir tu servicio de correo desde otro servidor a nuestros servidores de correo de forma rápida, fácil y segura.

¿Por qué desarrollamos el Email Migrator?

Los clientes de SiteGround que se están transfiriendo desde otros proveedores de hosting ya se benefician de nuestras opciones de transferencia automática de sitios web. La herramienta Email Migrator agiliza este proceso aún más, haciendo posible la transferencia de servicios de correo electrónico con unos pocos clics, incluso para usuarios no tan expertos en tecnología. Además de eso, la herramienta te ayuda a mantener intactas tus comunicaciones por correo electrónico y transferirlas de forma segura a nuestros servidores.

¿Cuáles son los beneficios adicionales de nuestro Email Migrator?

Además de facilitar la transferencia de tus correos electrónicos a SiteGround y tener todo en un solo lugar seguro, nuestro Email Migrator tiene otros beneficios adicionales:

  • Interfaz intuitiva para facilitar el inicio de la migración 🏗️

La interfaz de la herramienta te guía a través de los pocos pasos necesarios para iniciar el proceso.

  • Transferencia segura y confiable 🛡️

Moveremos tus correos de forma segura, garantizando privacidad y protección de datos.

  • Migración rápida 🚀

Hemos desarrollado la herramienta de modo que el procedimiento no tarde demasiado. Sin embargo, el tiempo exacto necesario dependerá de diferentes factores, como el tamaño del buzón, la velocidad del servidor remoto y otros.

  • Mantener la estructura de la cuenta de correo electrónico que se migra 📧

Transferiremos tu cuenta de correo electrónico por ti, incluidas las carpetas, los mensajes y los archivos adjuntos.

  • No se crean duplicados 📑

Nos aseguraremos de que no se creen duplicados durante el proceso de migración.

  • Proceso automatizado 🪄

No es necesario ningún trabajo manual por tu parte, ya que la migración se realiza en segundo plano. Sin embargo, necesitarás configurar los sistemas que están fuera del control de SiteGround: apunta tus registros MX para que los nuevos mensajes lleguen a nuestro servidor y reconfigura tu cliente de correo electrónico para comenzar a recibir los mensajes de nuestro servidor.

Cómo transferir tus correos con Email Migrator

Para transferir tus correos electrónicos, debes seguir unos sencillos pasos en tu Site Tools > Correo electrónico > Migrador de e-mail. ¡Lee las instrucciones detalladas sobre cómo transferir tus correos electrónicos y disfruta de una migración de correo electrónico sin problemas a SiteGround!

El Email Migrator es básicamente la última pieza del rompecabezas que te permite tener todo en un solo lugar. Transferir todo a SiteGround te permite administrar fácilmente tanto tu sitio web como tu correo electrónico en una sola cuenta. No solo tienes todo en un solo lugar, sino que también cuentas con nuestra probada experiencia tanto en hosting web como en servicios de correo electrónico.

Posted on

No caigas en las estafas por correo electrónico este Black Friday

La infraestructura que ejecuta el correo electrónico de Internet no ha cambiado mucho en los últimos 30 años. Sí, hemos superpuesto algunas cosas como Sender Policy Framework (SPF) y DomainKeys Identified Mail (DKIM) pero en esencia, el protocolo sigue siendo el mismo. Ese es el problema. El correo electrónico fue diseñado en un tiempo más simple. Una época en la que Internet era un recurso de confianza y nadie pensaba dos veces en el hecho de que es fácil modificar los encabezados de un correo electrónico para que parezca que tu jefe está recibiendo un correo electrónico del presidente de los Estados Unidos felicitándote por todo tu excelente trabajo. No digo que eso haya sucedido o que yo fuera parte de ello… pero hipotéticamente, es posible.

Entonces, si no se puede confiar en el correo electrónico, ¿qué podemos hacer? Bueno, primero, en estos días el correo electrónico es mucho más confiable. Es mucho más fácil detectar correos enviados por alguien, pero dicen que son del presidente, gracias a cosas como Sender Policy Framework (SPF) y DomainKeys Identified Mail (DKIM).

Sin embargo, incluso con estas nuevas tecnologías, las estafas por correo electrónico siguen siendo desenfrenadas. A medida que nos adentramos en la temporada navideña, detengámonos por un momento y veamos algunas cosas que puedes hacer para asegurarte de no caer en la última estafa. (Lo que no es enviar correos electrónicos a jefes desprevenidos …)

Estafas por correo electrónico de las que debes estar al tanto

Echemos un vistazo a algunas de las muchas formas en que las personas malas intentan hacerte cosas malas a través del correo electrónico. Este primer grupo de estafas entran en la categoría de estafas de phishing. Una estafa de phishing es básicamente un correo electrónico diseñado para engañarte haciéndote pensar que es de alguien que no es y convencerte de hacer clic en un enlace incrustado en el correo electrónico.

Las solicitudes falsas de “verificación de cuenta”

Estos pueden parecer provenir de tu banco, Netflix, Twitter o uno de esos sitios en los que no admites tener una cuenta. No importa de dónde vengan, todos tienen el mismo mensaje básico.

“Tu cuenta ha sido bloqueada por un MOTIVO. Para desbloquear tu cuenta antes de que la eliminemos por completo, haz clic en este enlace.”

Aquí hay una pista, ningún sistema confiable envía estos correos electrónicos al azar. Si obtienes uno y realmente no estás interactuando con esta organización, entonces es casi seguro que se trate de una estafa de phishing.

En caso de duda, extrae la documentación que tienes para esta organización, busca un número de teléfono y llámalos. Pregunta si hay algún problema con tu cuenta. Cuando te digan que no, agradéceselo, deséale un buen día, cuelga, marca el correo como spam y sigue adelante con tu vida.

Las notificaciones inesperadas de “error de facturación”

¿Sabías que es posible que las personas malas descubran cosas sobre ti sin que les digas? Es relativamente sencillo averiguar dónde está alojado un sitio web. Cuando las personas malas descubren información como esta, les gusta usarla para su beneficio y para tu perjuicio. Tal es el aviso de “Error de facturación”.

Por ejemplo, si eres un cliente de SiteGround y recibes un correo electrónico de SiteGround notificándote de que ha habido un error de facturación y ahora debes $XXXXX más, detente. No hagas clic en ningún enlace del correo electrónico. En su lugar, ve a la página de soporte de SiteGround e inicia una sesión de chat con una de sus personas de soporte. Ellos pueden decirte si hay un problema con tu cuenta o no.

Aquí tienes un ejemplo de un correo electrónico de phishing que solicita a un cliente de SiteGround actualizar sus datos de facturación para poder renovar su dominio:

Ten en cuenta que este correo electrónico falso no contiene el nombre del destinatario, y los correos electrónicos originales de SiteGround deben incluir el nombre que has usado para registrar tu cuenta.

A continuación, ten en cuenta que este correo electrónico tiene errores gramaticales y ortográficos. Estas son banderas rojas de un correo electrónico fraudulento junto con el formato deficiente.

Finalmente, la firma no es la utilizada por el equipo de SiteGround.

Cuando confirmes que en realidad no hay un error de facturación, agradece a la amable persona de soporte, deséale un día maravilloso, desconecta, marca el correo electrónico como spam y sigue adelante con tu vida.

Las solicitudes de “confirmación de pedido”

Un viejo pero bueno, y uno que aparece mucho en estos días porque el comercio electrónico se ha disparado, es el correo electrónico de “Confirmación de pedido”. Estos son más efectivos cuando provienen de empresas con las que nunca has tratado. Por lo general, también implican grandes sumas de dinero. La idea aquí es alarmarte tanto que obviamente harás clic en el enlace para “Desconfirmar” el pedido.

Si el correo electrónico parece ser de una empresa con la que no haces negocios, ignóralo. Márcalo como spam y sigue adelante con tu vida.

Si parece que es de una empresa con la que haces o has hecho negocios, contáctales directamente fuera del correo electrónico. Habla con el departamento de ventas o de contabilidad y comprueba si alguien ha realizado un pedido en tu nombre. Cuando encuentres que la respuesta es no… bueno, ya conoces el simulacro.

La estafa “Click and Collect”

Gracias a la reciente pandemia, “Click and Collect” se ha convertido en una forma común de comprar. Compras algo online en un minorista cercano. Conduces a su tienda y les dices que estás allí, te llevan el artículo a tu coche. A veces, incluso lo ponen en tu maletero para que no tengas que encontrarte con ellos cara a cara.

En ninguna parte del flujo de trabajo Click and Collect hay un correo electrónico que diga “Haz clic aquí si no has pedido esto”. Trátalos de la misma manera que las solicitudes de confirmación de pedido. Si no tratas con la empresa, es una estafa. Si tratas con la empresa pero no has realizado un pedido, es una estafa. Si tienes alguna duda, ponte en contacto con la empresa directamente, no respondiendo al correo electrónico dudoso.

A veces, los estafadores son REALMENTE buenos. Te envían un correo electrónico que parece correcto. 

Correos electrónicos de phishing en la vida real  (Bueno, capturas de pantalla)

¿Cómo son los buenos correos electrónicos de phishing? Aquí hay algunos ejemplos de correos electrónicos fraudulentos de phishing enviados a clientes de SiteGround.

Aparte de todas las banderas rojas ya mencionadas, la dirección de correo electrónico ‘de’ de estos correos electrónicos no es un correo electrónico válido de SiteGround. Además, un correo electrónico adecuado de SiteGround nunca mencionaría el método de pago utilizado por ti para pagar el servicio en cuestión.

Si eres un cliente de SiteGround que viene a denunciar tales correos electrónicos, SiteGround te pedirá que envíes el correo completo como un archivo adjunto, ya que lo usan para entrenar sus propios sistemas para bloquear dichos correos electrónicos (en caso de que tu correo electrónico esté alojado en SiteGround) , para que no lleguen a tu bandeja de entrada. En caso de que tu correo no esté alojado en SiteGround, puedes marcarlo como spam en tu proveedor de correo.

Para obtener más información sobre cómo protegerse de los ataques de phishing por correo electrónico, consulta la publicación del blog sobre este tema.

¿Cómo protegerse de las estafas por correo electrónico durante las festividades?

Entonces, ¿cómo sabrías si esto fue un correo electrónico fraudulento? Bueno, la respuesta fácil es “practicar el correo electrónico seguro”. Estas son algunas de las cosas que hago antes de hacer clic en un enlace en un correo electrónico, cualquier correo electrónico.

  1. Comprueba la dirección ‘de’.
    Ya lo hemos hecho, pero muchos correos electrónicos de phishing provienen de direcciones de correo electrónico inverosímiles. La mayoría de los estafadores no se molestan en intentar ocultarlo porque muy pocas personas prestan atención. Un reciente intento de phishing que se me envió supuestamente provenía de NetFlix. Sin embargo, la dirección de correo electrónico era XXX@yahoo.jp. Sí, Yahoo tiene un dominio de Japón, ¡pero no envían correo electrónico a NetFlix desde él! Ni siquiera a los clientes japoneses.

    Una buena regla general es que si no esperabas un correo electrónico de alguien, ni siquiera de un familiar o amigo, trátalo como sospechoso hasta que sepas que en realidad fue de ellos. Si no reconoces a la persona de la que proviene, entonces asume automáticamente que es maliciosa hasta que puedas probar lo contrario. 
  1. Comprueba todos los enlaces antes de hacer clic.
    La mayoría de los clientes de correo electrónico en estos días te permitirán colocar el cursor sobre un enlace que dice “Haz clic aquí” (o donde sea) y ver cuál es la URL real. Léelo CON MUCHO CUIDADO. Presta atención al nombre de dominio. https: //goog.le no es lo mismo que https://google.com. Léelo atentamente. Si parece sospechoso, no hagas clic en él.

    Algunos programas de correo electrónico te mostrarán el enlace en una ventana emergente cuando hagas clic en él y te pedirán que verifiques antes de que abra un navegador con ese enlace. Si tu programa de correo electrónico hace esto, activa esta función. Sí, agrega un paso adicional antes de que puedas ver esa preciosa imagen de bebé que te envió tu amigo, pero te permite asegurarte de que realmente vas a ver una imagen de bebé y no instalar malware en tu computadora.
  1. No descargar archivos adjuntos automáticamente
    Tu programa de correo electrónico debe estar configurado para no descargar archivos adjuntos automáticamente. Esto significa que si descargas algo de un correo electrónico, tendrás que hacerlo a propósito. Si el correo electrónico no parece correcto o falla alguna de las comprobaciones de las que hemos hablado aquí, no descargues nada. Incluso cosas como los documentos de Microsoft Word que parecen inocuos (haz clic aquí para ver la factura del servicio que no has pedido) pueden hacer cosas maliciosas si los abres. Si no esperabas que alguien te enviara un archivo adjunto de correo electrónico, ¡no lo abras!
  1. Leer los encabezados
    Ok, esto es para los nerds extremos del correo electrónico, pero aquellos de nosotros que hemos estado haciendo esto por un tiempo podemos descubrir mucho leyendo los encabezados que vienen con cada correo electrónico. En estos días, los programas de correo ocultan los encabezados, pero están ahí si quieres leerlos. 
  1. Escucha tu instinto
    Mi esposa, la encantadora y talentosa Kathy, recibió un correo electrónico de nuestro pastor un día con el asunto “Te amo”. Ella era buena amiga de este hombre y aunque el asunto la confundía, también despertaba su interés. Lo abrió solo para encontrar que había un script malicioso adjunto al correo electrónico. Eliminó aproximadamente la mitad de las imágenes que habíamos almacenado en nuestro servidor doméstico antes de que pudiera detenerlo. Afortunadamente, tenía una copia de seguridad, por lo que no hubo pérdida, aparte de las horas que tardó en limpiar el desorden. Si simplemente lo hubiera llamado, abierto un nuevo correo electrónico y le hubiera escrito a la dirección que tenía en su lista de contactos, o se hubiera puesto en contacto con él de cualquier otra forma, podría haber averiguado que no era de él, sino que era una estafa. En lugar de confiar en su instinto, abrió el correo electrónico.

Otras estafas del Black Friday a tener en cuenta

El correo electrónico es, con mucho, la forma más fácil para que los malos actores hagan que las personas desprevenidas hagan cosas malas. Sin embargo, hay un par de otras formas.

Enlaces a sitios “Copycat” malicioso

Si recibes un correo electrónico con un enlace a goog.le, es bastante fácil de detectar. Sin embargo, si estás haciendo tus compras en https://reallyLongDomainName.com y lo escribes mal, entonces puedes terminar en un sitio web que se vea exactamente como el que estabas buscando.

Los malos actores buscan errores ortográficos comunes para los dominios rentables. Los compran y ponen sitios de imitación. Estos son sitios que se parecen al que estabas buscando. Probablemente incluso tengan productos y un carrito de compras. Sin embargo, no te equivoques, son estafas. Cuando pones tu información personal y número de tarjeta de crédito, no vas a obtener esos pantalones morados que pediste y que a tu hermana le encantarán. No recibirás nada más que una desagradable sorpresa cuando llegue el extracto de tu tarjeta de crédito.

Esto es realmente fácil de captar, si prestas atención.

Primero, después de llegar a un sitio, mira la barra de direcciones. ¿Hay un pequeño candado al lado del nombre de dominio? El pequeño candado significa que el dominio que estás utilizando tiene un certificado seguro y que es válido. Si no tiene un pequeño candado, o si hay una línea que lo atraviesa, eso significa que el certificado no existe o que no es válido para ese dominio. Ambas son banderas rojas realmente grandes de que no quieres hacer ningún negocio en este sitio o poner tu información personal.

Un certificado SSL no siempre es suficiente para demostrar que estás en el sitio web correcto. Los estafadores pueden registrar sitegroound.com, por ejemplo, e instalar un certificado en él. El certificado solo proporciona cifrado en la mayoría de los casos. Siempre es una buena idea revisar también la dirección URL, especialmente cuando realizas pagos, creas cuentas, completas formularios, etc.

Sitios que se hacen pasar por páginas de inicio de sesión o de destino

El último tipo de estafa online del que hablaremos son las páginas de inicio de sesión falsas. Estos pueden ser parte de una falsificación muy buena, o puedes llegar a un sitio solo para encontrar que antes de poder acceder a las cosas buenas, debes ingresar tus credenciales de inicio de sesión. Si este es un proveedor de comercio electrónico con el que normalmente hace negocios, o una institución con la que realiza operaciones bancarias, para. No hagas nada más. Sitios como ese no solo ponen una página de inicio de sesión sin que todos sepan con anticipación. Estos no son más que “recopiladores de contraseñas”.

Si ingresas tus credenciales en el sitio, no funcionarán… porque son falsas. Pero los humanos son tercos. Asumirás que has escrito mal algo… especialmente si estás utilizando una contraseña larga y muy segura. Así que lo intentarás de nuevo.

Si eres como la mayoría de nosotros, cuando no funciona la segunda vez, asumirás que has usado la contraseña incorrecta y probarás otra contraseña, y tal vez incluso una cuarta antes de empezar a pensar que algo puede estar mal.

Cada conjunto de credenciales que ingresaste se ha ido a una base de datos y las personas malas comenzarán a usarlas para intentar iniciar sesión en cualquier sitio que crean que puedes tener una cuenta. Dado que les estabas dando credenciales de inicio de sesión reales, has regalado las claves del reino.

Estar atento, estar alerta, sospechar rayando en lo paranoico. Asegúrate de que antes de poner cualquier información en un sitio web, estás absolutamente seguro de que estás en el sitio web correcto. Las apariencias engañan.

Cómo practicar la conexión a Internet de forma segura en estas temporada de ventas

  • Sospecha siempre de los correos desconocidos o inesperados.
    Si no conoces a la persona, o incluso si la conoces pero no esperas tener noticias de ella, sospecha. Sí, tu tía perdida puede estar contactando contigo por correo electrónico con una dirección de correo electrónico de hotmail.com para decirte que te dejará toda su fortuna cuando muera y que necesita que firmes el testamento, pero es muy probable que no sea así. Verifica antes de realizar cualquier acción.
  • No hagas clic en un enlace en un correo electrónico hasta que estés absolutamente seguro de que sabes a dónde va y qué va a suceder.
  • No proporciones tu información personal a ningún sitio a menos que estés seguro y sepas que es el sitio que crees que es. Si crees que no estás en el sitio correcto, cierra el navegador inmediatamente.
  • Siempre que sea posible, utiliza una red privada virtual (VPN) de un proveedor de confianza. No nombraré a mi proveedor de Internet pero diré que no confío en él. Se sabe que facilitan a las personas malas ver el tráfico que atraviesa su red y extraer información tal como la ven. En estos días, casi todos los sitios web usan cifrado para asegurarse de que no sea fácil, pero aún así es posible para las personas con suficiente tiempo, dinero y determinación. Así que siempre que puedo, uso una VPN para cifrar aún más mi tráfico.
    El software de VPN no es caro en estos días, de hecho, si eres un “experto en informática”, puedes descargar, configurar y ejecutar el tuyo propio. No lo recomiendo ya que es fácil equivocarse, pero admito haberlo hecho en el pasado. En estos días, uso una VPN comercial que viene con mi protección contra virus. Ahora, mi vecino no puede ver nada de mi tráfico porque tengo un túnel cifrado entre mi red y un servidor en Miami, FL, EE. UU. (puedo elegir entre 50).
  • No uses la misma contraseña en 2 sitios web
    Mira, sé lo difícil que es. Es difícil encontrar una contraseña segura que puedas recordar, y mucho menos las 20-30 que necesitas para asegurarte de que cada sitio sea diferente. Sugiero usar un administrador de contraseñas de una compañía de software acreditada. Hay algunos de ellos. El que uso funciona en Windows, Mac, iOS, iPadOS y Android. Por lo tanto, no importa dónde esté, mis contraseñas están conmigo. Todas mis contraseñas en todos los sitios principales son largas, aleatorias y únicas. Si conoces uno de ellos, no puedes acceder a nada más que a ese servicio para el que lo uso.

Resumen

Mantente a salvo en esta temporada de compras. Diviértete, disfruta de la compañía de la familia, y si recibes un correo electrónico mío diciendo que Bill Gates está dando 1 Bitcoin a cada persona que reenvía este correo electrónico… bueno, entiendes la idea.

Posted on

Cómo evitar tráfico no deseado de bots

La semana pasada te ayudamos a preparar tu sitio web para los picos de tráfico del Black Friday. Ahora que estás listo para manejar el tráfico creciente, ¿sabes cuánto es real y cuánto no humano? Según Statista, en 2022 más del 40% del tráfico de Internet proviene de bots y una parte significativa de eso es tráfico de bots maliciosos. Este tipo de tráfico de bots perjudica a tu negocio online y puede llevar a pérdidas financieras y de conversión. Profundicemos en lo que es el tráfico de bots, por qué la mayor parte es tan dañino y cómo evitarlo durante la época más activa del año.

¿Qué es el tráfico de bots y por qué debería reducirse al mínimo?

El tráfico de bots es cualquier tráfico no humano que llega a un sitio web o aplicación. Algo de esto es bueno, cuando se origina en rastreadores de SEO (como el bot de rastreo de Google), bots comerciales, de monitoreo del sitio o de feed. No hace falta decir que todos estos no causan ningún daño a tu sitio. Por otro lado, los robots indeseados vienen con intenciones maliciosas. Estos pueden dejar comentarios de spam, backlinks irrelevantes, anuncios extraños, recopilar información privada, reutilizar su contenido, realizar ataques DDoS y otras actividades maliciosas.

Cómo afecta el tráfico de bots a tu sitio web

El tráfico de bots maliciosos puede tener diferentes consecuencias en tu sitio web y negocio, causando múltiples daños:

  • Daños en la seguridad y disponibilidad del sitio web

El tráfico malicioso de bots perjudica la seguridad y disponibilidad de tu sitio web. Por ejemplo, estas cantidades masivas de tráfico a tu sitio son una forma en que los hackers pueden causar un ataque DDoS. Durante un ataque de este tipo, el tráfico es tan masivo que el servidor donde está alojado tu sitio no puede soportarlo. Esto puede hacer que tu sitio web sea lento, poco confiable o incluso que no esté disponible para tus usuarios.

Los robots maliciosos también son la fuerza principal de un ataque de fuerza bruta, una forma de adivinar tu contraseña/detalles de inicio de sesión probando numerosas combinaciones de letras, números y símbolos. Si este tipo de ataque tiene éxito, los hackers malintencionados obtienen acceso a tu cuenta y/o información privada.

  • Problemas de velocidad del sitio web

Incluso si no provoca ataques masivos de piratas informáticos, la actividad de los bots maliciosos puede hacer que tu sitio web sea mucho más lento o incluso que no esté disponible para tus visitantes reales, lo que afecta su experiencia de usuario en general. Para que tus visitantes permanezcan más tiempo en tu sitio y convertirlos en clientes, querrás que tengan una excelente experiencia de usuario. Una gran parte de eso es que la velocidad de carga de tu sitio web sea lo más rápida posible.

  • Métricas analíticas y caos en los rankings SEO

El tráfico de bots maliciosos también puede dañar tus métricas analíticas y rankings SEO. Por ejemplo, demasiado tráfico de bots maliciosos puede hacer que tu sitio caiga y causar errores 503 (“el sitio no está disponible temporalmente”). Esto impacta directamente de forma negativa en tu posicionamiento SEO. Además, los bots maliciosos pueden afectar tus métricas de análisis, causando páginas vistas y tasas de rebote anormalmente altas, caída/aumento repentino en la duración de las sesiones y conversiones falsas. Todos estos factores pueden confundirte como propietario del sitio y es posible que no puedas entender tus datos analíticos.

Cómo disminuimos el tráfico de bots maliciosos en SiteGround

En SiteGround tomamos múltiples medidas a diferentes niveles para reducir la actividad de los bots maliciosos por defecto para los sitios web alojados en nuestros servidores, para que puedas estar tranquilo.

Sistema anti-bot de IA mejorado y avanzado

Nuestro sistema anti-bot de IA ha estado bloqueando con éxito millones de intentos de fuerza bruta al día. Recientemente, lo mejoramos aún más, lo que resultó en un 95% menos de tráfico malicioso. Sus características principales todavía están ahí: analizar y reconocer patrones de tráfico para eventualmente detener los intentos de fuerza bruta. Con cada nuevo intento de fuerza bruta, el conocimiento del sistema se expande y mejora en la prevención de futuros ataques. Recientemente, hemos actualizado el sistema con una función de validación de tráfico que detiene aún más bots no humanos maliciosos al minimizar el número de ataques de fuerza bruta. Actualmente, el sistema bloquea un gran porcentaje del tráfico de bots maliciosos hacia nuestros servidores, lo que permite una mayor capacidad para tus sitios web para el tráfico legítimo.

Combinadas con nuestro sistema de seguridad de nivel empresarial, estas optimizaciones de seguridad a nivel de servidor bloquean la mayoría de todo el tráfico de bots maliciosos y garantizan la protección del sitio web a escala global. Los números hablan por sí mismos: el 99,99% del tráfico malicioso se bloquea antes de que llegue a tu sitio web.

WAF Inteligente a nivel de servidor

Los ataques de hackers suelen aumentar durante la temporada del Black Friday. Un solo plugin, tema o vulnerabilidad desactualizados se puede usar fácilmente para daños masivos durante esta época de mayor actividad del año. Ahí es donde nuestro firewall de aplicaciones web inteligente viene al rescate. Nuestros expertos en seguridad monitorean de cerca los boletines de seguridad y la actividad del servidor 24h, y en caso de vulnerabilidades reportadas, agregan inmediatamente reglas WAF personalizadas (parches) en el firewall de nuestro servidor para proteger tu sitio de ataques e infracciones actuales debido a plugins desactualizados y otras vulnerabilidades. Nuestro enfoque de seguridad proactivo nos permite reaccionar mucho más rápido, a menudo antes de que los desarrolladores de plugins, temas o aplicaciones originales hayan tenido la oportunidad de lanzar una actualización oficial. El ejemplo más reciente de esto fue el mes pasado, con dos importantes anteriores no tan lejos: una vulnerabilidad de plugin parcheada el día 0, y una vulnerabilidad del kernel de Linux parcheada pocas horas después de la detección.

Protección ante DDoS 

Para hacer frente a posibles ataques DDoS de bots maliciosos, tenemos un sistema de mecanismos de hardware y software para proteger tus sitios:

  • Un firewall de hardware que filtra el tráfico inundado;
  • Un firewall de software local con funciones más complejas y monitorización del tráfico;
  • Un límite al número de conexiones que puede establecer un host remoto;
  • Una verificación de un alto número de intentos de inicio de sesión fallidos de los hosts y filtrarlos, si los hay.

Sistema de monitorización de servidor 24h

Una vez más, además de todos los sistemas de monitoreo y prevención y comprobaciones, nuestro equipo de administradores de sistemas expertos está monitoreando nuestros servidores 24h para detectar cualquier problema del sistema y, en caso de que haya alguno, puede reaccionar rápidamente para salvar el día. 

Cómo identificar que tienes tráfico de bots malo entrando en tu sitio

Ahora, probablemente te preguntes cuáles son algunos signos y síntomas de tráfico de bots maliciosos que te ayudarán a identificar si tu sitio está en peligro. Estas son algunas de las banderas rojas y formas de prevenirlas:

  • Comprueba las estadísticas de tráfico de tu sitio

También es necesario comprobar las estadísticas de tráfico, especialmente las direcciones IP y las fuentes de tráfico. Por ejemplo, un número alto y regular de visitas desde la misma dirección IP o el aumento en el tráfico de otras regiones o países, desde los que no tenías (mucho) tráfico antes, podría ser una indicación de tráfico de bots incorrectos. Como cliente de SiteGround, puedes comprobar fácilmente tus estadísticas de tráfico en Site Tools > Estadísticas > Tráfico.

  • Mantente atento al comportamiento inusual de los usuarios

Recuerda monitorizar el comportamiento de tus usuarios con regularidad. En caso de que haya un aumento de comentarios de spam en tus publicaciones, registros de usuarios extraños y/o un aumento en los intentos de inicio de sesión bloqueados, estas son todas señales de advertencia de que podrías estar recibiendo tráfico de bots maliciosos en tu sitio. Los usuarios de WordPress, que tienen instalado el plugin gratuito SiteGround Security, pueden monitorizar su sitio y página de inicio de sesión en busca de visitas no autorizadas e intentos de fuerza bruta desde su menú Registro de actividad. Además, pueden bloquear fácilmente direcciones IP y visitantes sospechosos.

  • Haz pruebas de velocidad regulares

Probablemente ya lo hagas, pero si no lo haces, es una buena idea comenzar a hacer pruebas regulares de velocidad de tu sitio web. Para este propósito, puedes usar una serie de herramientas diferentes para medir la velocidad de tu sitio como Google PageSpeed Insights, Pingdom, GTMetrix y otras que generan resultados en todas las principales métricas de velocidad. 

En caso de que tengas el plugin gratuito SiteGround Optimizer instalado en tu sitio web de WordPress, puedes ejecutar una prueba de velocidad dentro del plugin en su funcionalidad de prueba de velocidad. La comprobación utiliza Google PageSpeed, proporciona información sobre el nivel de optimización en más de 20 áreas diferentes y te da sugerencias de optimización.

Si identifica que tu sitio está experimentando problemas de velocidad de carga de la página, profundiza en el problema para averiguar las causas. Estos pueden no ser necesariamente problemas de tráfico de bots maliciosos, pero esa es una de las principales razones potenciales detrás de los resultados de baja velocidad.

Cómo filtrar el tráfico de bots maliciosos en SiteGround

Parte del tráfico que llega a tus sitios web puede parecer legítimo, incluso si no lo es. Afortunadamente, hay varias formas y servicios gratuitos que ofrecemos para permitirte filtrar el tráfico bueno del malo por tu cuenta:

Ambas opciones te permiten bloquear fácilmente el tráfico sospechoso o malicioso a tu sitio web. Si deseas bloquear una dirección IP específica para que no acceda a tu sitio, porque, por ejemplo, ves que está usando demasiado ancho de banda, simplemente ve a Site Tools > Seguridad > Bloquear tráfico, elige el dominio para el que deseas bloquear el acceso, luego añade la dirección IP (o un rango completo en IP/Rango de IP), y finalmente haz clic en ‘Bloquear’.

Del mismo modo, si notas que recibes una actividad anormal sospechosa en un país en el que normalmente no operas o desde el que no tienes clientes, puedes bloquear fácilmente el tráfico con unos pocos clics. Debes ir a Site Tools > Seguridad> Bloquear tráfico> Bloquear país. Allí, eliges el dominio para el que deseas bloquear el acceso, eliges el país que deseas bloquear en el menú desplegable de País y finalmente haces clic en ‘Bloquear’.

Estas dos opciones te ayudarán no solo a bloquear el tráfico de bots maliciosos que llegan a tu sitio, sino que también pueden mejorar significativamente el rendimiento de tu sitio al reducir el tráfico no deseado y darle a tu sitio más capacidad para manejar el tráfico humano real.

Mejorando la capacidad de tu sitio para manejar más solicitudes

En caso de que hayas identificado que tu sitio todavía recibe tráfico de bots maliciosos que no se pueden filtrar o eliminar fácilmente, puedes disminuir su impacto negativo mejorando la velocidad y el rendimiento de tu sitio web, lo que permitirá una mayor capacidad para manejar cualquier tipo de tráfico. He aquí cómo hacerlo:

Hemos desarrollado un potente sistema de almacenamiento en caché para ayudarte a almacenar en caché la mayor cantidad posible de contenido en tu sitio web. El contenido almacenado en caché se sirve mucho más rápido a los visitantes y, por lo tanto, mejora la capacidad de tu sitio para manejar el tráfico. Nuestro sistema se compone de tres opciones de almacenamiento en caché que están disponibles en tu Site Tools > Velocidad > Almacenamiento en caché: NGINX Direct Delivery para almacenar en caché contenido estático, como imágenes y archivos CSS; Almacenamiento en caché dinámico para que el contenido dinámico se almacene en la RAM del servidor y Memcached para almacenar datos y objetos en la memoria (mejor para sitios web basados en bases de datos).

  • Usa nuestros otros servicios de optimización

Hacemos mucho para mejorar el rendimiento del sitio web y puedes hacer uso de nuestras soluciones premium. Aquí hay tres de los principales que pueden acelerar tu sitio web y hacer espacio para las solicitudes de más visitantes. 

Nuestra SiteGround CDN desarrollado internamente no requiere configuración, es fácil de administrar con solo unos pocos clics y, sobre todo, hace que tu sitio cargue increíblemente rápido para los visitantes de todo el mundo. Su versión básica es completamente gratuita y proporciona a tu sitio todas las características esenciales para manejar el tráfico internacional desde varias ubicaciones internacionales.

Otra herramienta de velocidad desarrollada internamente es el plugin gratuito SiteGround Optimizer para sitios web de WordPress. Te proporciona muchas opciones de optimización diferentes (medios, frontend, entorno) que se pueden habilitar con unos pocos clics.

Por último, pero no menos importante, nuestra configuración personalizada PHP ultrarrápida hace que tus páginas carguen hasta un 30% más rápido y permite que el servidor procese las visitas de tu sitio web más rápido.

Resumen

Si bien la mayoría de las personas están ocupadas vendiendo y comprando bienes y servicios durante el período del Black Friday, los bots maliciosos también están más activos que nunca, “visitando” sitios web y causando todo tipo de problemas potenciales. Si no se abordan a tiempo y de la manera adecuada, pueden arruinar una gran parte de tus conversiones durante esta época del año, cuando trabajas duro para obtener el mayor número de ventas.

Posted on

Características esenciales de seguridad del sitio web que necesitas. ¿Están activadas?

Construir y mantener una seguridad web sólida es un proceso constante que a menudo es descuidado por los propietarios de sitios web debido a su complejidad, consumo de tiempo y costo. Como proveedor de hosting, lo sabemos bien. Más de 18 años de experiencia en hosting, mantenimiento y seguridad de millones de sitios web nos han enseñado que la seguridad de los sitios web es absolutamente fundamental para todos los negocios online. Hemos visto las consecuencias devastadoras que un hackeo puede tener en un sitio web y, en última instancia, en una empresa, y hemos dedicado serios esfuerzos para prevenir y minimizar los efectos de los intentos de hackeo.

A lo largo de los años, hemos optimizado la seguridad de nuestra plataforma desarrollando sofisticados sistemas de seguridad, introduciendo una variedad de herramientas de seguridad, plugins y características, y analizando y monitoreando constantemente el tráfico y los patrones para reconocer amenazas potenciales. Si bien todo esto nos ha convertido en uno de los proveedores de hosting web más seguros y de confianza del mundo, sabemos que la seguridad de la plataforma por sí sola no es suficiente. La participación de los webmasters y los propietarios del sitio es igualmente importante para asegurar adecuadamente un sitio web. Es por eso que hemos compilado una lista de las características de seguridad más esenciales que puedes habilitar y que pueden marcar la diferencia entre un sitio web hackeado y tu tranquilidad.

Usa SSL 

Hoy en día, un SSL es absolutamente esencial para cualquier sitio web. Un certificado SSL cifra la conexión entre los navegadores de tus visitantes y el servidor de tu sitio web para que los datos transmitidos entre los dos, como información personal, datos de tarjetas de crédito, credenciales de inicio de sesión u otros, no puedan ser interceptados por hackers.

Los clientes de SiteGround obtienen certificados SSL estándar y Wildcard gratuitos con todos los planes de hosting, independientemente del número de sitios. Asegúrate de tener tu SSL instalado y el tráfico redirigido correctamente a través de HTTPS desde Site Tools > Seguridad > SSL para garantizar el cifrado de la conexión.

Si tienes un sitio web comercial o estás procesando pagos online, puedes considerar nuestros certificados Wildcard Premium que vienen con una garantía suscrita de $10.000 y un sello de sitio dinámico para crear credibilidad y confianza entre tus visitantes.

Protege tu acceso

Tus credenciales de inicio de sesión son una puerta de entrada a tu cuenta e información personal (y cuando se habla de sitios web, también a tu dominio, sitio y correos electrónicos). Hay varias cosas que puedes hacer para asegurarte de que tus credenciales de inicio de sesión sean seguras, y solo tú o las personas a las que hayas autorizado tengan acceso a tu sitio web:

Endurece tus contraseñas 

A pesar de todo el conocimiento disponible hoy en día sobre las contraseñas débiles y la importancia de nunca compartir las credenciales de inicio de sesión con nadie, uno de los hackeos más comunes es el que afecta a las credenciales a través de intentos de adivinar o forzar contraseñas fáciles de descifrar. Tener una contraseña larga, que consta de varios caracteres y una combinación de palabras, letras, números y símbolos es una forma fácil y súper efectiva de mantener tus cuentas seguras. Recuerda usar diferentes contraseñas para diferentes sitios y aplicaciones, y nunca compartas tus contraseñas con nadie, ni las escribas en lugares de acceso público como notas post-it en tu ordenador. 

Usa autenticación de 2 factores

Independientemente de lo difícil que sea tu contraseña, todavía existe la posibilidad de que un hacker acceda a ella a través de un ataque de fuerza bruta, virus, malware u otro. Con la autenticación de 2 factores habilitada, cualquier persona que intente acceder a tus datos debe pasar un paso secundario. 2FA agrega otra capa de autenticación, generalmente a través de un código temporal generado dinámicamente (accesible solo desde tu teléfono o e-mail, dependiendo de la configuración), que no se puede adivinar o piratear y hace que tu defensa de inicio de sesión sea a prueba de balas.

  • Para el Área de Cliente de SiteGround, que es la puerta de entrada a tus dominios y sitios, puedes habilitar fácilmente 2FA desde Área de Cliente > Acceso y perfil.
  • Para iniciar sesión en la aplicación de WordPress, puedes instalar y activar el plugin SiteGround Security y habilitar la función 2FA. Descarga el plugin aquí, o instálalo directamente a través de tu área de administración de WordPress.

Monitoriza tu sitio web 

Escanea en busca de malware con regularidad

Hay muchas formas en que un sitio web puede infectarse con malware: a través de credenciales de inicio de sesión comprometidas, plugins y temas infectados o falsos, software corrupto y más. El malware puede tener un impacto grave en tu sitio y en tu negocio online. La mejor prevención para ello es una plataforma de hosting web segura y una monitorización constante. Si eres cliente de SiteGround, puedes activar Site Scanner: un servicio que rastrea tu sitio web a diario y te notifica de posibles malware y otras amenazas. Recientemente, Site Scanner ayudó a salvar miles de sitios de WordPress de un malware particularmente desagradable.

Bloquea tráfico sospechoso 

Hay casos en los que solo la persona que administra un sitio web puede notar patrones específicos o actividad sospechosa. Hemos proporcionado herramientas potentes y fáciles de usar para bloquear direcciones IP específicas o países enteros, lo que permite a nuestros clientes controlar quién accede a su sitio web y evitar visitantes no deseados.

Haz copias de seguridad frecuentes de tu sitio web

Si bien las copias de seguridad no te protegen de los piratas informáticos directamente, te mantienen a salvo de otros eventos inesperados: una actualización del sitio que puede haber salido mal, un sitio infectado que debe revertirse a una versión limpia y cualquier otra situación en la que una copia de seguridad es todo lo que necesitas para poner tu sitio online. Sabemos con qué frecuencia las copias de seguridad pueden salvar una situación que de otro modo sería grave, por lo que hacemos copias de seguridad diarias automatizadas de todos los sitios alojados con nosotros y las guardamos hasta 30 días. Puedes restaurar fácilmente tu sitio web, archivos o bases de datos de forma gratuita con solo unos clics desde Site Tools > Seguridad > Copias de seguridad.

Cuida especialmente de tu WordPress

Siendo el CMS más popular del mundo, WordPress es también uno de los objetivos más populares para los hackers. Si bien todos los consejos anteriores se aplican a WordPress, hay algunas cosas adicionales que puedes hacer para asegurarte de que tu sitio WordPress esté bien protegido contra los ciberdelincuentes y el software malicioso.

Mantén tu WordPress actualizado

Mantener tu WordPress actualizado es esencial para la seguridad de tu sitio web. Si tu sitio está alojado en SiteGround, tenemos esto cubierto por ti. Todos los sitios de WordPress alojados con nosotros se actualizan automáticamente a la última versión estable de WordPress (solo después de haberla probado a fondo). Los plugins gratuitos también se actualizan automáticamente, dependiendo de la configuración del usuario.

Añade una capa de seguridad adicional con un plugin de seguridad de confianza

Hay exploits y vulnerabilidades específicas de WordPress que se gestionan mejor dentro de WordPress. Algunos de nuestros mejores ingenieros de WordPress han desarrollado el plugin SiteGround Security (gratuito para todos) que consiste en una serie de herramientas y características diseñadas para mantener tu WordPress seguro y protegido. Ayuda a los propietarios de sitios a deshabilitar XML-RPC si no lo necesitas, agregar protección XSS, proteger las carpetas del sistema para que no se inyecten con archivos maliciosos con solo 1 clic y mucho más.

Evita nombres de administrador comunes como “Admin” 

Tu inicio de sesión consta de dos partes: un nombre de usuario y una contraseña. En muchas ocasiones el nombre de usuario es algo generado automáticamente por la plataforma donde te registras y no tienes control sobre él, pero en otras, como tu aplicación de WordPress, tienes el control total de cuáles deberían ser tus nombres de usuario. Excepto que todas las instalaciones de WP vienen con el usuario “Admin” por defecto. Y los hackers lo saben, lo que significa que están un paso más cerca de acceder a tu sitio. Es por eso que sugerimos que desactives todos los usuarios administradores en tus sitios, y crees usuarios con nombres diferentes pero con permisos de administrador iguales. Puedes desactivar el uso de Admin y otros nombres de usuario comunes con el plugin gratuito SiteGround Security.

Limita los intentos de inicio de sesión 

Un comportamiento estándar de los usuarios no autorizados es intentar adivinar tu contraseña (o nombre de usuario y contraseña) en el formulario de inicio de sesión haciendo múltiples intentos consecutivos. Puedes eliminarlos fácilmente limitando el número de intentos de inicio de sesión fallidos consecutivos que pueden realizar. Una vez que alcanzan la cantidad establecida, la IP desde la que inician sesión se bloquea durante 1 hora. Usa el plugin gratuito SiteGround Security para activar esta función en los sitios de WordPress.

Usa un proveedor de hosting web de confianza donde la seguridad sea lo primero

Como mencionamos al principio, proteger tu sitio web es un esfuerzo de equipo y en nuestra plataforma la seguridad de tus sitios web es nuestra prioridad número uno. Aquí queremos recapitular algunas de las cosas que hacemos y en caso de que no seas un cliente de SiteGround, es posible que desees considerar estos elementos esenciales de seguridad para cualquier proveedor de hosting con el que trabajes:

Firewall de aplicaciones web a nivel de servidor

El firewall de la aplicación web monitoriza el tráfico y bloquea la oportunidad de que los piratas informáticos exploten muchos de los agujeros de seguridad más comunes de las aplicaciones. Aunque existen muchas soluciones como plugins de WordPress o servicios de terceros para atender esa necesidad, un WAF a nivel de servidor es de suma importancia ya que funciona con big data y en tiempo real. Es por eso que nuestro equipo de seguridad dedicado monitoriza constantemente varias newsletter de seguridad en busca de exploits y vulnerabilidades, y crea inmediatamente reglas de seguridad personalizadas, que agregan a nuestro firewall inteligente de aplicaciones web y administrado internamente. Protege todos los sitios web alojados con nosotros desde el primer momento.

Prevención de fuerza bruta

SiteGround tiene un sofisticado sistema de prevención de fuerza bruta basado en inteligencia artificial que durante años ha estado deteniendo millones de intentos de fuerza bruta por día (¡incluso por hora!). Y aunque esto por sí solo es impresionante, recientemente lo hemos mejorado aún más. Después de la reciente actualización del sistema, hemos logrado reducir la cantidad de tráfico malicioso que llega a tu sitio en un 95% y, por lo tanto, minimizando significativamente los intentos reales de fuerza bruta. No se requiere ninguna acción por parte de nuestros clientes, ya lo están usando 🙂

Protección DDOS 

Los ataques DDOS son utilizados con frecuencia por los hackers para tumbar sitios por diferentes razones: peticiones de rescate, competencia económica o comercial, motivos políticos o simple vandalismo. Tenemos un sistema de mecanismos de software y hardware que desvían los ataques DDOS, mitigan su impacto y eventualmente los detienen. Y lo mejor es que no tienes que hacer nada, ¡protegemos todos los sitios alojados en nuestra plataforma!

PHP administrado

Mantener PHP actualizado es esencial para mantener tu sitio web seguro. Las versiones anteriores de PHP son a menudo una puerta de entrada de las vulnerabilidades y el malware, y muchos proveedores de hosting web tienden a pasarlo por alto para facilitar la administración de PHP. Hemos desarrollado una solución PHP administrada y segura que ayuda a nuestros clientes a mantener su PHP actualizado a la última versión estable de PHP.

Bloqueo de tráfico bajo demanda (IP y bloqueo geográfico)

Hay casos en los que solo la persona que administra un sitio puede notar patrones específicos o actividad sospechosa. Hemos proporcionado herramientas potentes y fáciles de usar para bloquear direcciones IP específicas o países enteros, lo que permite a nuestros clientes controlar quién accede a su sitio web y evitar visitantes no deseados.

Área de Cliente e inicio de sesión a Site Tools inteligentes

Todas las cuentas de SiteGround están protegidas detrás de un inicio de sesión inteligente que hemos desarrollado para reconocer comportamientos sospechosos y forzar una verificación adicional del cliente cuando se detecta un patrón irregular. Nuestro sistema de inicio de sesión aprende de tu comportamiento, como los dispositivos que usualmente usas o las ubicaciones desde las que inicias sesión a menudo, por ejemplo, y sabe si un intento de inicio de sesión proviene de ti o de un impostor. En el último caso, se le presenta un desafío: uno que es fácil de pasar para el propietario real de la cuenta y muy difícil para cualquier otra persona.

Informes mensuales de seguridad

Hay una cosa más que a menudo se pasa por alto, pero es importante incluirla en la estrategia de seguridad de tu sitio web. Debes asegurarte de revisar el estado de seguridad de tu sitio regularmente, sin embargo, esto puede llevar mucho tiempo, esfuerzo y dinero. Los clientes de SiteGround reciben informes de seguridad mensuales gratuitos directamente en sus bandejas de entrada.

Realizamos comprobaciones de seguridad automatizadas de los sitios web de nuestros clientes y luego les proporcionamos resultados resumidos en un formato fácil de usar, junto con consejos prácticos sobre cómo reducir el riesgo de ataques maliciosos, si identificamos áreas débiles.

Estas son las características esenciales para la seguridad de tu sitio web. Si las tienes todas habilitadas, estamos seguros de que tu sitio web está bien protegido y puedes tener la tranquilidad de que has hecho todo lo posible para asegurar tu negocio online. Nos encantaría saber cuál de estas funciones ya estás utilizando y cuáles son las que acabas de descubrir.


Posted on

Nuestra red de centros de datos y CDN de EE.UU. se ha vuelto más grande

Nos complace anunciar que hemos aumentado el número de nuestros centros de datos y ubicaciones de CDN en los EE.UU. Nuestros clientes ahora pueden elegir entre cuatro centros de datos con base en los EE.UU. para tener sus sitios web alojados lo más cerca posible de sus visitantes. Además, ya tenemos seis puntos perimetrales de CDN con sede en EE.UU., que ayudan a mejorar la velocidad del sitio web en la región en su conjunto para todos nuestros usuarios de CDN.

4 centros de datos en los EE.UU.

Con la introducción de tres nuevos centros de datos, ahora tenemos cuatro ubicaciones en los EE.UU., todo parte de la infraestructura moderna de Google Cloud que garantiza una alta redundancia, conectividad rápida y seguridad multicapa:

  1. Norte de EE. UU. en Council Bluffs, Iowa: mejor para sitios web que tienen visitantes principalmente del norte de EE.UU. y/o Canadá.
  2. NUEVO Sur de EE. UU. en Dallas, Texas: mejor para sitios web que tienen visitantes principalmente del sur de EE.UU. y/o países de América Central y del Sur.
  3. NUEVO Este de EE.UU. en Ashburn, Virginia: mejor para sitios web que tienen visitantes principalmente de los estados del este de EE.UU.
  4. NUEVO Oeste de USA en Los Ángeles, California: mejor para sitios web que tienen visitantes principalmente de los estados del oeste de EE.UU.

Al elegir cuál de las ubicaciones de nuestros centros de datos es mejor para ti, debes tener en cuenta de dónde proviene la mayor parte del tráfico de tu sitio web. En caso de que tengas una audiencia estrictamente local, es mejor tener tu cuenta de hosting ubicada en el centro de datos más cercano a tu audiencia.

Puedes comprobar dónde se encuentra actualmente una cuenta de hosting existente y solicitar una reubicación, si crees que hay una mejor opción para ti a través del Área de Cliente > Marketplace > Servicios de hosting > Reubicación de hosting.

6 puntos perimetrales de CDN en los EE.UU.

También somos conscientes de que muchos de nuestros clientes reciben tráfico no solo de un estado, sino de muchos y es difícil elegir la ubicación del servidor de hosting más conveniente. Para tales casos, cualquier centro de datos con sede en EE.UU. es una buena opción por ser el hogar original de tu sitio web. Sin embargo, los mejores resultados de carga del sitio se lograrán utilizando nuestra CDN. La CDN se asegura de que una copia de tu sitio web sea accesible desde la ubicación más cercana a tus visitantes de todo Estados Unidos, e incluso de todo el mundo.

Ahora contamos con las siguientes ubicaciones de CDN en los EE. UU.: Council Bluffs (Iowa, EE.UU.), Moncks Corner (Carolina del Sur, EE.UU.), The Dalles (Oregón, EE.UU.), Los Ángeles (California, EE.UU.), Ashburn (Virginia, EE.UU.), Dallas (Texas, EE.UU.).

Animamos a todos nuestros clientes que reciben tráfico desde diferentes ubicaciones geográficas a activar el servicio CDN. Esto se puede hacer de forma totalmente gratuita a través de tu Site Tools > Velocidad > CDN.

Posted on

Sistema de seguridad de nivel empresarial integrado en nuestra plataforma de hosting web

Hay un dicho entre las compañías de tecnología que dice que si no puedes permitirte pagar por la seguridad, no puedes permitirte una brecha de seguridad. Las consecuencias de una brecha pueden ser bastante caras en términos de pérdida de datos, participación humana, costos de recuperación comercial, daños a la reputación y muchos más. Es por eso que las grandes empresas gastan millones de dólares para proteger sus datos y dedican mucho tiempo a implementar y mantener procedimientos de seguridad de datos y estrategias de seguridad. Naturalmente, las pequeñas empresas no pueden permitirse nada de eso y, por lo general, tienen un presupuesto limitado dedicado a la seguridad. Ahí es cuando y donde el uso de los servicios de un proveedor de hosting web seguro se vuelve crítico.

Aunque los servidores web no pueden ser los únicos responsables de la seguridad de tu sitio web, los buenos pueden hacer mucho para ayudarte a mantenerte a salvo y evitar que suceda lo peor. Aquí en SiteGround, hemos desarrollado un sistema de seguridad centralizado de nivel empresarial para proteger los sitios, aplicaciones y datos de nuestros clientes. Su complejidad ha crecido con el tiempo y describirlo en su totalidad puede ser bastante abrumador, pero en este artículo te daremos una idea de cómo analizamos y filtramos el tráfico web que llega a tus sitios y cómo prevenimos diariamente cientos de millones de ataques a los sitios que alojamos.

Bloques de seguridad efectivos

Todos nuestros servidores tienen software de seguridad esencial instalado y sistemas configurados para funcionar localmente por servidor: un firewall de tráfico de red, firewall de aplicaciones web, IDS/IPS (sistemas de detección/prevención de intrusiones como prevención de fuerza bruta), análisis HTTP profundo de metadatos, protección DDOS y más. Estos son medios clásicos y muy efectivos para filtrar el tráfico malicioso y prevenir ataques de fuerza bruta, inyecciones de malware, denegación de servicio y más, de los que dependemos en gran medida. Bajo la gestión competente de nuestros ingenieros DevOps y administradores de sistemas, estos sistemas se mejoran constantemente y todos juntos filtran aproximadamente 1 TB de tráfico malicioso y más de 300 millones de solicitudes maliciosas en nuestros servidores diariamente.

Pero si esos sistemas funcionan de forma independiente, solo a nivel de servidor, aparecen los siguientes problemas: en caso de que un hacker amenace al servidor A, incluso si los sistemas de seguridad individuales del servidor pueden mantener el servidor a salvo, no pueden detener al hacker de intentar el mismo ataque en los servidores B, C, etc. Para asegurarnos de que todos nuestros servidores están protegidos en todo momento, hemos construido nuestro Sistema central de seguridad que constantemente recopila y analiza datos de todos los sistemas de seguridad individuales del servidor, y distribuye reglas de seguridad inteligentes que se aplican y protegen a todas las máquinas.

Análisis de big data centralizado

Nuestro sistema central de seguridad central se basa en el big data que recibe de todos los demás sistemas a nivel de servidor y analiza las diversas fuentes de ataque, detecta patrones más grandes y bloquea muchos más ataques globalmente en toda la plataforma.

Feed de datos de firewall de aplicaciones web

Como se mencionó anteriormente, cada servidor tiene un WAF, cuya principal responsabilidad es proteger aplicaciones web como WordPress, Magento, Joomla, Drupal y otros de una variedad de ataques como cross-site scripting (XSS), inyección SQL y más. En el momento en que nos damos cuenta de una amenaza de seguridad (vulnerabilidad de software), nuestros ingenieros de seguridad escriben una nueva regla para parchearla y agregar esa regla a nuestros WAF locales.

Cada solicitud que no se descarta a nivel de red, es filtrada por el servidor WAF. Si la solicitud está alcanzando los parámetros de una regla WAF, el WAF envía información al respecto al sistema central de seguridad. El Sistema central registra y analiza todas las solicitudes que alcanzan las reglas WAF en todos nuestros servidores (por ejemplo, su IP y otros metadatos). Si detecta un patrón, como múltiples solicitudes en muchos servidores provenientes de la misma dirección IP, el Sistema central bloqueará esa IP y distribuirá una regla a todas las máquinas en nuestra infraestructura. Dependiendo del caso específico y la regla, el sistema puede limitar las solicitudes de IP sospechosas para ser cuestionadas por captcha o limitar por completo el tráfico desde ellas a cualquiera de nuestros servidores durante un período específico (horas, días, semanas o incluso permanentemente).

Patrones de tráfico de prevención de fuerza bruta

Como parte de nuestra estrategia de prevención de fuerza bruta, hemos implementado sistemas de monitorización local en todos nuestros servidores. Estos monitorizan los intentos de inicio de sesión en todas las aplicaciones alojadas con nosotros e informan cada uno fallido al Sistema central de seguridad. El sistema es notificado del intento junto con toda la información de seguridad importante relacionada con el mismo, como una dirección IP, número de solicitudes, historial de IP y más. Cada 60 segundos, el Sistema central de seguridad revisa los datos agregados y analiza el volumen y la frecuencia de los metadatos repetitivos en busca de patrones. Cuando los patrones están claramente identificados, el sistema crea reglas de bloqueo que se distribuyen a todos los servidores.

Un ejemplo de esto serían múltiples intentos fallidos de inicio de sesión en uno o más servidores, provenientes de la misma dirección IP dentro de un corto período de tiempo (se establecen diferentes umbrales de tiempo para una mayor precisión y efectividad). En un caso como este, nuestro sistema marcaría la IP y las solicitudes futuras que provengan de ella hacia cualquiera de nuestros servidores serían desafiadas con un captcha.

Muchos más sistemas envían datos a nuestro Sistema central de seguridad

Hay muchas más formas en que alimentamos nuestro Sistema central de seguridad con datos, como monitorizar los intentos de inicio de sesión a un servicio a nivel de servidor como FTP, EXIM, Dovecot, etc., revisar el tráfico XML-RPC de los sitios de WordPress, introduciendo diferentes patrones de tráfico de sistemas de terceros, y más.

Cuantas más fuentes de datos relevantes ingresamos, más grande se vuelve el conjunto de datos, lo que mejora significativamente el poder analítico y la precisión del Sistema central de seguridad. Con el tiempo, la capacidad del sistema para prevenir ataques de manera efectiva crece cada vez más.

Protección de nivel empresarial a escala global

Y para resumir, aquí hay algunos números que pueden ayudarte a comprender la escala y el efecto de lo que hace el Sistema central de seguridad. Diariamente, más de 260 millones de solicitudes son desafiadas con captcha y menos de 40.000 pasan el desafío. Tenemos más de 50.000 direcciones IP actualmente marcadas como maliciosas o sospechosas y casi la mitad de ellas están completamente bloqueadas y no pueden llegar a nuestros servidores. El número cambia diariamente, ya que nuevas direcciones IP son marcadas y cuestionadas debido a su actividad sospechosa, mientras que las marcadas previamente se borran después de una verificación exitosa o la expiración de la prohibición.


Todos estos números y el trabajo integral involucrado en el mantenimiento de un Sistema central de seguridad efectivo llevan al número que más importa: el 99,99% del tráfico malicioso se bloquea antes de que llegue a tu sitio web.

Posted on

Nuestro Site Scanner salvó miles de sitios web WordPress de un ataque de seguridad masivo

A mediados de junio lanzamos nuestro servicio Site Scanner actualizado. Poco sabíamos entonces que pronto veríamos la nueva funcionalidad en plena acción. Solo unos meses después de la actualización, Site Scanner salvó miles de sitios WordPress de un ataque bien disfrazado, con el objetivo de redirigir el tráfico a sitios falsos a través de un plugin falso, llamado Zend Fonts. Imagina todos los daños a la reputación y otros negocios que un ataque como este podría haber causado y lee cómo nuestro héroe Site Scanner salvó el día.

¿Cómo funciona el “plugin falso de Zend”?

El ataque implicó subir un plugin falso infectado llamado Zend Fonts a través de una puerta trasera. Una vez subido, el plugin infectado redirigía a los visitantes del sitio a sitios fraudulentos sin que el propietario del sitio lo sospechara. El archivo del plugin cargado se ve así:

./wp-content/plugins/zend-fonts-wp/zend-fonts-wp.php

Lo que hace que el ataque sea realmente peligroso es que este archivo de plugin está oculto de la lista de plugins wp-admin o wp-cli, lo que significa que los administradores de WP no podrían detectarlo fácilmente, debido a la siguiente función:

//hide plugin
add_filter(‘all_plugins’, ‘hide_plugins’);
function hide_plugins($plugins) {
        unset($plugins[‘zend-fonts-wp/zend-fonts-wp.php’]);
        return $plugins;
}

Además, está configurado para activar la redirección solo si un usuario normal accede al sitio web, no el administrador o editor del sitio:

        //do redirect if user from REF and NOT Admin
        if(isset( $_SERVER[‘HTTP_REFERER’]) && !$isAdmin){
                redirect();
        }

Todos estos factores hacen que el ataque sea prácticamente invisible para los propietarios/editores del sitio, mientras que los visitantes normales serían redirigidos a sitios fraudulentos. Este truco podría fácilmente resultar en pérdidas significativas de ventas, daños a la reputación y otros daños, como una mala clasificación en los motores de búsqueda y más. 

¿Cómo detectó SiteGround el ataque?

Nuestros administradores de sistemas monitorean la carga y el comportamiento de nuestros servidores 24h y poco después de que se lanzara este exploit, observamos un número anormalmente alto de archivos maliciosos detectados por nuestro servicio de Site Scanner en busca de malware. Nuestros administradores de sistemas comenzaron a investigar más y detectaron un patrón: hubo un intento de carga masiva de plugins de Zend Fonts que afectaron en ese momento alrededor de 2000 de las instalaciones de WordPress de nuestros clientes. 

¿Cómo protege Site Scanner los sitios por sí mismo?

Por lo general, en ataques como el de Zend Fonts, para los sitios con Site Scanner Basic, los informes se reciben en menos de 24 horas después de que se detecta el malware (justo después del escaneo diario programado) y para aquellos con Site Scanner Premium, se recibe una alerta recibido inmediatamente después del intento de carga, dando a nuestros clientes la oportunidad de reaccionar rápidamente y eliminar los archivos maliciosos antes de que puedan causar cualquier daño. 

Además, para los sitios con Site Scanner Premium donde la cuarentena está activada, los archivos nunca llegan a los sitios atacados. Se ponen en cuarentena de forma segura para que los propietarios del sitio los revisen y eliminen cuando sea conveniente. La cuarentena detiene efectivamente el ataque y protege los sitios de intentos de hackeo maliciosos, y el impacto en el negocio y la reputación resultante de ellos. Y la mejor parte: los propietarios del sitio no tienen que hacer nada.


Usando los datos de Site Scanner para proteger a todos los clientes

Una vez que nuestros administradores de sistemas detectaron que la carga del plugin Zend Fonts no era algo aislado, sino que estaba sucediendo en toda la plataforma, eliminaron todos los archivos maliciosos de nuestros servidores. Además, nuestros ingenieros de seguridad agregaron una nueva regla a nuestro firewall de aplicaciones web (WAF) para evitar futuros ataques hacia otros sitios de WordPress alojados con nosotros.

Estamos muy emocionados de ver cómo nuestro servicio Site Scanner está protegiendo activamente los sitios de una variedad de ataques realmente malos. Para ataques masivos a gran escala, como el plugin Zend Fonts, Site Scanner nos ayuda a detectar un patrón y tomar medidas para proteger a todos nuestros clientes implementando reglas WAF o mejorando nuestro sistema de monitoreo. Si bien esto es algo que continuaremos haciendo, la actualización de un sistema para toda la plataforma lleva un tiempo y no incluirá ataques de malware más pequeños y específicos del sitio. Si deseas tener una detección de malware temprana y completa para tu sitio, te recomendamos que actives uno de nuestros planes Site Scanner. Y si lo que buscas no solo es detectar ataques de malware, sino también detenerlos de forma proactiva, obtén el Premium Site Scanner con la cuarentena activada.


Para celebrar el éxito de Site Scanner, este mes de la ciberseguridad #CyberSecurityMonth ofrecemos 3 meses gratis para cualquier nueva activación de Site Scanner (tanto Basic como Premium) hasta finales de octubre. 

Posted on

Cómo protegerse del phishing y estafas online

Con el rápido desarrollo de la tecnología, la complejidad de los ataques de phishing mejora. Cuanto más tecnológicamente avanzadas se vuelven las personas, más avanzados son los ataques de phishing. Por último, pero no menos importante, ahora que todo el mundo pasa más tiempo online, el número de ataques de phishing también aumenta. Aquí está nuestra breve guía sobre cosas simples para recordar para mantenerse a salvo de ataques de phishing, mientras navegas online. 

Pero, ¿qué son el phishing y las estafas online?

Nacido alrededor de 1995, solo 4 años después de la aparición del primer sitio, el phishing se refiere a la práctica de usar correos electrónicos y sitios web engañosos para obtener ilegalmente información personal de los usuarios. Esa información (nombres de usuario, contraseña, tarjetas de crédito) se utiliza más tarde para robar dinero o más información.

La palabra “phishing” en sí es una combinación de “fishing” (pesca) y “phreaks”, que era lo que los hackers solían llamarse a sí mismos. La práctica del phishing se considera una forma de ingeniería social, que es un término para manipular a las personas al representarse falsamente en un contexto de seguridad web.

Tipos de técnicas de phishing

Spear phishing

¿Qué es el spear phishing? Spear phishing se dirige a una persona u organización específica en lugar de a usuarios aleatorios. Esta estafa generalmente tiene como objetivo robar información o datos confidenciales de la víctima específica, como contraseñas de la cuenta o información financiera con fines maliciosos. Requiere conocimientos específicos sobre la víctima, como algunos datos personales. Los ciberdelincuentes usan esta información, generalmente en un correo electrónico, para fingir que son una organización o persona de confianza y adquirir los datos que necesitan.

Spear phishing vs phishing

Spear phishing vs phishing, ambos son ataques online que intentan robar información sensible. Sin embargo, el phishing es el término más general para este tipo de ataque, ya que es básicamente cualquier intento de engañar a las víctimas para que compartan información sensible.

Según la definición de spear phishing, está personalizado para la víctima específica. Requiere más pensamiento, tiempo y conocimiento para lograr su objetivo. Dado que los mensajes de spear phishing están personalizados, es más difícil identificar este tipo de ataques.

Lo que ayuda a protegerse del spear phishing generalmente es tener cuidado con su presencia online. Aquí tienes algunos consejos a seguir para evitar el spear phishing:

  • Ten cuidado con la información personal que publicas en Internet
  • Usa contraseñas inteligentes y seguras
  • Actualiza tu software regularmente
  • Tenga cuidado al abrir correos electrónicos y hacer clic en enlaces

Phishing Microsoft 365

Este tipo de ataques son correos electrónicos de phishing que tienen como objetivo usuarios de Microsoft 365. Una de las cosas más comunes que hacen los atacantes es engañar a las víctimas para que descarguen un archivo disfrazando su extensión. Los atacantes usan un carácter especial Unicode, el override de derecha a izquierda. Les permite, por ejemplo, disfrazar un archivo “.exe” como un archivo “.txt”. Como resultado, la víctima descarga el archivo “.exe” que instala software malicioso en su ordenador o portátil.

Whaling phishing

El whaling phishing es un ataque altamente dirigido. Este tipo de ataque de phishing se dirige a personas en particular como altos ejecutivos, y se disfraza de correo electrónico legítimo. Intenta alentar a las víctimas a realizar una acción en particular, generalmente relacionada con la transferencia de dinero o la entrega de información específica. Los correos electrónicos de whaling phishing a menudo se dirigen a grandes instituciones financieras y son más complicados que los correos electrónicos de phishing generales porque están dirigidos a ejecutivos de nivel C.

Estos correos generalmente contienen información personalizada sobre la organización/ejecutivo de nivel C, crean una sensación de urgencia, cumplen con el tono comercial y lo alientan a hacer algunas de las siguientes acciones:

  • Haz clic en un enlace que eventualmente traerá malware
  • Transferir dinero a la cuenta bancaria del atacante
  • Proporcionar más información sobre la empresa o el particular.

Voice phishing

Voice phishing es un ataque que engaña a las personas para que proporcionen información financiera o personal importante por teléfono a terceros. Puedes ser víctima de un ataque de phishing de voz a través de varios canales y dispositivos como correo de voz, teléfono inteligente, teléfono fijo, voz sobre IP, etc.

El mensaje de tal ataque generalmente informa a la víctima de una actividad sospechosa, relacionada con su cuenta bancaria/tarjeta de crédito o débito, etc. Después el atacante alienta a la víctima a llamar a un número de teléfono y proporcionar más información personal o verificar su cuenta/identidad.

Para protegerse de un ataque de este tipo, el mejor enfoque es llamar a la institución en cuestión a través de un canal de contacto válido que tenga y asegurarse de que su cuenta no haya sido comprometida.

Business email compromise (BEC)

Business email compromise (correo corporativo comprometido) es un mensaje de correo electrónico que parece legítimo, solicita una acción en particular y se dirige a una empresa específica. La solicitud en el mensaje generalmente trata sobre la transferencia de fondos a la cuenta bancaria del atacante que:

  • Pretende ser el “proveedor habitual” que ha enviado una factura desde una dirección de correo actualizada
  • Pretende ser CEO de la empresa
  • Finge ser un empleado de la empresa y ha hackeado su dirección de correo electrónico
  • Pretende ser el abogado de la empresa 

Phishing de redes sociales

El phishing de redes sociales está relacionado con ataques a través de redes sociales como Facebook, Instagram, Twitter, LinkedIn, etc. Su objetivo es robar tu información personal o apoderarse de tu cuenta de redes sociales. Tal ataque también puede resultar en una pérdida financiera debido a la obtención de datos para acceder a las cuentas financieras. Para protegerse de un ataque de phishing en las redes sociales, sigue estas simples reglas:

  • No añadas/aceptes extraños como amigos
  • No hagas clic en los enlaces para actualizar tu información personal
  • No uses el mismo nombre de usuario y contraseña para todas tus cuentas
  • Usa la última versión de tu sistema operativo

¿Cómo puedes protegerte del phishing?

Debido a que el phishing realmente puede costarte mucho, desde dinero robado hasta grandes violaciones de datos en tu empresa, es imprescindible tomar precauciones de seguridad adecuadas. Hemos creado una breve lista de las cosas que debes tener en cuenta para mantenerte seguro en internet.

1. Presta atención al remitente y a la URL en tus correos electrónicos

Una de las estafas de phishing más comunes es falsificar una gran marca enviando un correo electrónico con su nombre (y generalmente una paleta de colores), y decir que hay algo mal en tu cuenta y pedirte que inicies sesión “para solucionarlo”. Por lo general, el aspecto del correo electrónico es muy similar al de la marca original, sin embargo, hay una manera segura de distinguir si estás ante un correo real de la marca auténtica.

Verifica la dirección de correo electrónico: los estafadores no pueden crear direcciones de correo electrónico con el nombre de dominio real de la empresa, por lo que en lugar de help@bigbrandname.com generalmente se verá como bigbrandname@somethingelse.com. ¡Mira cuidadosamente la dirección de correo electrónico y no solo el nombre que aparece en tu cliente de correo electrónico!

Verifica la URL antes de hacer clic: si colocas el ratón sobre la URL provista en el correo electrónico, generalmente revelará el dominio al que está apuntando, para que puedas ver a dónde lleva realmente este correo electrónico. Si no es el dominio oficial de la marca, no hagas clic en él.

2. Evita descargar archivos adjuntos de correos electrónicos que no esperas

A veces, el correo electrónico parece correo electrónico comercial legítimo y no pretende ser una gran empresa, sino que envía un archivo adjunto que contiene algún tipo de malware. El correo electrónico a menudo se estructura como una oferta comercial o un correo electrónico enviado por la propia empresa/jefes del destinatario que contiene archivos con información confidencial.

Si no sabes quién es el remitente, definitivamente no abras ningún archivo adjunto. Si conoces al remitente, pero no esperas nada de ellos, o si hay algo sospechoso, es mejor omitirlo también. Llama al remitente y pregúntale si tenía intención de enviarte algo, ya que a veces los estafadores piratean los buzones de correo electrónico de las personas y los usan para ataques de phishing enviando spam a sus contactos.

El formato más común para los archivos adjuntos es zip (.exe generalmente no está permitido), sin embargo, incluso los archivos de Microsoft Office pueden contener virus, así que estate atento a todo tipo de archivos adjuntos.

3. Siempre revisa el sitio web en el que aterrizaste

Si haces clic en un enlace de phishing (generalmente recibido por correo electrónico o mensajes instantáneos), a menudo te llevará a algún tipo de sitio web. El propósito de estos formularios suele ser el de conseguir tu información más confidencial: nombres de usuario y contraseñas.

Antes de completar cualquier dato, verifica la dirección del sitio web en la barra de direcciones del navegador.

Los estafadores pueden crear un sitio web que se parezca mucho al diseño de la marca respectiva, pero no pueden usar su dominio oficial o tener el nombre de la marca en el dominio (suponiendo que la marca esté protegida por marca registrada). Por lo tanto, a menudo, estos dominios pueden parecerse al nombre de una marca, pero nunca serán el original y tendrán símbolos, letras o palabras adicionales.

Por lo general, los dominios fraudulentos se ven sin sentido y, a veces, el diseño y el flujo también parecen extraños, especialmente si se trata de una marca conocida que a menudo se ve.

Por ejemplo, al iniciar sesión en Gmail, Google nunca te pedirá que selecciones tu proveedor de correo electrónico ni que introduzcas tu correo electrónico y contraseña en la misma pantalla. Por lo tanto, el flujo que verás a menudo en los sitios de phishing está diseñado para parecerse al original, pero no lo es.

4. Ignora solicitudes de dinero

Otro tipo de estafa online que los ingenieros sociales suelen utilizar es crear una identidad falsa y pedir dinero de alguna forma. Por lo general, es una “lotería ganada” o una persona en problemas, pidiendo ayuda y que necesita que le envíes una pequeña cantidad de dinero con la promesa de que obtendrás mucho más a cambio.

Algunas veces estas estafas pueden tomar la forma de extorsión. Uno popular fue un correo electrónico que circuló en los últimos años, declarando que los usuarios habían sido grabados a través de sus propias cámaras web viendo contenido para adultos y se les pedía dinero. En realidad, este ataque de estafa fue tan aterrador que apareció en las noticias ya que la gente estaba aterrorizada. ¡Comprensible!

De cualquier manera, si recibes una solicitud de dinero por parte de extraños, generalmente es una estafa. Nunca des dinero o información financiera sin importar cómo se presente la situación.

¿Qué debes hacer si recibes un correo electrónico de phishing?

Cada vez que recibes un correo electrónico, debes tener mucho cuidado con la dirección de correo electrónico, la URL, su ortografía, etc. Después de revisarlos e identificar que el correo electrónico es en realidad un correo electrónico de phishing, debes seguir todos los pasos a continuación:

  1. No hagas clic en ningún enlace y no abras ningún archivo adjunto ni respondas;
  2. Contacta con el presunto remitente a través del canal oficial para la comunicación;
  3. Informe el correo electrónico a su empresa y proveedor de correo electrónico y organismo gubernamental y la organización que supuestamente envió el correo electrónico;
  4. Marca el remitente como correo no deseado;
  5. Eliminar el correo electrónico y eliminarlo de la papelera de reciclaje/carpeta de elementos eliminados.

¿Cómo denunciar correos electrónicos de phishing?

Como se mencionó anteriormente, debes reportar el correo electrónico de phishing a varias personas / instituciones. Aquí te mostraremos cómo denunciar el correo electrónico tanto al proveedor de correo electrónico como al organismo gubernamental.

Cómo reportar correos electrónicos de phishing a tu proveedor de correo electrónico 

Tomemos como ejemplo las cuentas de Gmail. Junto a la opción “Responder” en Gmail, haz clic en la opción “Más” y selecciona “Informar de phishing”.

Si eres un usuario de Outlook, debes seleccionar el mensaje de correo electrónico de phishing de la lista de mensajes y encima del panel de lectura, seleccione Junk > Phishing > Reportar. 

Otros proveedores de correo electrónico tienen opciones similares y fáciles de usar para denunciar correos electrónicos de phishing.

Cómo reportar a una institución específica, según el país en el que te encuentres.

  • Para los EE. UU., reenvía el correo electrónico de phishing al Grupo de trabajo Anti-Phishing en reportphishing@apwg.org. Y tampoco olvides reportar el ataque de phishing a la FTC (Federal Trade Commission) en ReportFraud.ftc.gov.
  • Para el Reino Unido, reporta el correo electrónico de phishing a Action Fraud, el centro de denuncias de fraude y ciberdelincuencia del Reino Unido.

Pensamientos finales

Ahora que sabes qué es un ataque de phishing, estás mucho mejor preparado para protegerte de él con nuestros sencillos consejos prácticos. Puedes explorar más a fondo nuestro blog en busca de temas similares y leer cómo proteger tu reputación protegiendo tu correo electrónico. 

Posted on

Seguridad incorporada desde el primer día para prevenir ataques al sitio web

La seguridad del sitio web debe estar en la mente de todos los propietarios de sitios. No importa si tu sitio web es grande o pequeño. Si es importante para tu negocio, necesitas mantenerlo seguro. Como propietario de un sitio web, y principalmente propietario de un sitio WordPress, he creado una lista de verificación que reviso cada vez que creo un nuevo sitio web para mí o para un cliente. Me gustaría compartirlo contigo con la esperanza de que puedas aprender algunas ideas nuevas. Veamos lo que se necesita para asegurar un sitio web.

Elegir un servidor web seguro

No hace falta decirlo, pero la seguridad comienza con tu proveedor de hosting web. He usado de todo, desde ‘hágalo usted mismo’ hasta ‘hosting a nivel de conserjería’. El truco está en encontrar el nivel que necesitas y el soporte con el que te sientes cómodo.

Comprueba su soporte

Lo primero que hago cuando considero un nuevo proveedor de hosting web es comprobar su soporte y tiempo de respuesta. Me registro para una prueba gratuita, creo un sitio web y luego hago ping al soporte para hacer una pregunta. La rapidez con la que responden y lo bien que entienden la pregunta me da pistas sobre lo que puedo esperar de ellos si me alojo con ellos.

Comprueba sus características de seguridad

Luego reviso su sitio web y planes de alojamiento para ver qué herramientas de seguridad y características proporcionan. Busco cosas esenciales como un certificado SSL para cifrar y proteger los datos de mi sitio web, privacidad del dominio para ocultar mi información personal de las bases de datos públicas de Whois, verificación en 2 pasos para proteger mi sitio web del acceso no autorizado, copias de seguridad distribuidas geográficamente para tener una seguridad copia de mi sitio web en caso de que algo salga mal.

Otras medidas de seguridad clave que me gustaría que mi proveedor de alojamiento web tuviera implementadas es un firewall de aplicaciones web, un software que se encuentra frente a mi sitio web y lo protege del tráfico malicioso conocido, para mantener mi servidor host a salvo de exploits de software, DDOS y protección contra ataques de fuerza bruta y la opción de actualizaciones automáticas a las últimas versiones de PHP y WordPress para mantener tu sitio web a salvo de malware.

Si el hosting proporciona aún más herramientas de seguridad, sería aún mejor. Por ejemplo, además de todas estas características, disponibles en la plataforma SiteGround, también ofrecen un servicio de Site Scanner desarrollado internamente y un plugin gratuito de SiteGround WordPress Security para asegurarse de que su sitio web sea lo más seguro posible.

Revisa su blog

El paso 3 al seleccionar un proveedor de hosting web es siempre leer las últimas 5 entradas en su blog. 

  • ¿Son recientes?
  • ¿Hablan de seguridad?
  • ¿Te parecen útiles las entradas del blog?

No, no todas las publicaciones del blog van a ser sobre seguridad, pero será mejor que puedas encontrar una reciente. El panorama de la seguridad cambia rápidamente, por lo que deben publicar regularmente.

Comprueba su precio

Inicialmente, reviso sus niveles de precios y averiguo dónde estará mi sitio. El precio es lo último que reviso porque si las dos primeras casillas no están marcadas, el precio no importa. Podrían regalarlo y no lo usaría.

Construye tu sitio web de forma segura desde el principio

Una vez que hayas establecido una base segura para tu sitio web es hora de comenzar a diseñarlo y construirlo. En cada paso, debes asegurarte de que la seguridad esté “integrada” y no “atornillada”.

La seguridad está incorporada cuando lo piensas antes de comenzar a construir tu sitio web.

La seguridad está activada cuando construyes todo tu sitio web y luego decides añadir un plugin centrado en la seguridad para cubrir tus bases.

“Horneada” siempre es mejor.

¿Qué significa seguridad “horneada”?

Instala un certificado SSL tan pronto como configures el sitio web

No esperes hasta que esté listo para implementar tu sitio web antes de recordar instalar tu certificado SSL. En estos días, un sitio web seguro está a solo unos clics de distancia. Tómate el tiempo para hacerlo ahora y luego asegúrate de forzar todo el tráfico a ser https después de instalarlo. Para aquellos usuarios que alojan con SiteGround, su Site Tools facilita la configuración y el cumplimiento de SSL. Solo unos pocos clics y ya está en el negocio. 

Establece una política de contraseña segura antes de empezar a añadir usuarios

Las contraseñas son la cerradura de la puerta principal de tu sitio. Cuando construyas tu sitio, coloca un candado fuerte en la puerta principal requiriendo que todos los usuarios usen contraseñas seguras. Hacer esto antes de permitir que los usuarios comiencen a visitar tu sitio asegurará que ningún usuario configure contraseñas débiles. 

Requiere verificación en dos pasos (2FA) para cualquier usuario que tenga derechos de nivel de administrador en el sistema

La verificación en dos pasos (2FA) es el cerrojo de la oficina interna de tu sitio web. Sí, una contraseña segura es importante para que cualquiera acceda al sitio. Pero para acceder a cosas como información financiera o administración de usuarios, también quieres un cerrojo fuerte. Mantén tu sistema seguro implementando 2FA para todos tus administradores. El plugin SiteGround Security hace que la configuración de 2FA sea muy sencilla.

Configura un sistema de copias de seguridad que regularmente haga copias de todo tu sitio web y las almacene de forma segura

Necesitas un sistema de copia de seguridad de 30 días implementado desde el día 1. No 1 día, no 7 días, 30 días. La razón es que si tu sitio es hackeado, es posible que no lo notes de inmediato. Una vez que lo notes, querrás limpiar tu sitio y una de las mejores formas de hacerlo es restaurar tu sitio desde una copia de seguridad limpia. 

El Site Tools de SiteGround proporciona una herramienta intuitiva para programar copias de seguridad nocturnas y restaurarlas cuando sea necesario.

Mientras hablamos de copias de seguridad, no olvides forzar una copia de seguridad antes de cualquier actualización, rediseño importante del sitio o instalación de un nuevo plugin. Nunca está de más tener una copia de seguridad nueva en caso de que las cosas salgan mal.

Adherirse al principio de privilegio mínimo

Antes de comenzar a permitir que los usuarios entren en tu sistema, piensa en los roles que desempeñarán. Un rol es un conjunto de permisos o privilegios y deseas otorgar a cada usuario el nivel mínimo absoluto de privilegios que necesitan para usar tu sitio.

Hay varios buenos editores de roles para WordPress y te sugiero que instales uno, aprendas a usarlo y luego audites los roles que tienes en tu sitio para asegurarte de que tienen solo los privilegios que necesitan para usar tu sitio.

De forma regular, al menos una vez al año, revisa estos privilegios para asegurarte de que siguen siendo válidos y para asegurarte de que no se haya otorgado un privilegio que no sea necesario para ningún rol.

La mayoría de los usuarios no están intentando hacer cosas malas, pero tenemos que suponer que lo harían si pudieran. Adherirse al principio de privilegio mínimo ayudará a asegurarse de que los malos actores, o los usuarios curiosos, no puedan hacer cosas en tu sitio que se supone que no deben hacer.

Usa solo software de una fuente de confianza

En el desarrollo de software, como en la construcción de una casa, la reputación de tu proveedor es fundamental para el éxito de tu proyecto. Si utilizas un proveedor de tarifas reducidas para los materiales de tu casa, todo el proyecto se verá afectado. Peor aún, te costará más arreglar estos problemas que simplemente comprar buenos materiales para empezar.

Construir tu sitio web con materiales de calidad como plugins y temas de proveedores acreditados generalmente te costará dinero a corto plazo. Sin embargo, saber que tienes empresas respaldando sus productos y actualizándolos cuando surgen problemas vale la pena.

Sí, puedes elegir un plugin o tema gratuito para crear una función crítica de tu sitio web. Sin embargo, ¿qué haces si descubres que hay un fallo de seguridad? Peor aún, ¿qué haces cuando descubres ese defecto y luego descubres que el autor ha abandonado el proyecto? En ese momento tienes 2 opciones, ninguna de las cuales es buena.

  1. Contratar a un desarrollador para arreglar el fallo de seguridad.
  2. Eliminar el plugin, encontrar otro que haga lo mismo, implementarlo y hacer los cambios necesarios en tu proceso.

Ambas pueden ser propuestas costosas que podrían evitarse simplemente eligiendo sabiamente al principio.

SiteGround analizó recientemente los datos de muchos sitios web comprometidos. Lo que encontraron fue que la mayoría de esos sitios web estaban comprometidos porque tenían plugins sin parchear que tenían fallos de seguridad. La mayoría de las veces eran versiones gratuitas de plugins de pago descargados de fuentes no confiables. Descarga solo plugins y temas de sitios de confianza como WordPress.org o proveedores de confianza.

El repositorio de plugins de WordPress es una fuente confiable. WordPress.org ha implementado un proceso de revisión, tanto de software humano como de escaneo, para ayudar a filtrar los plugins que tienen posibles problemas de seguridad o violan la política de WordPress.

Escanea tu sitio con regularidad

Al igual que construyes un sistema de seguridad en tu casa, querrás configurar un escáner de seguridad para tu sitio web tan pronto como lo construyas. Los escáneres de seguridad revisan tu sitio tanto internamente como externamente para asegurarse de que no hay vulnerabilidades conocidas. También revisará tu sitio web en busca de virus. Ningún escáner de seguridad es perfecto, al igual que ningún sistema de seguridad para el hogar es perfecto. Pero tu sitio web es más seguro con uno.

Un buen escáner buscará vulnerabilidades de Cross Site Scripting, entre otras cosas. Estas vulnerabilidades pueden permitir que tu sitio sea utilizado en el ataque de otros sitios o ataques al usuario final.

SiteGround tiene un gran sistema de escaneo disponible. Recibo correos electrónicos regulares diciéndome qué sitios ha escaneado y que están todos limpios o que hay un problema que necesito resolver… de inmediato.

Ten cuidado con las estafas de phishing relacionadas con tu sitio

Una vez que has construido una nueva casa, no le das las llaves a nadie que te las pida, incluso si dice tener una buena razón para querer entrar. Del mismo modo, debes asegurarte de que si recibes un correo electrónico que dice que es de tu sitio, no haces clic automáticamente en el enlace.

Debes saber cada correo que tu sistema es capaz de enviar. Cuando recibes uno que no recuerdas haber configurado, debes investigarlo. No hagas clic, empieza a mirarlo. Comprueba los encabezados, mira la URL exacta a la que van los enlaces. Lo más importante es poner en cuarentena el correo electrónico con tu software de detección de virus.

Los correos desconocidos que pretenden provenir de tu sitio son solo otra forma en que los malos actores intentan ingresar a tu sitio. Estos ataques de phishing provienen de servidores que no están bajo tu control, por lo que no puedes detenerlos. Sin embargo, puedes tener en cuenta que cuando los recibas, los elimines. En casi todos los casos, si no hace clic, el correo electrónico en sí no puede hacer ningún daño.

Herramientas que utilizo habitualmente para crear seguridad en mis sitios

Mantener un sitio web de WordPress seguro no tiene por qué ser un trabajo a tiempo completo si velas por su seguridad desde el principio. Para hacer esto, hay un par de herramientas que uso en casi todos los sitios web de WordPress que tengo.

El plugin de seguridad de SiteGround es el primer plugin que instalo en cualquier sitio web nuevo que pongo en marcha. Lo instalo, instalo un certificado SSL y configuro todo para que sea seguro antes de hacer cualquier otra cosa. Si esta parte está bien hecha, todo lo demás es más fácil. 

El plugin SiteGround Optimizer es una excelente manera de hacer que mi sitio sea más rápido, pero también es donde puedo marcar la casilla de verificación “HTTPS Enforce”. De esta manera, todo el tráfico en mi sitio pasa por HTTPS incluso si no lo era originalmente. Tener un certificado SSL es importante, aplicarlo en todo el tráfico es igualmente importante.

Site Tools de SiteGround tiene muchas opciones excelentes para facilitar la administración de un sitio web. La herramienta que utilizo para configurar las cosas es la herramienta de copia de seguridad. Configurando SiteGround Security y SiteGround Optimizer pongo mis cimientos y creo una copia de seguridad. Esta es mi alternativa en caso de que estropee algo mientras creo mi sitio.

Luego, antes de instalar cada plugin o tema, creo una nueva copia de seguridad. Llamo a estas copias de seguridad “ANTES” + el nombre del plugin o tema. De esta manera puedo retroceder a cualquier punto del proceso.

En conclusión

Si pones una base segura para tu sitio web y luego piensas en la seguridad en todo momento, puedes estar tranquilo por la noche, sabiendo que tu sitio es lo más seguro posible. Ningún sitio web, sin embargo, es a prueba de balas. Por lo tanto, el último paso es crear un plan de recuperación ante desastres. ¿Qué pasos debes seguir cuando tu sitio ha sido hackeado?

El plugin de seguridad de SiteGround tiene una serie de pasos que puedes seguir para esa situación. No es un plan completo de recuperación ante desastres, pero cuando lo combinas con 30 días de copias de seguridad, estás en camino de tener uno.

Posted on

95% menos de tráfico malicioso con la prevención de fuerza bruta mejorada

Hemos estado hablando de ataques de fuerza bruta en el pasado, pero la verdad es que muchos de nuestros clientes ni siquiera se dan cuenta de lo real y común que es la amenaza de estos ataques para cualquiera que tenga un sitio web. Basándonos en nuestra experiencia de alojar millones de dominios, entendemos completamente el potencial destructivo de la fuerza bruta y hemos establecido mecanismos de defensa para prevenir y mitigar dichos intentos dirigidos a los sitios web que alojamos. Durante años, nuestro sistema de prevención de fuerza bruta de IA ha bloqueado con éxito millones de ataques diariamente. Nos complace anunciar ahora que el sistema ha mejorado aún más al aprender constantemente de miles de intentos de fuerza bruta diarios y agregar una nueva funcionalidad para la validación del tráfico, ¡ahora filtra más del 95% de las consultas maliciosas!.

Sistema de IA avanzado/autodidacta que reconoce y bloquea los intentos de fuerza bruta

Analizar el comportamiento del tráfico y reconocer patrones es la característica principal que hace que nuestro sistema de prevención de fuerza bruta de IA sea tan efectivo. Cuando se detecta un comportamiento que coincide con un cierto patrón asociado con la fuerza bruta (como demasiados intentos de inicio de sesión fallidos desde una ubicación no reconocida, por ejemplo), la fuente sospechosa es cuestionada inmediatamente con una página CAPTCHA que solo un humano real puede pasar. Esto detiene efectivamente los intentos de fuerza bruta, se suma al conocimiento del sistema y permite a los usuarios legítimos que han imitado accidentalmente un comportamiento sospechoso llegar a la ubicación solicitada completando el captcha. La belleza de este sistema en constante evolución es que mejora con cada intento de fuerza bruta que detiene, mantiene los sitios bajo ataque seguros y, en última instancia, protege los otros sitios web alojados en nuestros servidores bloqueando el tráfico malicioso antes de que incluso sean su objetivo.

NUEVO: Validación de tráfico que minimiza el número de ataques de fuerza bruta

Recientemente hemos actualizado nuestro sistema para que sea aún más potente. Ahora podemos bloquear de manera más eficiente la gran mayoría de bots no humanos maliciosos, por ejemplo, ataques entrantes de fuerza bruta o agentes de búsqueda de datos que tienen como objetivo perfilar tu sitio y luego hackearlo a través de futuras vulnerabilidades de software. Eso aumentó significativamente la tasa de éxito del sistema y redujo las visitas maliciosas en aproximadamente un 95%.

El mejor ejemplo para ilustrar cómo funciona el sistema es con XML-RPC, un archivo en el directorio raíz de cada instalación de WordPress. Muchos hosts (WordPress) bloquean su uso porque se sabe que es inseguro y bloquearlo es la forma más fácil de evitar hackeos relacionados con XML-RPC. Sin embargo, XML-RPC también tiene muchos casos de uso legítimo para comunicarse con sistemas y software externos. Esa es la razón por la que nunca hemos considerado detener XML-RPC: queremos capacitar a nuestros clientes para que usen las herramientas y servicios que necesitan para obtener lo mejor de sus sitios web. En lugar de bloquearlo, hemos buscado formas de fortalecer su seguridad y disminuir significativamente el potencial de ataques de fuerza bruta. Después de nuestra última actualización del sistema de prevención de fuerza bruta de IA, ahora validamos todo el tráfico que proviene de XML-RPC para detener todas las visitas maliciosas reconocidas y, finalmente, reducir las visitas generales que llegan a los sitios de los clientes a través de XML-RPC en un 99%. Esto significa que filtramos con éxito las posibles fuentes de fuerza bruta antes de intentar un ataque.

Menor consumo de recursos, menor huella de carbono

El impacto de esta actualización en nuestro sistema de prevención de fuerza bruta de IA es enorme. No solo estamos minimizando aún más las posibilidades de que nuestros sitios sean forzados y potencialmente pirateados, sino que también reducimos significativamente el consumo de recursos (como CPU y RAM) generado por el tráfico proveniente de bots y los intentos de fuerza bruta. Un menor consumo de recursos significa efectivamente más recursos disponibles para tus visitantes legítimos y una menor huella de carbono de tu sitio.

Prevenir intentos de fuerza bruta es solo una de las muchas formas en que protegemos constantemente los sitios web que alojamos, junto con nuestro firewall de aplicaciones web inteligente, protección DDoS, monitorización del servidor 24h y muchos más. Creemos que la seguridad es una de las bases para cualquier sitio web exitoso, y continuamente desarrollamos nuevas soluciones de prevención y mitigación, mejoramos las existentes y seguimos agregando nuevas características de seguridad a nuestro alojamiento, para que puedas tener la tranquilidad de que tu sitio web está en buenas manos y concentrarte en lo que es importante: tu negocio.