Checklist de seguridad para lanzar una nueva web en producción

Lanzar una web en producción implica mucho más que subir archivos al servidor. Antes de hacerla pública, es fundamental asegurar cada capa del proyecto: servidor, aplicación, base de datos y dependencias. A continuación encontrarás un checklist de seguridad completo para garantizar que tu nueva web sea estable, segura y esté lista para recibir tráfico real.

1) Configuración del servidor

• Actualiza el sistema operativo: aplica los últimos parches de seguridad antes del despliegue.
• Desactiva acceso root directo: crea un usuario con permisos limitados y usa sudo para tareas administrativas.
• Configura un firewall: bloquea todos los puertos excepto los necesarios (80, 443, SSH).
• Usa claves SSH: evita contraseñas para el acceso al servidor y desactiva el login por password en sshd_config.
• Instala Fail2Ban o UFW: protege contra intentos de fuerza bruta en SSH o paneles de administración.
• Configura backups automáticos: haz copias diarias y guarda una versión fuera del servidor.

2) HTTPS y certificados SSL

• Instala y configura un certificado SSL (Let’s Encrypt, Cloudflare, etc.).
• Redirige todo el tráfico HTTP a HTTPS con un 301 permanente.
• Activa HTTP Strict Transport Security (HSTS) para forzar conexiones seguras.
• Verifica que no existan recursos mixtos (HTTP dentro de páginas HTTPS).

3) Configuración del entorno (ENV)

• Nunca subas archivos .env o credenciales al repositorio.
• Usa variables de entorno para contraseñas, claves API y configuraciones sensibles.
• Establece permisos mínimos (600) al archivo .env.
• Verifica que el entorno de producción no use APP_DEBUG=true.

4) Seguridad de la aplicación

• Escapa y valida todos los inputs: protege contra XSS, CSRF y SQL Injection.
• Utiliza un Content Security Policy (CSP) para restringir recursos externos.
• Implementa límites de carga en formularios y subida de archivos.
• Oculta mensajes de error: no muestres trazas o rutas del sistema al usuario final.
• Deshabilita listados de directorios en el servidor web (Nginx/Apache).
• Usa cabeceras de seguridad:
  • X-Content-Type-Options: nosniff
  • X-Frame-Options: SAMEORIGIN
  • Referrer-Policy: no-referrer-when-downgrade

5) Gestión de usuarios y autenticación

• Obliga contraseñas seguras (mínimo 10 caracteres, mezcla de letras, números y símbolos).
• Usa bcrypt o Argon2 para almacenar contraseñas.
• Activa la verificación en dos pasos (2FA) para usuarios con permisos de administración.
• Implementa expiración de sesiones y tokens JWT cortos.
• Registra los intentos de inicio de sesión y bloquea temporalmente tras varios fallos.

6) Seguridad en la base de datos

• Usa un usuario con permisos mínimos: evita conectar con el root de la base de datos.
• Restringe el acceso externo: solo permite conexiones desde el servidor web o la red interna.
• Cifra las conexiones con TLS (por ejemplo, en PostgreSQL o MySQL).
• Haz copias automáticas y periódicas de la base de datos.
• Elimina tablas o datos de prueba antes del despliegue final.

7) Dependencias y librerías

• Ejecuta análisis de vulnerabilidades (ej. npm audit, composer audit).
• Actualiza todas las dependencias a sus versiones estables.
• Usa un lock file (package-lock.json, composer.lock) para mantener versiones fijas.
• Evita paquetes de origen dudoso o sin mantenimiento activo.

8) Logs y monitoreo

• Centraliza logs de errores y accesos (ej. con Papertrail, LogDNA, o Elastic Stack).
• Filtra datos sensibles en los logs (tokens, contraseñas, correos).
• Configura alertas para errores críticos o picos de tráfico inusuales.
• Monitorea uptime y rendimiento con herramientas como UptimeRobot, Pingdom o Grafana.

9) Seguridad del front-end

• Minifica y firma los archivos JS/CSS.
• Deshabilita el acceso directo al código fuente de mapas (source maps) en producción.
• Evita almacenar datos sensibles en localStorage o sessionStorage.
• Usa Subresource Integrity (SRI) en recursos externos (CDNs).
• Protege formularios con reCAPTCHA o equivalentes.

10) Copias de seguridad y recuperación

• Realiza backups diarios automáticos (archivos + base de datos).
• Prueba el proceso de restauración regularmente.
• Guarda copias en ubicaciones externas (S3, Google Cloud, servidores remotos).
• Encripta los backups antes de almacenarlos.

11) Test final antes del lanzamiento

• Ejecuta un escaneo de seguridad con OWASP ZAP o Burp Suite.
• Verifica los permisos de archivos y directorios (644 y 755).
• Desactiva entornos de prueba o staging accesibles públicamente.
• Comprueba que los correos y formularios usan dominios verificados (DKIM/SPF).
• Usa herramientas como SecurityHeaders.com o SSL Labs para validar tu configuración.

Conclusión

Un lanzamiento seguro no es un evento único, sino un proceso continuo. Mantén tu web monitorizada, revisa vulnerabilidades periódicamente y aplica parches de seguridad sin demora. Con este checklist tendrás una base sólida para minimizar riesgos y ofrecer una experiencia confiable a tus usuarios.

#SeguridadWeb #Ciberseguridad #DevOps #Producción #WebDevelopment #Infraestructura #OWASP #SSL #Backups #Firewall