Copia de seguridad web: cómo proteger bien su sitio, su base de datos y su correo
Planifique bien la copia de seguridad de su web: regla 3-2-1, qué guardar, con qué frecuencia, dónde dejar la copia externa y cómo probar la restauración.
Una buena copia de seguridad web abarca archivos, base de datos, correo y registros DNS, se ejecuta automáticamente al menos una vez al día, conserva varias versiones y tiene al menos una copia fuera de su cuenta de hosting. Y solo vale tanto como la última restauración que funcionó: pruébela con regularidad. Las copias de su proveedor de hosting son una buena base, pero no sustituyen a una estrategia propia. Aquí verá cómo crearla paso a paso.
La regla 3-2-1, explicada de forma sencilla
La Oficina Federal de Ciberseguridad (NCSC) de Suiza recomienda el método 3-2-1 como base de una copia de seguridad fiable. Para un sitio web, significa:
- 3 copias: el original en el servidor web y dos copias de seguridad.
- 2 soportes o sistemas distintos: por ejemplo, el sistema de copias del proveedor de hosting y un soporte propio.
- 1 copia en otro lugar: fuera de la cuenta de hosting, por ejemplo en un NAS en la oficina, un disco duro externo o un almacenamiento en la nube aparte.
Algunos especialistas amplían la regla a 3-2-1-1-0: una copia adicional sin conexión o inmutable, y cero errores al verificar la restauración. Es un buen objetivo para pymes y asociaciones, pero ya la regla 3-2-1 básica protege frente a los fallos más habituales.
¿Qué debe incluir una copia de seguridad web?
Muchos guardan solo los archivos y olvidan la base de datos, o al revés. Sin ambos, un sitio dinámico no se puede restaurar.
| Componente | Qué exactamente | Cómo guardarlo |
|---|---|---|
| Archivos | Archivos del CMS, temas, plugins, imágenes y documentos subidos, .htaccess, archivos de configuración | Copia del servidor, descarga por SFTP, plugin |
| Base de datos | Contenidos, usuarios, pedidos, ajustes (MySQL/MariaDB) | Copia del servidor, exportación con phpMyAdmin, plugin |
| Correo | Buzones, carpetas, filtros, reenvíos | Copia del servidor o copia por IMAP |
| Zona DNS | Registros A, MX y TXT, incluidos SPF, DKIM y DMARC | Exportar la zona o documentar los registros |
| Accesos y ajustes | Versión de PHP, tareas cron, redirecciones, datos de acceso a servicios externos | Documentación en un gestor de contraseñas |
Consejo: Por lo general no hace falta guardar los certificados SSL: los gratuitos se emiten de nuevo automáticamente tras una restauración. Si ha comprado un certificado, guarde la clave privada y el certificado en un lugar seguro.
¿Con qué frecuencia guardar y cuánto tiempo conservar?
La frecuencia depende de cuántos datos puede permitirse perder en el peor caso. La conservación, de lo tarde que podría notar un problema. El código malicioso en un sitio web pasa a menudo inadvertido durante semanas; entonces solo sirven las copias anteriores al ataque.
| Tipo de sitio | Frecuencia | Conservación recomendada |
|---|---|---|
| Sitio de presentación, pocas veces modificado | semanal y antes de cada cambio | varias semanas, más estados mensuales |
| Sitio de empresa o blog con WordPress | diaria | estados diarios durante 1–2 semanas, más semanales y mensuales |
| Tienda online | diaria, base de datos varias veces al día | como arriba, más estados mensuales durante varios meses |
| Buzones de correo | diaria | al menos tanto como las copias del sitio |
Una copia de seguridad no es un archivo histórico: si debe conservar documentos comerciales como facturas (el Código de Obligaciones suizo prevé en general diez años para los libros contables y los justificantes), estos van en una solución de archivo aparte. Los datos personales de las copias están además sujetos a la ley de protección de datos. Esta es información general y no asesoramiento jurídico.
La copia externa: fuera del hosting y sin conexión
Si todas las copias están en el mismo proveedor, también desaparecen si la cuenta se bloquea, se cancela o se ve comprometida. Así crea una copia independiente:
- Descargue con regularidad una copia completa desde el panel de control, por ejemplo una vez al mes y antes de cambios importantes.
- Guárdela en un NAS, un disco duro externo o un almacenamiento en la nube aparte, no en el proveedor de hosting del sitio.
- Cifre el archivo, porque contiene contraseñas, datos de clientes y correos.
- Desconecte los soportes externos del ordenador tras la copia, como recomienda el NCSC. Así el ransomware no puede cifrar también la copia.
- Para el almacenamiento en la nube, use datos de acceso propios con autenticación de dos factores.
No tiene que descargarla a mano: en cPanel también puede indicar como destino de la copia completa un servidor remoto por FTP o SCP. Si tiene su propio servidor o un NAS con SSH, la copia puede enviarse allí con regularidad. Compruebe después que los archivos llegan de verdad y están completos; de lo contrario, una tarea de copia que falla en silencio desde hace meses solo se detecta en una emergencia.
Copias de seguridad en cPanel y JetBackup
Con un hosting cPanel suele haber dos caminos. La función de copia de seguridad de cPanel crea una copia completa de la cuenta como archivo comprimido para descargar, además de copias parciales del directorio personal, de bases de datos concretas y de los reenvíos y filtros de correo. Una copia completa de la cuenta no se puede restaurar usted mismo en cPanel: hace falta el proveedor. Las copias parciales, en cambio, sí puede restaurarlas usted.
Muchos proveedores usan además JetBackup. Allí ve las copias automáticas por fecha y restaura de forma selectiva archivos, bases de datos, buzones, zonas DNS o tareas cron concretas, sin devolver toda la cuenta a un estado anterior. Qué elementos y cuántos días están disponibles lo decide el proveedor: compruébelo en su cuenta.
WordPress: ¿plugin o copia del servidor?
Para WordPress hay muchos plugins de copias de seguridad que guardan archivos y base de datos y suben los archivos automáticamente a un almacenamiento en la nube. Es cómodo, pero tiene límites, porque el plugin se ejecuta dentro del mismo sitio que debe proteger.
| Criterio | Plugin de copias | Copia del servidor |
|---|---|---|
| Funciona con independencia de WordPress | no | sí |
| Guarda correo y DNS | no | normalmente sí (correo), DNS según el proveedor |
| Destino fuera del hosting | sencillo (nube, SFTP) | normalmente en el proveedor, descarga posible |
| Carga sobre el sitio | se ejecuta en la misma cuenta | se ejecuta en segundo plano a nivel de servidor |
| Restaurar un sitio hackeado | dudoso si WordPress está afectado | posible con independencia del CMS |
La mejor solución es combinar ambas: la copia del servidor del proveedor cubre la copia diaria, y un plugin o una descarga manual periódica deja una copia fuera del hosting. Antes de cada actualización de WordPress, del tema o de los plugins, haga además una copia manual.
Ransomware y sitios hackeados
El ransomware cifra los datos y exige un rescate; en los sitios web son más frecuentes el código malicioso inyectado y los contenidos borrados. En ambos casos:
- Al menos una copia debe quedar fuera del alcance de los atacantes: sin conexión o con datos de acceso separados.
- Conserve estados más antiguos, porque a menudo no está claro cuándo fue el ataque.
- Tras un ataque, no se limite a restaurar: cierre primero la brecha (actualizaciones, cambio de contraseñas); si no, el sitio volverá a infectarse pronto.
- Notifique los incidentes al NCSC, donde también encontrará orientación sobre cómo actuar.
Probar la restauración
El NCSC aconseja practicar la restauración de copias antes de depender de ellas en una emergencia. Así se hace:
- Elija una copia y restáurela en un entorno de pruebas, por ejemplo un subdominio como test.su-empresa.ch.
- Revise la página de inicio, las subpáginas, las imágenes, los formularios, el inicio de sesión y, en tiendas, el proceso de compra.
- Compruebe que la base de datos corresponde a los archivos (mismo momento).
- Mida cuánto tarda la restauración y anote los pasos.
- Después, borre el entorno de pruebas o protéjalo con contraseña.
Consejo: Una prueba cada seis meses es un buen ritmo para sitios pequeños. Pruebe también tras cada cambio de proveedor, de herramienta de copias o de plugin.
Lista de comprobación para la copia de seguridad de su web
- Archivos, base de datos, correo y zona DNS están cubiertos.
- Automática al menos a diario, más manual antes de las actualizaciones.
- Varias versiones a lo largo de semanas y meses.
- Al menos una copia cifrada fuera de la cuenta de hosting, una de ellas sin conexión.
- Restauración probada y documentada.
En HostOn, el hosting web y el hosting WordPress incluyen copias de seguridad diarias con JetBackup de archivos, bases de datos y correo, que usted restaura en cPanel sin coste. La copia fuera del hosting sigue siendo tarea suya: descargue una copia con regularidad.
Ver hosting web con copias de seguridad
Preguntas frecuentes sobre el tema
Al menos con la misma frecuencia con la que cambia el contenido. Para la mayoría de los sitios de empresa tiene sentido una copia automática diaria; en tiendas online con pedidos constantes, conviene guardar la base de datos varias veces al día. Además, haga una copia manual antes de cada actualización.
Es una buena base, pero no una estrategia completa. Las copias están en el mismo proveedor y se sobrescriben tras un plazo fijo. Una copia adicional fuera de la cuenta de hosting le protege también si la cuenta se bloquea, si cambia de proveedor o si un ataque se descubre tarde.
Se guardan tres copias de los datos (el original y dos copias de seguridad) en dos soportes distintos, y una copia está en otro lugar. La Oficina Federal de Ciberseguridad (NCSC) de Suiza recomienda este método como base de una copia de seguridad fiable.
Si sus buzones están en su hosting, normalmente se incluyen en una copia de seguridad completa del servidor. Un plugin de copias de seguridad de WordPress, en cambio, no guarda el correo. Compruebe por tanto si su solución cubre de verdad los buzones.
Restaure la copia en un entorno aparte, por ejemplo un subdominio o una instalación local, y compruebe que las páginas, las imágenes, los formularios y el inicio de sesión funcionan. Anote cuánto tarda la restauración.
Solo si los atacantes no pueden alcanzarlas. Al menos una copia debe guardarse sin conexión o con datos de acceso separados, para que no se cifre ni se borre también durante un ataque.
