En resumen: si su proveedor de hosting ha bloqueado el sitio, suele ser un indicio de código malicioso o de abuso, pero también puede ser cautela. Por lo general solo se desbloquea cuando se ha resuelto la causa. ¿Le afecta? Póngase en contacto de inmediato. Aclaramos la situación en remoto, limpiamos la cuenta y coordinamos el desbloqueo con su proveedor de hosting.
No borre nada ahora y no reinstale nada. Tampoco a petición del proveedor de hosting. Los rastros, los registros y los archivos deben conservarse hasta que todo esté asegurado. Llame o escriba por WhatsApp, o utilice Comunicar la emergencia.
¿Ha sido bloqueado su sitio web?
Un bloqueo se manifiesta de formas muy distintas:
- el sitio no es accesible o muestra una página de aviso del proveedor de hosting
- un correo o un ticket menciona «malware», «abuse», «phishing» o «spam»
- el panel de hosting está bloqueado, y el FTP y el correo ya no funcionan
- solo están desactivadas algunas funciones, como la ejecución de PHP o el envío de correo
- el sitio funciona, pero el proveedor de hosting exige medidas dentro de un plazo
Lea el aviso con atención: a menudo contiene nombres de archivos, momentos o mensajes importantes para el análisis. Quien ha sido desconectado como medida preventiva suele reconocerlo porque el proveedor no menciona ningún archivo concreto. También aquí hay que revisar, porque una desconexión por sí sola no demuestra ni la infección ni su ausencia.
Qué hacer ahora mismo
- Asegurar el aviso del proveedor de hosting: conserve el correo, el ticket y una captura de pantalla con fecha. ¿Qué plazo se indicó?
- No limpiar por su cuenta. Quien borra o vuelve a subir archivos puede destruir rastros y se arriesga a un nuevo bloqueo.
- Pedir amablemente al proveedor de hosting lo siguiente: que indique dónde están los hallazgos, que conserve los registros del periodo y que mantenga el acceso de solo lectura o mediante exportación de copia de seguridad. Encontrará una plantilla para la solicitud en Cómo preguntar a su proveedor de hosting por el estado del parche.
- Revisar el envío de correo: si salió spam del servidor, los bloqueos persisten de lo contrario. Indicaciones sobre la causa ofrece El servidor envía spam.
- Anotar los accesos: panel, FTP, SSH, base de datos, backend del CMS. Cambie las contraseñas solo tras consultarnos.
- Aclarar las consecuencias para el negocio: ¿es crítica para su negocio la accesibilidad del sitio o del correo? Entonces díganoslo enseguida.
- Avisarnos antes de dejar que venzan los plazos o de cambiar de proveedor de hosting.
¿Cómo ayuda PHP SOS en concreto?
- Evaluar la situación: leemos el aviso del proveedor de hosting, aclaramos cuenta, alcance y sistemas y hablamos de qué funciones siguen accesibles.
- Asegurar y contener: en la medida en que el proveedor dé acceso, aseguramos archivos, base de datos y registros y separamos los accesos que ya no son de fiar.
- Revisar y limpiar: buscamos webshells, archivos manipulados, cuentas ajenas y mecanismos que vuelvan a cargar código malicioso. El procedimiento corresponde a Eliminar malware y webshells.
- Cerrar la entrada y demostrarlo: aclaramos cómo entró el atacante y cerramos la vulnerabilidad. Después elaboramos una descripción comprensible que usted puede entregar al proveedor de hosting para el desbloqueo.
- Coordinar y reforzar: si usted lo autoriza, hablamos con su proveedor de hosting, acompañamos el desbloqueo y damos recomendaciones para la operación a largo plazo.
Cómo tratamos el incidente general se describe en la página Sitio web hackeado: ayuda de emergencia.
¿Quién es responsable en los sitios bloqueados?
En el hosting compartido, el proveedor controla el servidor y PHP; usted controla sus archivos y aplicaciones. Que el proveedor reaccione a PHP2Shell no significa que su sitio esté limpio. A la inversa, eso no exime a su proveedor de sus propias obligaciones. El reparto se describe en Hosting compartido: qué hace el proveedor y qué debe hacer usted. Tras un bloqueo merece la pena preguntar qué versión de PHP se ejecuta realmente y si el estado del parche está confirmado. No hacemos afirmaciones sobre hasta dónde ha parcheado un proveedor concreto. Eso debe confirmarlo él mismo por escrito.
Un cambio puede ser sensato, pero solo después de la limpieza y no como vía de escape, véase Cambiar de proveedor de hosting tras un incidente. Si Google también ha marcado el sitio, Eliminar la advertencia de Google describe el camino posterior. Que las organizaciones retiren sus sitios de la red como medida preventiva es un patrón conocido; lo que las empresas pueden aprender de ello figura en Las autoridades retiran sitios web de la red.
Lo que los proveedores de hosting suelen querer ver para el desbloqueo
Cada proveedor lo gestiona de forma distinta, pero la expectativa es parecida: usted debe demostrar que ha entendido y eliminado la causa, y no solo el síntoma. Lo habitual es una breve descripción de los hallazgos, la confirmación de que se ha eliminado el código malicioso y se han cambiado las credenciales, y la indicación de qué software se ha actualizado. Algunos proveedores revisan después la cuenta por sí mismos, otros exigen un nuevo ticket. Preparamos esta documentación de modo que usted pueda entregarla sin conocimientos técnicos. Qué compromisos asume su proveedor de hosting y con qué rapidez reacciona lo decide él mismo; sobre eso no tenemos influencia y lo decimos con franqueza.
Qué debería enviarnos
- el aviso del proveedor de hosting, textualmente, con fecha y plazo indicado
- nombre del proveedor de hosting, tarifa y, si se conoce, la versión de PHP
- dirección del sitio web y otros sitios en la misma cuenta
- qué funciones están bloqueadas (sitio web, correo, panel, FTP)
- contacto con la agencia o el desarrollador, si lo hay
Por qué PHP SOS
Trabajamos Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Usted tiene un único interlocutor que acompaña su caso y está disponible para consultas con su proveedor de hosting. Trabajamos en remoto, sin desplazamientos, en toda Europa. Todo queda documentado; no hacemos promesas sobre la duración, porque dependen del proveedor de hosting y del resultado. Trabajamos hasta que el incidente quede cerrado y documentado.
¿Le afecta? Llame. Le ayudamos.
Un bloqueo es molesto, pero es un motivo claro para actuar. Póngase en contacto ahora, por llamada o WhatsApp, y nos hacemos cargo desde el primer mensaje. Comunicar la emergencia ahora
Preguntas frecuentes
¿Por qué ha bloqueado mi proveedor de hosting mi sitio web?
Lo habitual es código malicioso en la cuenta, envío de spam, una carga inusualmente alta o ataques que parten de su servidor. Con ello el proveedor protege a sus otros clientes. Una indicación sobre el bloqueo suele figurar en el aviso o en el área de cliente.
¿Significa un bloqueo que mi sitio web ha sido realmente hackeado?
No en todos los casos. Algunos proveedores también han desconectado sitios web como medida preventiva en relación con PHP2Shell. Lo que realmente ocurre solo lo muestra una revisión. El propio aviso de bloqueo es un primer indicio, pero no completo.
¿Puedo pedir al proveedor de hosting que levante el bloqueo sin más?
Se puede intentar, pero suele tener poco éxito si no se ha limpiado nada. Muchos proveedores exigen una explicación o una prueba de la limpieza. Si se desbloquea sin resolver la causa, amenaza el siguiente bloqueo.
¿Debo cambiar a otro proveedor de hosting?
No de forma precipitada. Una mudanza se lleva el código malicioso si se traslada con ella y destruye rastros. Primero limpiar y aclarar la causa; después decidir sobre el proveedor.
¿Cuánto tarda mi sitio web en volver a estar en línea?
Depende del alcance de la infección, del estado de los registros y de la reacción del proveedor de hosting, por eso no damos plazos. Tras la primera valoración le diremos qué hay que hacer y qué pasos dependen del proveedor.