Algunos sitios nos llegan en buen estado y solo quieren un hogar mejor. Este no. Un pequeño proveedor de cuidado en casa nos pidió que nos hiciéramos cargo de su sitio web — nada dramático, solo “¿pueden alojarlo y echarle un ojo?”. Cuando miramos por dentro, la respuesta honesta fue que necesitaba más que un hogar nuevo. Necesitaba un rescate.
Esta es la historia de cómo lo recuperamos, contada con los detalles que importan y ninguno que identifique al cliente.
El pedido: “solo tráiganlo a casa”
La solicitud era modesta. El sitio llevaba años en una cuenta de hosting de la que nadie se ocupaba de verdad: se montó una vez y se dejó solo. Todavía cargaba, casi siempre, así que desde fuera todo parecía bien. El dueño no estaba preocupado — simplemente quería que el sitio web viviera en algún lugar donde lo cuidaran en lugar de olvidarlo.
Esa es la trampa de un sitio descuidado. Sigue funcionando justo hasta el día en que deja de hacerlo, y “todavía carga” esconde mucho. Así que antes de mudar nada, hicimos lo que hacemos con cada sitio que se une: lo abrimos y lo miramos de verdad.
Lo que encontramos
La revisión mostró exactamente el panorama que esperaría de un sitio en piloto automático — un montón de riesgos pequeños que sumados son uno grande:
- Todo desactualizado. WordPress, los plugins (herramientas que amplían las funciones) y el tema estaban todos atrasados, algunos por mucho — cada actualización que faltaba era una entrada documentada públicamente.
- Licencias premium vencidas. Los plugins de pago y un tema premium habían dejado de recibir actualizaciones de seguridad sin que nadie lo notara cuando vencieron sus licencias. Seguían funcionando; simplemente ya no recibían arreglos de seguridad.
- Ninguna copia de seguridad digna de ese nombre. No había una copia de seguridad externa y confiable — nada que de verdad quisiera restaurar si el sitio se caía o lo atacaban.
- La puerta principal entreabierta. Los atacantes podían averiguar fácilmente los nombres de usuario del sitio, los puntos débiles habituales que tantean estaban expuestos y la carpeta de archivos subidos podía ejecutar código — justo las condiciones que buscan todo el día los atacantes automáticos.
- Correos que terminaban en spam. No había ninguna autenticación de correo configurada, así que los mensajes que enviaba el sitio solían no llegar nunca.
- Lento y pesado. Imágenes a tamaño completo y sin optimizar y una configuración de base de datos anticuada hacían que el sitio se arrastrara sin ninguna buena razón.
Nada de esto era culpa del dueño. Es simplemente lo que pasa cuando un sitio web no tiene a nadie cuyo trabajo sea cuidarlo. El sitio no había sufrido un hackeo dramático — pero estaba a la vista de todos con las luces apagadas, y normalmente eso es solo cuestión de tiempo.
Lo que hicimos
Lo tratamos como una toma de control de verdad, no como copiar y pegar. La secuencia fue así.
Lo trajimos a casa limpio
Armamos una copia nueva y limpia en nuestra plataforma administrada y restauramos el sitio en ella — verificado que funcionaba, no solo transferido — para que lo que saliera en vivo fuera una versión sana, no la descuidada con sus problemas a cuestas. La mudanza en sí fue sin tiempo fuera de línea; los visitantes no notaron nada.
Lo reforzamos
Después cerramos cada puerta que habíamos encontrado abierta. Pusimos delante del sitio varias capas de firewall, más una lista de atacantes conocidos que se actualiza constantemente, para frenar el tráfico malicioso antes de que llegue. Bloqueamos los inicios de sesión que usan contraseñas filtradas en robos de datos, cerramos las formas en que los atacantes buscan nombres de usuario y puntos débiles, bloqueamos la carpeta de archivos subidos para que no pueda ejecutar código e hicimos un análisis y una limpieza completos de malware — y después pusimos el sitio detrás de una red mundial rápida, con los bots de IA que copian contenido bloqueados. Es el mismo enfoque por capas que usaríamos en un sitio que sí hubiera sido hackeado — algo que, si alguna vez le pasa, explicamos en cómo arreglar un sitio WordPress hackeado.
Arreglamos lo que estaba roto
Volvimos a conectar las licencias de los plugins de pago y del tema premium para que reciban de nuevo arreglos de seguridad, pusimos al día del todo WordPress y todo lo demás, quitamos los plugins que no hacían nada más que sumar riesgo y configuramos el correo del sitio para que sea confiable y ahora llegue a la bandeja de entrada.
Lo hicimos más rápido
Convertimos las imágenes a formatos modernos y más ligeros, configuramos el sitio para que tenga copias ya preparadas de sus páginas y así carguen más rápido, hicimos más sólida la base de datos del sitio y configuramos el candado HTTPS para que se renueve solo y nunca pueda vencer. En el proceso, el sitio se volvió notablemente más ligero y más ágil.
Le pusimos una red de seguridad debajo
Por último, lo que el sitio nunca había tenido: copias de seguridad de verdad, en el propio servidor y en copias externas bloqueadas durante 90 días contra cambios o borrados, para que el ransomware no pueda secuestrar el sitio — y vigiladas, para enterarnos si alguna fallara. Ese es el estándar que exigimos para cada sitio — el razonamiento está en nuestra guía de buenas prácticas para las copias de seguridad de WordPress. También pusimos revisiones de día y de noche de que el sitio está en línea, así que si alguna vez deja de responder, nos enteramos nosotros primero.
Lo que ha pasado desde entonces
El cambio visible es casi aburrido, y de eso se trata. El sitio carga más rápido, sus correos llegan y el dueño no piensa en él — que es exactamente lo que quería.
El cambio invisible es el que más importa. Desde que el sitio pasó a nuestro cuidado, ha habido un flujo constante de tráfico malicioso dirigido a él — intentos de adivinar contraseñas, búsquedas automáticas de puntos débiles, bots buscando justo las aberturas que cerramos — y se frena en primera línea, sin ruido, antes de llegar al sitio. El dueño nunca lo ve. No recibe la llamada de las 2 de la mañana de “su sitio está caído”, porque los ataques que antes tenían el camino libre ahora chocan contra una pared. Cada actualización desde entonces se ha verificado para asegurarnos de que el sitio se siga viendo y funcionando bien, así que mantenerse al día no le ha costado ni una sola caída.
La moraleja de la historia
“Solo alójenlo” se convirtió en un rescate completo, y el cliente no pagó nada extra por él — porque ese rescate es nuestra incorporación. Cada sitio que se une recibe el mismo trato: mudado, reforzado, arreglado, acelerado, con copia de seguridad y vigilado. Casi todo pasa sin ruido la primera semana, y el resto simplemente sigue funcionando.
Si su sitio web lleva tiempo en algún lugar, cargando bien, sin que nadie en particular lo cuide — esa es la situación para la que estamos hechos. Eche un vistazo a nuestros planes administrados de WordPress y WooCommerce, y déjenos traer el suyo a casa.