Blog

CategoriasHosting

Cambios de contraseñas periódicos

Actualizado el 12 mayo 2018por Aitor Serra Martín

En los últimos meses no paramos de ver webs comprometidas (hackeadas) a través de gestores de contenidos sin actualizar o contraseñas inseguras. A nivel de servidores y red, hemos tomado todas las medidas posibles en cuanto a cortafuegos y filtrado de cada petición que se hace  con el servidor. Pero todo esto no sirve de nada si la contraseña es insegura (fácil de adivinar).

Por eso hemos añadido el cambio de contraseñas obligatorio a nuestra lista de medidas preventivas. Para que esto no resulte molesto, lo haremos 1 vez cada seis meses como máximo. Aprovechando que estamos en Enero, nos ha parecido una buena fecha para aplicarlo.

La próxima vez que entres en tu cpanel verás un mensaje como el que aparece a continuación:

Un administrador ha solicitado que cambie la contraseña. Cambie la contraseña de su cuenta a continuación. La seguridad de la contraseña es importante en alojamiento web; le recomendamos encarecidamente utilizar el Generador de contraseñas para crear su contraseña. Siga los siguientes consejos para proteger su contraseña.Nota: Si cambia la contraseña, finalizará la sesión actual.

Pues lo dicho, usa el generador de contraseñas para tener una contraseña fuerte. Si no recuerdas la anterior, puedes cambiarla desde la zona de usuarios de panel.honesting.es en el apartado > Servicios > Mis servicios > ver detalles > cambiar contraseña.

CategoriasHosting

Certificados SSL gratuitos

Actualizado el 19 abril 2023por Aitor Serra Martín

Nos alegra anunciar que desde hoy, todos los planes incluyen un certificado básico de seguridad SSL gratuito. Con esta medida queremos celebrar que cumplimos más de 14 años online y continuar ayudándote a posicionar bien tu página en los principales buscadores.

El certificado SSL es una forma de mejorar la confianza de tus visitantes y de ganar puntos extra frente a Google y su navegador Chrome (quien lo requerirá en los próximos meses para todas las páginas web).

Para acceder usando SSL sólo tienes que cambiar la dirección de la web usando https://

Consulta con tu desarrollador web o compra un bono de 1h si quieres que hagamos este cambio por ti.

CategoriasDominios

Transferencia y Cambios de datos de Dominio genérico (.com, .net, .org…)

Actualizado el 10 febrero 2017por Aitor Serra Martín

El cambio que ha realizado ICANN el 1 de diciembre de 2016 implica que cuando se inicia una transferencia tendrán que aceptarla tanto el titular actual como el nuevo titular (incluso aunque sea el mismo titular) una vez aceptado el cambio el proceso de transferencia se mantiene igual que antes, ha de aceptarlo el contacto administrativo y una vez aceptado se tendrá que esperar a que el proveedor anterior libere el dominio.

Otra de las características del cambio es que cualquier modificación de los titulares tendrán también que aceptarla tanto el antiguo titular como el nuevo y además el dominio quedará bloqueado automáticamente por ICANN 60 días por lo que no podrías transferirlo en dicho periodo.
Ten en cuenta que cualquier cambio en los contactos del email implica que el dominio no podrá transferirse en 60 días. Es decir, habrás de esperar este tiempo para poder transferirlo.

Si no tienes acceso a algún email podemos solicitar a ICANN el enlace, pero para ello es necesario que nos envíes un email a info@honesting.es con una carta firmada por el titular actual aceptando el cambio e indicando el motivo por el que no tienes acceso al email, también necesitamos que adjuntes un documento identificativo del actual titular (DNI escaneado por las dos caras o tarjeta CIF de la empresa) y con esta información recogida podemos solicitar a ICANN que nos faciliten el email de aprobación. Cuando lo tengamos te lo enviaremos, es un enlace para que lo verifiques tú mismo ya que queda registrada la IP desde la que se aprueba.

CategoriasHonesting

Sobrecarga en servidor (solucionado)

Actualizado el 12 mayo 2018por Aitor Serra Martín

Durante la mañana de hoy, hemos tenido una sobrecarga en el servidor 5.honesting.com causado por un ataque desde direcciones Rusas y de varios países más. Como primera medida hemos bloqueado Rusia y el resto de direcciones atacantes.

Luego, hemos activado varias reglas de filtrado en el cortafuegos y activado un nuevo sistema de detección de ataques creado por cPanel que ha empezado a hacer efecto a los pocos minutos.

Ahora mismo el servidor está estable y en perfecto funcionamiento. Pedimos disculpas por las posibles molestias ocasionadas. Si todavía no puedes cargar tu web o conectar con el servidor, es posible que tengas tu dirección IP bloqueada. En ese caso, por favor envíanos un email con tu IP para que podamos desbloquearla. Puedes obtenerla en webs como www.cualesmiip.com

CategoriasHosting

Wordfence publica datos sobre los ataques masivos de las últimas tres semanas

Actualizado el 12 mayo 2018por Aitor Serra Martín

 

Wordfence acaba de publicar un completo informe sobre el enorme aumento de ataques de fuerza bruta que se están realizando en las últimas tres semanas en todo Internet. Es algo que hemos estado sufriendo debido a la sobrecarga que se genera en toda nuestra red y servidores.

Por nuestra experiencia, podemos confirmar todo lo que ahí se detalla. Ahora mismo, mantenemos bloqueados por completo varios paises: Ucrania, China, Indonesia y en algunos servidores, Marruecos.

Si por ejemplo, desbloqueamos Ucrania en un servidor, automáticamente aumenta la carga en más de un 60%.

Es uno de los ataques más grandes y organizamos que hemos visto en los 14 años de existencia de Honesting y estamos contentos de haber podido resistir, aprender y mejorar. Internet sigue siendo un sistema vulnerable y que necesita evolucionar. Queremos contribuir a ello y por eso vamos a empezar a ofrecer certificados SSL gratuitos para los planes PRO y Empresa.

Aquí el informe completo de Wordfence.

CategoriasHonesting

Mantenimiento de mejora programado

Actualizado el 12 mayo 2018por Aitor Serra Martín

Para mejorar la calidad de la red, realizaremos tareas de mantenimiento el próximo miércoles 14 a las 6h de la mañana. Esperamos la pérdida de algunos paquetes (conexiones) durante un periodo de 5 minutos.

CategoriasHosting

Viernes de bloqueos

Actualizado el 12 mayo 2018por Aitor Serra Martín

El viernes es el día elegido tradicionalmente por los hackers para realizar los intentos de hackeo. Disponen de todo el fin de semana para hacer pruebas y normalmente hay menos personal en las empresas para estar pendiente de avisos o alertas.

Hoy viernes, hemos detectado un alto número de IPs que trataban de conectar a páginas de administración de WordPress, en concreto al fichero /wp-config.php

Aquí publicamos el TOP 3 de IPs atacantes:

  • 3.909 intentos desde 91.200.12.86 (Ucrania).
  • 1.266 intentos desde 199.15.233.162 (Estados Unidos).
  • 719 intentos desde 195.154.250.216 (Francia).

En Honesting, seguimos trabajando para mantener tu página web y email en marcha.

CategoriasDesarrollo web

Así se hackea wordpress con indoxploit

Actualizado el 12 mayo 2018por Aitor Serra Martín

El aumento en los últimos meses de hackeos a páginas web hechas en wordpress y joomla nos ha hecho dedicarle más tiempo del que nos gustaría a investigar cómo lo hacen, con el fin de prevenir nuevos ataques.

Como empresa de hosting, hacemos todo lo posible para mantener los servidores seguros y utilizamos las aplicaciones líderes del mercado, tales como cPanel, Kernelcare o CloudLinux.

Gracias a esto, podemos asegurar que no se ha comprometido ningún servidor.

Pero aún así, las molestias están ahí. Casi todo el mundo utiliza wordpress para algún proyecto. Según las últimas estadísticas, el 26% de la web mundial funciona con este gestor de contenidos.

Primero lo más importante:

¿Cómo protegerse frente a indoxploit?

En los test que estamos realizando, hemos podido verificar que mover el fichero wp-config.php un nivel superior a la carpeta principal, evita que se pueda acceder al mismo.

  • Entra en tu cPanel > Administrador de archivos > y selecciona el fichero wp-config.php que se encuentra dentro de la carpeta /public-html
  • En el menú superior, click en Mover y cambia la carpeta /public_html por sólo /

La línea con la que se accede al fichero dentro de indoxploit es:

$baca = file_get_contents(«/home/$user/public_html/wp-config.php»);

Ésta solución parece algo sólo temporal ya que fácilmente podrían realizar la búsqueda en la carpeta inicial. Desde Honesting, hemos notificado este fallo a los programadores de WordPress para que puedan revisar y publicar una solución lo antes posible. Según nuestras pruebas, no hemos podido asociar su efectividad con algún plugin o tema gráfico en concreto.

CategoriasDominios

Verificacion de datos de dominios

Actualizado el 10 febrero 2017por Aitor Serra Martín

Desde enero de 2014 el organismo encargado de la administración y gestión de los dominios a nivel internacional (ICANN) introdujo un sistema de seguridad y verificación de los datos de registro de dominios.

  • Afecta a todos los dominios salvo los territoriales (.es .cat .fr, .co.uk etc).
  • Para los dominios genéricos tipo .com .net. org lo es desde 2014 y probablemte también lo será en las nuevas extensiones de dominio tipo .abogado, .marketing etc.

Este mail se envía al registrante o titular del dominio solicitando la verificación del email pinchando un link que se adjunta.

El asunto del email es: IMMEDIATE VERIFICATION required for (nombre de dominio) o similar. Llega en varios idiomas.

Se envía a nuevos contactos asignados o a un contacto que se modifique y no haya sido ya verificado. Por lo que en la práctica puede enviarse cuando se registre, renueve, transfiera, se haga algún cambio de datos o simplemente si no ha sido antes verificado el email de contacto. Es necesario e imprescindible verificar pinchando en el link.

Si el enlace anterior no funciona, copia y pega la siguiente dirección en tu navegador para completar el proceso de verificación.

La ICANN da 15 días de plazo desde que envía el email para aceptar la verificación, de lo contrario el dominio se desactiva por lo que dejan de funcionar todos los servicios relacionados (email, web, acceso ftp). De todas formas si hay dudas puedes reenviarnos el email, así comprobamos y aceptamos si es necesario.

En el caso de que ya esté desactivado debido a la no verificación, es necesario que te pongas en contacto con nosotros y así solicitamos que lo vuelvan a enviar.

Desde nuestro punto de vista, esta medida es muy engorrosa y problemática, el email puede confundirse fácilmente con spam, complica el día a día de las personas y no todos están pendientes del email con tanta regularidad.

A nivel global creemos que no mejora la seguridad ni evita el spam o los timos.

CategoriasHosting

Activamos CageFS

Actualizado el 12 mayo 2018por Aitor Serra Martín

Tras unos meses de pruebas y comprobado que mejora la seguridad, hemos pasado a activar CageFS en todos los servidores. Es una extensión de CloudLinux que crea un sistema de archivos virtual manteniendo a cada usuario en su propio entorno.

  • Crea copias de ficheros binarios seguros.
  • Evita la detección de usuarios.
  • Protege el acceso a los ficheros de configuración de Apache.
  • Limita el listado de procesos en marcha.

No es necesario que hagas ningún cambio en la configuración de tu web para disfrutar de estas ventajas, está incluido de serie en todos nuestros planes de hosting.