# Guías: seguridad de PHP y de servidores > Guías sobre seguridad de PHP: webshells, puertas traseras, php.ini, inyección SQL, XSS, cargas de archivos, registros, copias de seguridad y cabeceras de seguridad. Fuente: https://phpsos.de/es/ratgeber/ Actualizado: 25/10/2026 Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6 Artículos técnicos para administradores y desarrolladores: reconocer webshells, reforzar php.ini, analizar registros, programar de forma segura. - [Cronología de PHP2Shell: del 17 al 25 de octubre de 2026](https://phpsos.de/es/ratgeber/php2shell-chronologie/): Todas las fechas documentadas de PHP2Shell en una sola vista, desde el primer intento de ataque observado hasta la situación del 25/10/2026, y lo que de ello se deduce para su revisión. - [Confirmación de actualización PHP del hosting: cómo preguntar por el estado del parche](https://phpsos.de/es/ratgeber/hoster-patch-status-erfragen/): Tras PHP2Shell, la versión de PHP que se muestra demuestra poco. Con esta plantilla pide a su proveedor de hosting una confirmación que usted pueda documentar. - [Detectar y eliminar una webshell](https://phpsos.de/es/ratgeber/webshell-erkennen/): Cómo localizar puertas traseras en servidores web con PHP sin destruir pruebas, y por qué borrar sin más rara vez es suficiente. - [Encontrar una puerta trasera en WordPress: cómo localizar accesos ocultos](https://phpsos.de/es/ratgeber/backdoor-wordpress-finden/): Dónde suelen esconderse las puertas traseras en WordPress y cómo los administradores pueden localizarlas de forma sistemática con WP-CLI y unos pocos comandos. - [Configurar php.ini de forma segura](https://phpsos.de/es/ratgeber/php-ini-sicher-konfigurieren/): Qué ajustes de php.ini reducen la superficie de ataque, cómo protegerlos frente a sobrescrituras y qué se añade tras PHP2Shell. - [Usar disable_functions de PHP correctamente](https://phpsos.de/es/ratgeber/disable-functions/): Con disable_functions bloquea funciones de PHP arriesgadas. Cómo definir la lista según su aplicación sin dejar el sitio web fuera de servicio. - [open_basedir y aislamiento por sitio web](https://phpsos.de/es/ratgeber/open-basedir/): Cómo evitar con open_basedir, usuarios del sistema propios y pools de PHP-FPM separados que la intrusión en un sitio web alcance a todos los demás del servidor. - [Permisos de archivos en el servidor web](https://phpsos.de/es/ratgeber/dateirechte-webserver/): Por qué el servidor web no debe poder modificar su propio código, qué permisos son razonables para archivos y carpetas y cómo comprobar rápidamente la situación actual. - [composer audit: revisar vulnerabilidades en las dependencias](https://phpsos.de/es/ratgeber/composer-abhaengigkeiten-pruefen/): Cómo encuentran los desarrolladores con composer audit las vulnerabilidades conocidas en bibliotecas, cómo automatizar la revisión y cómo evitar errores típicos en el despliegue. - [PHP End of Life: riesgos de las versiones obsoletas](https://phpsos.de/es/ratgeber/php-end-of-life-risiken/): Qué significa el fin del soporte de una versión de PHP, qué ramas siguen recibiendo parches oficiales tras PHP2Shell y cómo hacer planificable la migración. - [Evitar la inyección SQL en PHP](https://phpsos.de/es/ratgeber/sql-injection-php/): Cómo excluyen de forma fiable los desarrolladores la inyección SQL en aplicaciones PHP con consultas preparadas, listas blancas y permisos mínimos en la base de datos. - [Evitar XSS en PHP: defenderse con seguridad del cross-site scripting](https://phpsos.de/es/ratgeber/xss-php/): Cómo evitan los desarrolladores el cross-site scripting en aplicaciones PHP: codificación adecuada al contexto, escapado automático en plantillas, depuración de HTML y una Content Security Policy. - [Subida segura de archivos en PHP: seguridad de uploads](https://phpsos.de/es/ratgeber/datei-upload-sicher/): Los formularios de subida son una vía frecuente para las webshells. Cómo comprobar bien los tipos de archivo, guardar los archivos con seguridad e impedir que el servidor ejecute scripts subidos. - [Proteger las sesiones en PHP: seguridad de sesiones PHP en la práctica](https://phpsos.de/es/ratgeber/session-sicherheit-php/): Las sesiones mantienen a los usuarios conectados y, por eso, son un objetivo atractivo. Cómo configurar con seguridad las cookies, los ID de sesión y los lugares de almacenamiento, y cómo aplicar el aviso de PHP2Shell sobre el progreso de subida. - [Deserialización insegura en PHP: unserialize y seguridad](https://phpsos.de/es/ratgeber/deserialisierung-php/): unserialize() con datos ajenos puede llevar, en el peor caso, a la ejecución de código. Cómo sustituirlo por JSON, restringirlo donde deba quedarse y encontrar puntos de riesgo en el código. - [Evitar Local File Inclusion en PHP: LFI y RFI](https://phpsos.de/es/ratgeber/lfi-rfi/): Cuando include o require toman rutas de la petición, los atacantes pueden cargar archivos ajenos. Cómo construir con seguridad la selección de páginas y las plantillas y proteger además el servidor. - [Proteger los inicios de sesión de administración contra la fuerza bruta: protección para cada login](https://phpsos.de/es/ratgeber/brute-force-login-schutz/): Los intentos automatizados de contraseñas alcanzan cualquier página de inicio de sesión accesible. Cómo frenar a los atacantes con limitación de tasa y Fail2ban, proteger las cuentas con un segundo factor y guardar bien las contraseñas. - [¿DDoS o ataque de hackers? Cómo clasificar bien los ataques](https://phpsos.de/es/ratgeber/ddos-oder-exploit/): Sitio web lento, carga alta, archivos extraños: que detrás haya un DDoS o una intrusión decide la reacción correcta. Cómo clasificar la situación con unas pocas comprobaciones. - [Analizar los registros del servidor web tras un ataque: cómo leer bien el access log](https://phpsos.de/es/ratgeber/logfiles-auswerten/): Tras un ataque, los archivos de registro son a menudo el rastro más importante. Cómo conservar bien los registros de acceso, de errores y de PHP, encontrar peticiones sospechosas y evitar errores típicos en el análisis. - [Configurar la autenticación de dos factores para accesos de administración](https://phpsos.de/es/ratgeber/zwei-faktor-admin/): Una contraseña robada no debe bastar para tomar el control de su servidor o tienda. Cómo elegir el método adecuado, proteger todos los accesos de administración y planificar accesos de emergencia. - [Estrategia de copias de seguridad para servidores: la regla 3-2-1](https://phpsos.de/es/ratgeber/backups-3-2-1/): Una copia de seguridad solo ayuda si sobrevive a un ataque y se puede restaurar. Cómo aplicar la regla 3-2-1 a los servidores web y planificar bien la retención y las pruebas. - [Cabeceras de seguridad para sitios web: cómo configurarlas bien](https://phpsos.de/es/ratgeber/sicherheits-header/): Las cabeceras de seguridad indican al navegador que proteja mejor a sus visitantes. Cómo configurar las más importantes en Nginx y Apache, introducir una Content Security Policy de forma gradual y comprobar el resultado. - [Quitar la advertencia de Google «Este sitio ha sido hackeado»](https://phpsos.de/es/ratgeber/google-warnung-entfernen/): Una advertencia de hackeo en los resultados de búsqueda cuesta visitantes y confianza. Cómo limpiar a fondo el sitio web, encontrar páginas de spam ocultas y solicitar la revisión en Search Console. - [Lista de control tras un hackeo: 20 puntos para el seguimiento](https://phpsos.de/es/ratgeber/checkliste-nach-dem-hack/): Tras un ataque cuenta el orden correcto. Esta lista de control recorre en 20 puntos la contención, la conservación de pruebas, la limpieza, los nuevos accesos, las obligaciones y el cierre documentado.