04
Seguridad de una tienda online: qué revisar
Los problemas de seguridad de una tienda pequeña no suelen parecerse a un ataque de película. Muchas veces es algo más corriente: alguien envía correos en nombre de la tienda, una extensión abandonada deja una puerta abierta o un script que nadie recuerda se carga en la página de pago. Esto es lo que conviene revisar, y casi todo se puede comprobar sin modificar nada.
El correo de tu dominio
Si tu dominio no publica un registro DMARC, es más fácil que un tercero envíe correos que parecen salir de tu tienda: confirmaciones de pedido falsas, avisos de cambio de cuenta bancaria, facturas. Tu cliente lo tiene difícil para distinguirlos.
Cómo comprobarlo: busca tu dominio en cualquier herramienta pública de consulta de DMARC. Si no aparece ningún registro, o aparece con «p=none», el dominio solo vigila: no rechaza los correos falsificados. Se arregla en el DNS, sin tocar la web, y se hace por pasos. Antes hay que tener bien configurados SPF y DKIM, incluidos los servicios que envían correo en tu nombre, o tus propios correos pueden acabar en spam.
Los scripts de terceros
Con los años una tienda acumula scripts: chats, píxeles de publicidad, mapas de calor, aplicaciones que se desinstalaron pero dejaron su código. Cada uno se ejecuta con los mismos permisos que tu propia web.
Si alguno se carga en la página de pago, puede leer lo que se escribe en los campos de esa misma página; los campos de tarjeta que aloja el proveedor de pago en un iframe quedan fuera de su alcance. Conviene saber qué se carga en cada página, quién lo añadió y si sigue haciendo falta. Quitar lo que sobra suele hacer, además, que la tienda cargue antes.
Los accesos al panel
Revisa quién tiene usuario de administrador y si todos siguen haciendo falta: antiguos empleados, agencias, desarrolladores que ya no trabajan contigo. Cada usuario que sobra es una contraseña más que puede filtrarse.
Si tu plataforma lo permite, activa el segundo factor para entrar al panel. Es una de las medidas que menos esfuerzo piden.
Extensiones y versiones
En WooCommerce y PrestaShop buena parte del código lo ponen los plugins y los módulos. Uno que su autor ha abandonado deja de recibir correcciones. Revisa qué tienes instalado, qué está desactivado pero sigue en el servidor y qué lleva tiempo sin actualizarse.
En Shopify y otras plataformas alojadas por el proveedor, el núcleo lo mantiene el proveedor. Lo que te toca a ti es lo que añades encima: aplicaciones, tema y scripts.
Copias y vuelta atrás
Antes de cambiar nada, comprueba que tienes una copia reciente, que está fuera del mismo servidor y que sabes restaurarla. Una copia que nunca se ha probado no sirve de mucho el día que hace falta.
Qué no es esta lista
Es lo que se ve desde fuera y desde el panel. No sustituye a una revisión de seguridad, que se hace con el alcance y el permiso del comerciante por escrito y, si la plataforma es de un proveedor, con su autorización.