Antes de lanzar un sitio web, muchas empresas se centran en el diseño visual y la integridad del contenido, dejando la seguridad en un segundo plano. Sin embargo, una vez en línea, el sitio estará expuesto continuamente al entorno público de Internet. Si la configuración de seguridad básica no es adecuada, el mantenimiento posterior se volverá reactivo y problemático. Aquí presentamos una lista de verificación de seguridad básica adecuada para sitios web empresariales, organizada en tres fases: preparación, ejecución y revisión.
1. Fase de preparación: inventario de activos y permisos
Antes de comenzar, identifique todos los puntos de acceso y cuentas del sitio. Esto incluye el panel de administración, el panel de control del servidor, herramientas de gestión de bases de datos, acceso FTP o SSH, etc. Elabore una tabla con la dirección, método de inicio de sesión y permisos actuales de cada punto de acceso para facilitar la revisión.
En cuanto a los permisos de cuenta, distinga roles como administrador, editor y cargador de archivos, asignando solo los permisos necesarios a cada puesto. Por ejemplo, un editor normal no necesita acceso de administración del servidor, y el personal de atención al cliente no requiere permisos de operación de la base de datos. Si empleados anteriores o personal externo han tenido acceso al sistema, elimine o restablezca sus cuentas antes del lanzamiento.
2. Fase de ejecución: revisión de elementos clave de seguridad
1. Dirección del panel de administración y protección de inicio de sesión
No utilice rutas predeterminadas para el acceso al panel de administración (como /admin); cámbielas a una ruta difícil de adivinar. Además, verifique si el código de verificación o la autenticación de dos factores están habilitados para prevenir ataques de fuerza bruta. Si el sistema lo permite, limite el número de intentos de inicio de sesión fallidos y bloquee temporalmente la IP después de exceder el límite.
2. Carga de archivos y permisos de directorio
Verifique que el directorio de carga no permita la ejecución de scripts. Por ejemplo, el directorio para subir imágenes debe ser de solo lectura y no poder ejecutar PHP o ASP. Si el sitio tiene funciones de gestión de archivos, confirme que los usuarios normales no puedan acceder a archivos de configuración del sistema.
3. Base de datos y estrategia de copias de seguridad
No utilice 'root' o 'admin' como nombre de usuario de la base de datos; la contraseña debe ser lo suficientemente compleja. Además, confirme el plan de copias de seguridad: ¿está configurada la copia de seguridad automática? ¿Se almacenan los archivos de respaldo fuera del directorio del sitio? Se recomienda conservar al menos los últimos 7 días de copias y probar periódicamente el proceso de restauración.
4. Detección de vulnerabilidades comunes
Revise si el sitio utiliza complementos o componentes con vulnerabilidades conocidas, especialmente en CMS de código abierto (como WordPress, DedeCMS, etc.). Actualice a la última versión y elimine complementos y temas no utilizados. Además, verifique la presencia de vulnerabilidades de inyección SQL y XSS probando formularios con caracteres especiales, pero tenga cuidado de no afectar los datos reales.
5. HTTPS y protección de información sensible
Asegúrese de que el sitio tenga habilitado HTTPS, especialmente en las páginas de inicio de sesión y pago. Verifique que el acceso al panel de administración fuerce el uso de HTTPS para evitar la transmisión de contraseñas en texto plano. También revise el código fuente para detectar si se exponen datos de conexión a la base de datos, claves API u otra información sensible.
3. Fase de revisión: confirmar la efectividad de las comprobaciones y las copias de seguridad
Después de completar las verificaciones, realice pruebas prácticas. Por ejemplo, inicie sesión con una cuenta no administradora para confirmar que solo se ven las funciones dentro de sus permisos; intente acceder a la dirección del panel de administración para confirmar que está bloqueada o requiere verificación. Además, ejecute manualmente un simulacro de restauración de copia de seguridad para asegurarse de que los archivos de respaldo sean utilizables y los pasos de restauración sean claros.
La seguridad no es un trabajo de una sola vez; después del lanzamiento, se deben realizar revisiones periódicas. Se recomienda revisar los permisos de cuenta y el estado de las copias de seguridad cada trimestre, y después de cada actualización del sitio, volver a verificar los permisos de archivos y las vulnerabilidades. Si el sitio maneja datos de usuarios o transacciones, la inversión en seguridad debe ser mayor; en caso necesario, contrate a un equipo de seguridad profesional para realizar pruebas de penetración.
La lista anterior es adecuada para la mayoría de los sitios web corporativos de tipo informativo. Si el sitio implica transacciones en línea o recopila información privada de usuarios, también debe considerar requisitos más estrictos como el cumplimiento de la normativa de protección de datos (por ejemplo, la Ley de Ciberseguridad de China), lo cual debe consultarse con proveedores de servicios profesionales según la situación real.
