Google modificará su algoritmo en favor a las webs seguras

En la batalla contra la inseguridad en Internet, Google esta modificando su algoritmo de resultados. Así pues, mostrará en un ranking superior las webs que hayan adaptado sus conexiones al standard HTTPS frente a las que sólo tengan HTTP. Con esto intentan premiar a los webmasters que vayan adaptando sus sitios web.

índiceDe momento no hay que lanzar el grito al cielo ni culpar al gigante de las búsquedas si tu web no aparece entre las primeras ya que Google asegura en un comunicado que esta decisión afectará, por el momento, a menos del 1% de las búsquedas globales. De todos modos su aplicación será gradual hasta ser total dentro de un tiempo no determinado.

La compañía asentada en Mountain View ha confirmado, además, que sus servicios de búsqueda, Gmail y Drive ya cifran los datos que fluyen entre sus servidores y sus usuarios como consecuencia de las revelaciones de Edward Snowden y en una apuesta por los gigantes de internet por la seguridad y la privacidad. Algo que debería preocuparnos a todos nosotros y no solo a unos cuantos. Esta actualización tiene un carácter más técnico que la última que se produjo, donde Hummingbird pretendía ser un cambio de paradigma en las búsquedas.

La jugada de Google se entiende como un incentivo para los webmasters que primero se muevan y pasen sus sitios a HTTPS y como un desmarque de la competencia. Los otros buscadores que compiten en este terreno, Bing y Yahoo, de momento no se han pronunciado en ningún término y, por tanto, podrían permanecer “inseguros” de no adoptar medidas similares a las del gigante informático.

WebSecurify, audita la seguridad de tu web

5853781Si hay algo en lo que los webmasters y desarrolladores deben estar siempre alertas, y en lo cual parece que nunca será suficiente, es en el tema de medidas de seguridad para tomar en sus sitios o servicios web, y dado que las amenazas van mutando es que continuamente van surgiendo nuevas opciones en este campo. Una de estas alternativas es Websecurify, una aplicación multiplataforma que escanea la URL que le indiquemos en busca de vulnerabilidades conocidas, como las de System Path, CRLFI o LFI entre otras.

La aplicación es realmente muy sencilla y solo tenemos que ingresar una URL de nuestro sitio web y luego dejar que Websecurify comience con su tarea de escaneado. Luego podremos ver los informes en pantalla o bien guardarlos en formatos CSV, HTM, XML y JSON para verlos luego.

Debido a su diseño modular, puede ser fácilmente expandida gracias a la utilización de plugins, que pueden ser desarrollados en Java o Python. Además, cada parte o componente de esta herramienta está programada para ser actualizada en forma automática, de modo que al utilizarla sabemos que los escaneos de nuestro sitio web se harán probándolo contra las vulnerabilidades más nuevas conocidas, algo que como sabemos se va modificando todo el tiempo.

Websecurify puede ser descargado desde Google Code, y hay versiones para Linux, Windows o Mac OS X, pero también disponemos del código fuente de la aplicación, con unas API muy completas que permitirán implementar plugins o extensiones de manera muy sencilla, y hasta disponemos de una extensión de Firefox para quienes prefieran hacer todo esto desde sus navegadores.

Más información: Websecurify

Descarga Websecurify (en Google Code) / Firefox Add-ons

Fallo de seguridad detectado en Joomla y la importancia de tener actualizados los CMS

joomla-1

 

Joomla es uno de los gestores de contenidos más populares que nos ayudan en las empresas y negocios a poder actualizar nuestra página web sin ayuda de terceros de forma fácil una vez puesto en marcha. Por eso muchas empresas apuestan por este tipo de Sistemas de Gestión de Contenido para sus páginas corporativas o blogs. Por eso es importante el fallo de seguridad detectado en Joomla que afecta a la versión 2.5.7 y anteriores.

Esto no debería ser en teoría importante, dado que Joomla se encuentra actualmente en la versión 3.0.3, por lo que el fallo ya debería estar subsanado. Lo que ocurre es que muchas veces las empresas se olvidan de contratar un mantenimiento del gestor de contenidos, o si lo hacen va más enfocado a temas de diseño que de actualizaciones del sistema.

Como todos los programas, los gestores de contenidos están en constante evolución y muchas de las actualizaciones que sacan son mejoras del sistema, corrección de pequeños errores pero también parches de seguridad a problemas detectados. En este caso se trata de un problema de podría permitir a un atacante eludir restricciones de seguridad y efectuar ataques a través de la técnica del “clickjacking” o robo de enlaces.

Un usuario visita un enlace especialmente manipulado hacia una plataforma Joomla podría evitar restricciones de seguridad. De esta forma un usuario podría suplantar a otro sin necesidad de conocer la contraseña, con lo que esto puede implicar para la página de nuestra empresa. Puede parecer complicado, pero en realidad no lo es tanto y sólo por el daño de tener la página web corporativa hackeada, merece la pena la inversión en la actualización.

Esto en el mejor de los casos, que sólo sea una cuestión evidente, pero se puede dar el caso de que se manipule la página con malas intenciones, cambiando pequeños detalles que nos pueden afectar a la imagen de la empresa y no seamos conscientes de ellos. Algún cambio de precios, condiciones de venta, etc. detalles que nos hacen perder competitividad frente a la competencia.

Guía básica para optimizar tu web por Google

Se ha publicado la primera guía de SEO Google, a modo de lista de cosas que hacer para empezar a dominar las técnicas SEO de optimización para webmasters y relacionados.

google-guia-seo

La hoja de trucos SEO de Google se basa en tres puntos fundamentales:

  • 1-. Hacer que tus resultados de búsqueda se vean bien en los resultados de búsqueda. Google recomienda diseñar los títulos correctamente, asegurarse de que el nombre de dominio y la estructura de los archivos – estructura web – es descriptiva respecto del contenido de la página y adaptar las descripciones de búsqueda para que sean útiles y descriptivas.
  • 2-. Permitir a Google a entender tus imágenes dándoles nombres descriptivos de los que muestran, utilizar el atributo alt y escribir leyendas cortas debajo de la imagen.
  • 3-. Escribe el mejor contenido posible y el más útil, sin olvidar ir actualizando la web con contenido también útil y único.

Estos son los tres puntos principales según Google cuando se trata de optimizar un sitio web para los motores de búsqueda.

Descargar el PDF de los trucos seo de google. Esto es lo mínimo que deberían leer todas las secciones y equipos de cualquier empresa.

Google lanza un centro de ayuda para web hackedas.

Me han hackeado la web! Si en algún momento tienes que pasar por este trago, ahora es más llevadero ya que Google acaba de lanzar su Centro de ayuda para webs hackeadas que consiste en completar un formulario paso a paso y una serie de vídeos – una hora en total – como guía para recuperar la web.

Hasta ahora, Google mostraba un letrero en los resultados tipo “esta web contiene malware”, “este sitio puede estar comprometido” o “este sitio puede dañar tu equipo” junto a la url de la web.

También avisaba a los dueños de que su web había sido hackeada. Ahora además incluye esta ayuda, para atravesar este proceso que puede ser complicado.

No sería mala idea pasar por todo esto aunque tu web no tenga ningún problema, solo por hacerlo y para saber cómo Google trata estos temas.

Primer vídeo de la ayuda:

Hackeo sitios wordpress y/o joomla

Con la masificación de las Paginas Web en internet, se masificaron la Cantidad de Plantillas o Gestores Gratuitos para generar y administrar estas páginas Web conocidos como CMS, ejemplos comunes son WordPress, Joomla y OsCommerce entre muchos otros.

Estos sistemas tienen en común el hecho de que usuarios pueden contribuir con temas, plugins, etc. Aquí es donde está el mayor peligro.

Muchos Hackers pasan meses buscando vulnerabilidades en los distintos tipos de plugins, o temas que solamente son detectados por sus creadores una vez que el hackeo fue realizado.
Esto no tiene que ver con la seguridad del servidor, sino con la propia pagina Web.

Un ejemplo común es la vulnerabilidad del timthumb, un gestor de miniaturas utilizado por muchos temas de wordpress o joomla, por medio de versiones antiguas del timthumb se podía copiar archivos remotos a la página Web y luego ejecutarlo en la página, de esta forma miles de paginas Web fueron hackeadas.

Si usted ha sufrido algun ataque de hackers y tiene cualquier tipo de CMS o tienda virtual gratuita , entre las cuales pueden ser WordPress, Joomla, Mambo, OsCommerce, Moodle entre muchos otros, le damos 10 consejos sobre que hacer en caso de hackeo:

1 – Verificar que su sistema esta actualizado.
2 – Verificar que todos los temas o plugins están actualizados.
3 – Realizar siempre las instalaciones por medio del administrador del CMS.
4 – Utilizar Temas y Plugins de fuentes confiables.
5 – Verificar que el tema o plugin que utiliza se actualice constantemente.
6 – Borrar cualquier plugin o tema de prueba que no vaya a utilizar.
7 – No realizar muchas pruebas con su instalación final de CMS, si es posible, realice todas las pruebas necesarias, y después realice la instalación final limpia.
8 – Si es posible agregue un index.html vacío en cada directorio que no tenga index, esto impide
que se vean los archivos del directorio y con esto es más difícil buscar archivos vulnerables.
9 – Tenga siempre el computador que se conecta a FTP o al administrador del CMS limpio de
virus. (Esto se aplica a cualquier pagina Web, no solo CMS)
10 -No pierda el tiempo buscando culpables, probablemente jamás los encuentre.

Aun con toda la precaución, no debemos olvidar que son sistemas abiertos y gratuitos que jamás le darán una seguridad al 100%, ya que el propio sistema central de wordpress o joomla han sufrido hackeos, lógicamente estos son menos comunes y prontamente corregidos.

Recuerde que difícilmente un hackeo de este tipo será algo personal contra usted, la mayoría de los hackers que realizan esto no se preocupan por la página que fue hackeada, sino con la cantidad de páginas que fueron hackeadas .

Concejos de seguridad

Cómo puedo prevenir que mi sitio sea hackeado?

1. Software y Scripts al día.

Si por alguna razón está ejecutando una versión antigua de phpbb, o tal vez un viejo vBulletin o incluso una simple secuencia de comandos, asegúrese de actualizar a la versión más reciente. Ya que puede hackear su sitio web fácilmente utilizando métodos como RFI o inyecciones SQL.

2. Plug ins, add ons y los módulos.

Ejecución de un sitio CMS? como Joomla, Mambo, Datalife o tal vez un foro phpBB, SMF, vBulletin asegurese de cargar o instalar módulos y plug ins. Los desarrolladores de los scripts de tener buen cuidado de sus códigos para mantenerla limpia de hazañas y errores. Los desarrolladores de plug-ins la mayoría de las veces no son la causa del 70% de la piratería de este tipo de software.

3. Su responsabilidad.

La mayoría de Webmasters deben saber que si logran hackear su alojamiento web, debido a la responsabilidad de personal que tengan a su cargo lo cual o no están haciendo bien su trabajo. Si usted ha sido víctima de hacker es tu responsabilidad. Si instala un script con errores, el propietario de un script no puede hacer nada al respecto. Si alguien aprovecha su error y obtiene acceso a su sitio es su responsabilidad, no culpe a su empresa de alojamiento web, por la responsabilidad de usted mismo. Después de haber sido hackeado debe intentar hacer un lookfor de sus scripts en sitios como milw0rm.com para ver si sus scripts no tienen errores.

4. Proteja su Contraseña

Si ejecuta un sitio muy popular entonces tenga cuidado!. En el caso de una cuenta FTP, cPanel, o cuenta de alojamiento. Algunos de ellos pueden incluso tratar de enviarle Keyloggers, troyanos y programas de monitoreo para obtener acceso a sus sitios web. Tenga cuidado al aceptar archivos, utilizando programas de mensajería instantánea como Yahoo, MSN o AIM. Utilice una contraseña fácil de recordar por usted y díficil para extraños.

5. Mantenga su cuenta de alojamiento y PC limpios

La mayoría de las personas tienen un montón de archivos que ni siquiera dan el uso debido de sus cuentas de alojamiento y las computadoras. En sus cuentas de alojamiento esto puede causar mala indexación en los motores de búsqueda como Google, Yahoo, MSN, y Ask. Ellos pueden empezar a indexar sitios antiguos olvidados en las carpetas, como los archivos personales como fotos y mucho más, siempre es bueno mantener su cuenta de alojamiento de su sitio web con contenido actualizado.

6. Antes de la cantidad de calidad.

Utilice software de calidad para su sitio. ¿Por qué usar phpBB (codificado en gran medida), usted puede comprar una licencia de vBulletin. Si ya está haciendo una fuente de ingresos de su sitio mediante la publicidad de programas como AdSense de Google, CPX Interactive y más, entonces creo que usted tiene que invertir para ganar. Cuanto más invierta, más posibilidades tienes de ganar, puede mantener su sitio libre de los piratas informáticos.

7. Backups, Copias de seguridad.

Los errores más comunes de la gente es solo subir y subir!. Haga una copia de seguridad de su sitio. Mantenga los archivos en su PC, en su USB o Disco Duro Externo, le puede salvar la vida. Nunca avise a los usuarios el contenido de su sitio, mantengalo seguro.

8. No ponga todos sus huevos en la misma cesta.

Si usted tiene algún tiempo en la web de negocios y tienen más de 2 sitios .. luego protegerlos! ¿Sabía usted que si uno de sus sitios web se hackeado, todos los otros sitios web en la misma cuenta de alojamiento puede obtener también hackeado? Un Defacers puede ingrese a su FTP y tener acceso a todos sus sitios. Usted puede prevenir esto por la compra de una cuenta de reseller o comprar más de una cuenta de hosting.
9. El conocimiento es poder!

Aprender a leer y buscar. Hoy en día con el uso de grandes motores de búsqueda puede acceder a una gran cantidad de información que puede mantenerse seguro, incluso puede saber que un hacker o Defacer. La mayoría de los hackers han aprendido a utilizar los motores de búsqueda y foros de la comunidad. Así usted previene y le hace pensar como ellos.

10. Compruebe CHMOD, Permisos.

La mayoría del tiempo, mientras que la instalación de nuevas secuencias de comandos que le solicitará que CHMOD a 777, para algunos archivos, que algunas veces puede ser mortal. Cuando un Defacer entra en su sitio de archivos es más fácil modificar / editar / borrar los archivos con 777, si la carpeta public_html tiene, básicamente, los permisos puesto por usted y luego es hackeado. Si no es así entonces solo puede modificar los permisos. Es bueno tener en cuenta cuando termine una instalación devolver todos los antiguos permisos.

Bonus: para los VPS / Reseller / Dedicado Clientes es importante tener en cuenta que la raíz de la contraseña de MySQL es también un factor importante, cuando se habla de piratería informática, no siempre es bueno dejar por defecto, esto puede hacer que usted pierda todas las tablas y filas.

Que hacer si mi sitio web tiene virus?

Durante este ultimo tiempo se ha incrementado considerablemente los casos en que los sitios web son infectados por codigos malisiosos o virus y lo peor sin que el webmaster se entere.

En otros casos, por lo general, la voz de alerta llega por parte de Google, que agrega el dominio a la lista de sitios “sospechosos” de alojar malware, y evita el acceso al sitio colocando una pantalla de alerta.

Es una medida para evitar que la infección que tiene el sitio se expanda a las PCs o los navegadores de quienes, de otra manera, visitarían la web sin saber que automáticamente estarían descargando un virus a su equipo.

¿Cómo entró el virus?

A diferencia de lo que indicaría el sentido común (“si mi sitio tiene un virus, está infectado el servidor web de mi proveedor de hosting”), el problema casi siempre está/estuvo en la PC desde donde se actualiza el sitio web.

Quienes se dedican a subir este tipo de virus, con la intención de expandirlos a través de internet, apuntan a robar una información fundamental: sus claves FTP.

Con esas claves, suben archivos infectados o sus páginas modificadas, sin que Ud. se dé cuenta. Es más, si el ataque es lo suficientemente elaborado, hasta conseguirán al instante su nueva clave de FTP en el momento que la modifique.

Otra manera muy común de agregar un virus o código malicioso a un sitio es explotando la vulnerabilidad de una aplicación desactualizada (foro, blog, galería de fotos, carrito de compras, etc.). Por eso es fundamental tener siempre la aplicación actualizada y aplicar los parches de seguridad recomendados por sus desarrolladores.

¿Cómo encuentro el virus?

La forma más usada para esconder un virus en un sitio web se conoce como “iframe attack”.

El “iframe” se esconde en el código de sus páginas, y lo que hace es llamar a otra página de forma invisible (es decir, ni Ud. ni quien visite su web lo notan), buscando posicionar mejor esa página escondida o bien infectar con virus o código malicioso a los visitantes.

Lo más común es que lo agreguen al código de su página index (index.html, index.php, etc.). También ocurre, con virus como Gumblar cn, que suban un archivo y lo ubiquen en una carpeta donde sea difícil detectarlo (Gumblar cn, por ejemplo, sube un archivo llamado “image.php” dentro de la carpeta “images”).

¿Cómo elimino el virus?

Paso 1: Ingresar por FTP y descargar todo el contenido del sitio a una carpeta dentro de su equipo. Inmediatamente después, cambiar la contraseña del FTP desde su Panel de Control cPanel

Paso 2: Correr un buen antivirus y antispyware en la carpeta que contiene la web, y en el resto del equipo (incluyendo discos extraíbles).

Paso 3: Una vez que el antivirus haya eliminado archivos sospechosos, comienza el trabajo manual dentro de la carpeta donde está su web.

Con un programa que permita buscar dentro de los archivos, habrá que identificar todos aquellos que incluyan un “iframe” con estilo escondido (“hidden”), que no correspondan a su página, y eliminar esa porción de código.

Ejemplo:

<iframe src=”http://alguna_página.cat”
style=”visibility: hidden; display: none”>
</iframe>

Siguiendo el mismo procedimiento, buscar también si en alguna página existe un “document.write”, seguido de una línea encodeada.

Ejemplo:

<script language=”javascript”>
document.write( unescape( ‘%70%61%67%65%20%6F%6E%65′ ) );
</script>

De existir, borrar esa porción de código.

Asegúrese que todos los src= y http:// hagan referencia a archivos de su sitio web o a sitios externos que Ud. conoce y son confiables.

Luego, sólo resta la revisión manual: buscar entre todos los archivos la existencia de cualquier .php, .js, .htm, .html, asp, .aspx, .inc, .cfm, etc., que no pertenezca a su sitio web.

Paso 4: Una vez hecho esto, ya seguro de que su sitio está limpio, conéctese por FTP en forma segura. Elimine todo el contenido de la carpeta public_html, y suba los archivos que acaba de limpiar.

Paso 5: Ahora, elimine el caché de su navegador, abra la página index de su web y todas aquellas que detectó como infectadas en la primera revisión.

Del menú del browser elija la opción para ver el código fuente de cada página. Si no aparece más el “iframe” que apunta a una web desconocida o el “document.write”, entonces significa que el sitio está limpio.

Paso 6: Si Google marcó su web como sospechosa, será necesario que solicite una revisión para levantar la página de alerta. Deberá completar el formulario en Google Webmaster Central o StopBadware.

Por lo general, si Google no encuentra infecciones, en un día ya saca el sitio de su listado de webs sospechosas de alojar malware, aunque en los dos sitios se aclara que puede tomar unos días más.

Que es un Hosting Reseller

La palabra Reseller viene del inglés, la cual significa “Distribuidor”.

Una cuenta de Hosting Reseller la permite administrar varios sitios web, con una administración independiente en cPanel es decir que podrá administrar sus propias cuentas de Hosting, sin necesidad de tener sus propios servidores.

Este servicio de alojamiento está diseñado para grandes usuarios o personas que desean vender el servicio de Hosting a otras personas, esta forma de trabajo es ideal para aquellas personas que quieren iniciar su propio negocio de Hosting.

Generalmente los diseñadores web adquieren este servicio con el fin de entregar un servicio más complementado ya que les permite entregar a sus clientes un paquete completo (diseño y alojamiento web).

Estos paquetes cuentan con una cantidad de espacio que va desde los 5GB a 50 GB y la posibilidad de agregar dominios ilimitados en su plan.

Si desea ver todos nuestros planes de Hosting reseller que tenemos disponibles los puede encontrar aquí Hosting Reseller

Nuestros Planes de Hosting Reseller poseen un panel de control llamado WHM que le permitira administra sus dominios en el servidor, puede ver una demo de este panel en la siguiente direccion:

Demo WHM

Convertir cadenas de texto en imágenes con PHP

script en PHP que puede resultar muy útil incluso para ocultar determinados contenidos como puede ser un email a las arañas, por poneros un ejemplo, todos sabemos que si ponemos un email en el código HTML a los pocos días recibiremos comenzaremos a recibir spam, si lo ponemos como una imagen conseguiremos medianamente evadirlo.

Para generar una imagen automática con PHP con el texto que a nosotros nos interese echaremos mano de imagecreate(),imagecolorallocate() e imagestring().

En el ejemplo  a continuación le paso a imagenemail.php el valor de dominio y usuario que serían los dos datos necesarios para un email, puedes substituir esto por cualquier otro texto y cambiando el valor de la variable $mail, el proceso para convertir el texto en imagen sería el siguiente:

/*
Ejemplo de uso:
imagenemail.php?dominio=dominio.com&usuario=usuario
*/
if( !isset($_GET['usuario']) || !isset($_GET['dominio']) )
// Comprobamos que tenemos todos los datos
die('El email es incorrecto.');
$email = $_GET['usuario'].'@'.$_GET['dominio'];
//Guardamos el eMail en la variable eMail
$ancho = (strlen($email)*6)+1;
//Calculamos el ancho de la imagen
$imagen = imagecreate($ancho, 14)
or die('Cannot initialize new GD image stream');
$white = imagecolorallocate($imagen, 255, 255, 255);
$black = imagecolorallocate($imagen, 0, 0, 0);
// Creamos la imagen
imagestring($imagen, 2, 1, 0, $email, $black);
//Escribimos el eMail en la imagen
header('Content-type: image/png');
//Cabecera
imagepng($imagen);
//Imagen
imagedestroy($imagen);

Esto lo guardaríamos en un fichero imagenemail.php y lo llamaríamos de la siguiente forma imagenemail.php?usuario=usuario&dominio=dominio.com

Descargar: imagenemail