Si alguna vez instalaste un plugin de seguridad y viste el registro de intentos de acceso fallidos, probablemente te llevaste un susto: cientos o miles de intentos de entrar a tu panel, desde direcciones de medio mundo, en sitios que no conoce nadie. La primera reacción suele ser pensar que alguien la tiene con vos. La realidad es más aburrida y más tranquilizadora: no te eligieron a vos, hay robots barriendo internet entera y tu sitio simplemente estaba en la lista.
Qué es un ataque de fuerza bruta
Es el método más primitivo que existe: probar combinaciones de usuario y contraseña una tras otra hasta acertar. No hay astucia, hay volumen. Un programa automatizado puede intentar miles de combinaciones por hora, empezando siempre por lo más probable: el usuario "admin" con contraseñas como 123456, la palabra "password", o el nombre del dominio.
Existe una variante más inteligente y más difícil de detectar: en lugar de probar mil contraseñas contra un usuario, prueba una sola contraseña muy común contra mil sitios distintos. Como cada sitio ve un único intento fallido, ninguna alarma se dispara, y sin embargo la estadística juega a favor del atacante.
Por qué te afecta aunque nunca logren entrar
Este es el punto que mucha gente pasa por alto. Aunque tu contraseña sea inexpugnable, cada intento de acceso consume recursos reales de tu servidor: carga el sistema, consulta la base de datos, procesa la validación. Mil intentos por hora equivalen a mil visitas fantasma que no compran nada y que sí compiten con tus visitantes reales por el mismo procesador.
En hosting compartido eso tiene una consecuencia muy concreta: si tu cuenta se pasa del límite de recursos por culpa de un ataque, el que sufre las consecuencias sos vos. Tu sitio se pone lento, empieza a dar errores de servicio no disponible, y en casos extremos el proveedor te suspende procesos. El atacante no entró, pero igual te hizo daño.
Las siete medidas que realmente sirven
1. Eliminá el usuario "admin". Es la mitad del trabajo del atacante resuelta de antemano. Creá un usuario administrador nuevo con un nombre que nadie adivinaría, iniciá sesión con él y borrá el viejo, reasignando su contenido. Tampoco uses tu nombre público como usuario: en muchos sistemas el nombre de autor aparece en la dirección de las entradas, así que lo estarías publicando.
2. Contraseñas largas antes que complicadas. Una contraseña de veinte caracteres formada por cuatro palabras al azar es muchísimo más difícil de romper que ocho caracteres con símbolos raros, y además la podés recordar. Lo importante es la longitud y que sea única: reutilizar la contraseña del correo en el panel del hosting es la forma más común de que un problema ajeno se convierta en tuyo.
3. Verificación en dos pasos. Es, con diferencia, la medida de mayor impacto por menor esfuerzo. Con ella activada, la contraseña deja de ser suficiente: aunque la adivinen, no entran. Actívala en el panel del hosting, en el gestor del sitio y en el correo asociado, que suele ser la puerta de atrás olvidada.
4. Limitar los intentos de acceso. Tres o cinco intentos fallidos y la dirección queda bloqueada por un rato. Esto convierte un ataque de miles de intentos por hora en uno de cinco, lo cual lo vuelve inútil en la práctica. Es la medida que más recursos ahorra.
5. Cambiar la dirección del panel. Si tu formulario de acceso no está donde todos los robots buscan por defecto, la mayoría ni siquiera te encuentra. No es una defensa real contra alguien decidido, pero elimina de un plumazo el noventa y pico por ciento del ruido automatizado.
6. Proteger el acceso desde el servidor. Agregar una capa de contraseña a nivel de servidor sobre la carpeta de administración hace que los intentos ni siquiera lleguen a ejecutar código. Es la medida más eficiente en términos de recursos, porque el ataque se frena antes de empezar. Se configura desde el panel de hosting en pocos minutos.
7. Mantener todo actualizado. Muchos ataques que parecen de fuerza bruta en realidad aprovechan una falla conocida de un plugin desactualizado. Las actualizaciones no son una molestia: son el parche de la puerta que alguien ya sabe cómo abrir.
Qué hacer si sospechás que ya entraron
Las señales típicas son usuarios administradores que vos no creaste, entradas o páginas que aparecen solas, redirecciones raras que solo se ven desde el celular o desde los resultados de búsqueda, correos rebotados de mensajes que nunca enviaste, y avisos de tu proveedor por consumo anormal de recursos.
Si ves algo de eso, el orden importa. Primero cambiá todas las contraseñas: panel del hosting, gestor del sitio, base de datos, FTP y correo. Segundo, revisá y eliminá los usuarios administradores que no reconozcas. Tercero, pasá un escaneo de malware completo. Cuarto, y solo entonces, restaurá una copia de seguridad anterior a la fecha del problema. Y quinto, el paso que casi todos saltean: averiguá por dónde entraron, porque si restaurás sin cerrar el agujero, vuelven en cuestión de días.
Lo que no conviene hacer
No te obsesiones con bloquear países enteros: es tosco, bloquea visitantes legítimos y los atacantes cambian de origen sin esfuerzo. No acumules cinco plugins de seguridad: se pisan entre ellos, consumen recursos y te dan una falsa sensación de protección. Y no confundas ocultar con proteger: cambiar la dirección del panel reduce ruido, pero si tu contraseña es débil, la seguridad real sigue siendo cero.
El rol del hosting en todo esto
Buena parte de esta batalla se pelea antes de que la petición llegue a tu sitio. Un hosting con protección contra ataques de denegación de servicio filtra el tráfico malicioso en la red, antes de tocar tu cuenta. Un antimalware a nivel de servidor detecta archivos infectados aunque vos no revises nunca. Y copias de seguridad diarias en hardware separado convierten el peor escenario en un rato de trabajo en vez de una pérdida total.
Por eso recomiendo BanaHosting: incluye protección DDoS, escaneo antimalware y copias diarias con JetBackup guardadas en hardware separado del servidor principal, más cPanel para configurar la protección por contraseña de carpetas en dos clics. El soporte 24/7 por chat, ticket y teléfono responde en menos de 10 minutos, que es exactamente lo que necesitás cuando descubrís un problema de seguridad un domingo a la noche. Con 19 años en el rubro y más de 100.000 sitios alojados, ya vieron todo esto miles de veces. Los planes arrancan en 4,95 dólares al mes con 30 días de garantía.