Hay una idea muy instalada y bastante equivocada: que el malware es un problema de las computadoras, no de los sitios web. Que si tu notebook tiene antivirus, ya está. La realidad es que los sitios web se infectan constantemente, y en la mayoría de los casos el dueño se entera tarde, cuando Google ya puso el cartel rojo de "este sitio puede dañar tu equipo" o cuando el hosting le suspendió la cuenta por enviar correo no deseado.
Por eso importa que el alojamiento traiga análisis de malware incluido. Vamos a ver qué hace exactamente, qué no puede hacer, y cómo usarlo bien.
Cómo se infecta un sitio web
Casi nunca es un ataque dirigido contra vos. Eso es lo primero que hay que entender, porque cambia por completo la forma de protegerse.
Lo que hay dando vueltas son programas automáticos que recorren internet probando millones de sitios por día en busca de una debilidad conocida. No les importa si sos una panadería de barrio o un banco. Buscan una versión vieja de un plugin, un tema descargado de una página pirata, una contraseña débil o un permiso de archivo mal puesto. Cuando encuentran una, entran y dejan su código.
Las vías de entrada más comunes, por frecuencia real:
- Plugins y temas desactualizados. Es la número uno por amplio margen. Se publica una vulnerabilidad, y a las pocas horas ya hay robots buscando sitios que todavía no actualizaron.
- Temas y plugins "nulled". Versiones pagas descargadas gratis de sitios turbios. Vienen con regalo adentro, siempre.
- Contraseñas débiles o reutilizadas. Ataques de fuerza bruta contra el panel de administración.
- La computadora del propio dueño infectada. Un ladrón de contraseñas roba las credenciales de FTP guardadas en el programa que usás para subir archivos.
Qué hace el análisis de malware del servidor
El antivirus que corre del lado del hosting revisa los archivos de tu cuenta buscando patrones conocidos de código malicioso: puertas traseras, redirecciones ocultas, inyecciones de enlaces de publicidad, envío de correo no deseado.
Trabaja en dos momentos. Por un lado hace análisis programados de toda la cuenta. Por otro, revisa los archivos cuando se suben o se modifican, que es cuando más chances hay de detectar algo apenas entra.
Cuando encuentra algo, te lo reporta indicando el archivo exacto y qué tipo de amenaza detectó. Según la configuración, puede además ponerlo en cuarentena, que es sacarlo de circulación sin borrarlo, para que el sitio deje de hacer daño mientras vos decidís qué hacer.
Ese listado con rutas concretas es la parte más valiosa. Sin él, buscar código malicioso en una instalación de WordPress con veinte plugins es buscar una aguja en un pajar de treinta mil archivos.
Qué NO puede hacer, y conviene saberlo
Acá es donde muchas explicaciones se quedan cortas, y es justo la parte que te evita una falsa sensación de seguridad.
No tapa el agujero por el que entraron. Esto es lo más importante de todo el artículo. El antivirus limpia el síntoma; la causa sigue ahí. Si te infectaron por un plugin viejo y vos solo borrás los archivos infectados sin actualizar ese plugin, te vuelven a infectar en cuestión de días. Lo he visto repetirse tres veces con el mismo sitio.
No detecta el cien por ciento. Ningún antivirus lo hace, ni el de tu computadora tampoco. El código malicioso bien ofuscado puede pasar desapercibido, sobre todo si es nuevo.
No revisa la base de datos con la misma profundidad. Buena parte de las infecciones modernas de WordPress viven en la base de datos, no en los archivos: enlaces inyectados en las entradas, usuarios administradores creados de contrabando, redirecciones metidas en las opciones del sitio.
No arregla tu contraseña. Si la vía de entrada fue una credencial robada, el problema se resuelve cambiando contraseñas, no escaneando archivos.
La combinación que realmente te salva: antivirus más copias de respaldo
Acá está el punto central. El análisis de malware por sí solo te dice que tenés un problema. Las copias de respaldo te lo resuelven.
El procedimiento cuando aparece una infección, en orden:
1. Poné el sitio fuera de circulación mientras trabajás, si podés. Un sitio infectado y visible acumula penalizaciones en los buscadores cada hora que pasa.
2. Mirá el reporte del antivirus y anotá qué archivos aparecen y de qué fecha son. Esa fecha te dice cuándo entraron, que es el dato que necesitás para el paso siguiente.
3. Restaurá una copia anterior a esa fecha. Es infinitamente más rápido y más confiable que limpiar archivo por archivo. Nunca vas a estar seguro de haber encontrado todas las puertas traseras a mano; una restauración completa sí te da esa certeza.
4. Recién ahora, cerrá el agujero. Actualizá el núcleo, todos los plugins y el tema. Eliminá los que no usás, que son superficie de ataque gratis. Cambiá todas las contraseñas: panel, administrador del sitio, base de datos y FTP.
5. Volvé a escanear para confirmar que quedó limpio, y revisá la lista de usuarios administradores por si quedó alguno que vos no creaste.
Sin copias de respaldo, ese proceso de cinco pasos se convierte en días de limpieza manual con resultado incierto. Con copias, es una tarde. Por eso las dos herramientas se evalúan juntas y no por separado.
Las otras capas que vienen incluidas
El antivirus es una pieza de un conjunto más grande, y vale la pena entender qué hace cada parte.
La protección contra ataques de denegación de servicio filtra las avalanchas de tráfico artificial que buscan tumbar el servidor. Es una defensa de infraestructura, invisible mientras funciona.
Los certificados de seguridad cifran la conexión entre el visitante y el sitio. No evitan una infección, pero evitan que alguien intercepte las contraseñas en el camino.
Las copias automáticas son la red debajo del trapecio.
Ninguna de las cuatro reemplaza a las otras. Un sitio con certificado pero sin copias está tan expuesto como uno con copias pero sin actualizar.
Lo que tenés que hacer vos igual
Ningún hosting te puede proteger de vos mismo. La lista es corta y aburrida, y es la que evita el noventa por ciento de los incidentes.
Actualizá el núcleo, los plugins y el tema, y hacelo seguido. Borrá todo lo que instalaste para probar y nunca usaste. No instales nunca software pirateado. Usá contraseñas largas y distintas para cada servicio, con un gestor de contraseñas si hace falta. Revisá periódicamente la lista de usuarios con permisos de administrador. Y comprobá cada tanto que las copias de respaldo se están haciendo de verdad y que sabés cómo restaurarlas: una copia que nunca probaste no es una copia, es una suposición.
Un alojamiento con análisis de malware, protección contra ataques y copias automáticas incluidas te cubre la parte que no podés hacer desde tu casa. El resto es disciplina, y no hay proveedor que la venda.