El mensaje dice: “La página web está caída.”
Usted lo comprueba. Carga perfectamente. Pero su cliente, y los clientes de su cliente, están mirando una advertencia roja a pantalla completa:
Amenaza potencial detectada. Advanced Security bloqueó el acceso a este sitio. Este sitio podría poner en peligro su dispositivo o contener contenido de alto riesgo.
El sitio no está caído. El sitio no está hackeado. Está pasando algo más sigiloso: la reputación del dominio ha sido marcada, y una parte de internet le está diciendo en voz baja a la gente que su negocio es peligroso.
La semana pasada resolvimos exactamente esta situación para una de nuestras clientas. Aquí está lo que realmente ocurría, por qué les pasa a pequeñas empresas perfectamente legítimas y cómo se arregla.
La advertencia no viene del sitio web
La mayoría de la gente nunca ha oído hablar de la capa de seguridad que se interpone entre su wifi e internet.
Los routers domésticos y los proveedores de internet ahora incluyen protección a nivel de red, casi siempre activada de fábrica:
- Cox Panoramic Wifi y su “Advanced Security”
- Xfinity xFi “Advanced Security”
- eero Secure en routers eero
- Además del antivirus en el ordenador del visitante: Kaspersky, ESET, Sophos, BitDefender, Webroot y otros advierten o bloquean directamente en el navegador.
Todos ellos leen listas de inteligencia de amenazas: listas de dominios clasificados como phishing o malware. Si su dominio aparece en algunas de esas listas, cada visitante detrás de uno de esos routers, o con uno de esos antivirus, ve una página de susto en lugar de su sitio web.
Su sitio puede estar impecable hoy y aun así figurar en esas listas. Le explicamos por qué.
Cómo un negocio legítimo acaba en una lista de amenazas
Tres caminos habituales:
1. Su dominio tiene un pasado. Un dominio que lleva años en línea puede haber alojado un sitio antiguo que fue hackeado en algún momento, muchas veces sin que el dueño lo supiera jamás. Los sitios hackeados se usan para alojar páginas de estafa, el dominio queda marcado y la marca sobrevive años a la limpieza. Las listas de amenazas tardan en perdonar.
2. El error de un proveedor se propaga. Los productos de seguridad más pequeños licencian sus clasificaciones de listas más grandes. Un solo falso positivo en el origen puede repetirse en media docena de proveedores “distintos” que revenden los mismos datos.
3. Los filtros automáticos fallan. Dominios nuevos, formularios que parecen páginas de inicio de sesión o compartir dirección con un mal vecino pueden activar clasificadores automáticos sin ninguna revisión humana.
Nada de esto requiere que usted haya hecho algo mal.
Cómo se vio en una Surmado Site
Una de nuestras clientas, una agente inmobiliaria de Phoenix, trasladó su sitio a Surmado Sites este verano. Su dominio es valioso: dieciséis años de antigüedad, muy conocido por sus clientes. En algún momento de esos dieciséis años, mucho antes de Surmado, el sitio antiguo que vivía en ese dominio al parecer fue comprometido. Los registros de los proveedores de seguridad muestran alrededor de cien enlaces maliciosos históricamente asociados al dominio. La infección era historia antigua. El daño a la reputación, no.
La semana pasada ese lastre salió a la superficie: once proveedores de seguridad marcaban el dominio como “phishing”, y la seguridad del router de su proveedor de internet bloqueaba el sitio para buena parte de su ciudad.
Y aquí viene lo importante. Como es una Surmado Site, esto era problema nuestro, no suyo:
- Confirmamos que el sitio en sí estaba sano y cargaba sin problemas desde cinco países.
- Rastreamos el bloqueo hasta la seguridad del router, que leía listas de amenazas desactualizadas.
- Auditamos todo lo que servimos en el dominio y verificamos que estaba impecable. Google Safe Browsing coincidió: limpio.
- Presentamos correcciones ante cada proveedor que aún mantenía la marca antigua y pedimos que reclasificaran el sitio como lo que es: inmobiliario.
Su lista de tareas durante todo esto: nada.
Revise su propio sitio en 15 minutos
Paso 1: Confirme que el sitio realmente está en línea (2 min). Cárguelo en su móvil con el wifi apagado. Después pruébelo en check-host.net, gratuito, que carga su sitio desde varios países. Si el mundo ve su sitio y usted ve una advertencia, es un bloqueo de reputación, no una caída.
Paso 2: Busque su dominio en VirusTotal (3 min). Busque su dominio en virustotal.com. Muestra los veredictos de unos 90 proveedores de seguridad a la vez. Sano es todo verde. Un problema de reputación se ve como el de nuestra clienta: once proveedores diciendo “Phishing” mientras el resto dice limpio.
Paso 3: Consulte Google Safe Browsing (2 min). Busque su URL en el Informe de Transparencia de Google. Si el propio Google lo marca, Chrome advierte a cada visitante, y la solución pasa por Google Search Console.
Paso 4: Vea quién lo bloquea localmente (5 min). La página de advertencia suele nombrar el producto (“Advanced Security”, “eero Secure”). Eso indica qué lista importa más, y la app del router tiene una opción de “permitir este sitio” que lo desbloquea de inmediato en su propia red.
Salir de las listas
Permitir el sitio en su propio router solo lo arregla para su red. Cada proveedor mantiene su propia lista, así que la solución real es presentar un informe de falso positivo ante cada uno. Limpiar las listas grandes suele limpiar también los productos pequeños que revenden sus datos.
Los canales, vigentes al momento de escribir esto:
| Proveedor | Dónde reportar |
|---|---|
| Webroot / BrightCloud | Solicitud de cambio de OpenText Threat Intelligence |
| Kaspersky | OpenTIP: busque su dominio y envíelo a reanalizar |
| ESET | Correo a samples@eset.com con asunto “False positive” |
| alphaMountain | Ticket de soporte (sus datos alimentan muchas otras herramientas) |
| BitDefender | Formulario de falsos positivos en su sitio de soporte |
| Sophos | Envío de direcciones web en su portal de soporte |
En cada informe: diga claramente qué es el negocio, que el sitio no recopila contraseñas ni datos de pago y, si el dominio tiene historia, que el sitio actual es una reconstrucción completa. Pida una nueva revisión y la categoría correcta.
Los proveedores suelen responder en una semana. Los routers y proveedores de internet adoptan las listas actualizadas después. Calcule de una a tres semanas para la recuperación completa.
Qué tiene que ver esto con Surmado Sites
Cada Surmado Site está construida como los revisores de seguridad quisieran que fueran todos los sitios: sin página de inicio de sesión, sin base de datos, sin complementos donde los atacantes puedan entrar. Las cosas que hicieron que los sitios antiguos fueran hackeados, y que los dominios antiguos quedaran marcados, simplemente no están.
Y cuando la fontanería de internet falla de todos modos, como una marca de hace dieciséis años que aparece de la nada, encontrarla y arreglarla es parte del servicio. Su trabajo es dirigir su negocio. La página roja de advertencia es nuestra.