Web DesignWebsite Security Checklist: 10 Steps to Protect Your Business
Many business owners think hackers only go after big companies. In reality, automated attacks scan the whole internet looking for any website with a weak spot, no matter how small the business is. The good news is that basic website security is not complicated. Use this 10-point checklist to protect your site, your customers and your reputation.
1. Use HTTPS on every page
Look at your address bar. You should see a padlock and an address that starts with https. HTTPS encrypts the information between your site and your visitors, like contact form details. Browsers warn visitors about sites without it, which scares customers away. Most hosts offer a free SSL certificate, so there is no reason to go without one.
2. Use strong, unique passwords
Every account connected to your website needs its own long, unique password: your website login, hosting, domain registrar and email. Reusing one password means one leak can open every door. A password manager such as 1Password or Bitwarden creates and remembers strong passwords for you.
3. Turn on two-factor authentication
Two-factor authentication asks for a second step after your password, usually a code from an app on your phone. Even if someone steals your password, they still cannot get in. Turn it on for your website admin, your hosting account, your domain registrar and your business email.
4. Keep everything updated
Updates for your website software, theme and plugins often fix security holes that attackers already know about. Running old versions is one of the most common ways business sites get hacked. Check for updates every week, or use a service that handles them for you. Delete plugins and themes you no longer use.
5. Back up automatically, off site, and test it
A backup is your safety net if anything goes wrong. Set up automatic backups that run on a schedule and are stored somewhere other than your web server. Then test them. Restore a backup now and then to make sure it actually works. A backup you have never tested is only a hope.
Remember: Keep at least one recent backup that is stored away from your hosting account, so a single problem cannot take out both your site and your backup.
6. Add a firewall
A web application firewall sits in front of your website and blocks many bad requests before they reach it. Services such as Cloudflare offer this, and many hosts include a basic firewall. It also helps keep your site online during traffic spikes and some attacks.
7. Limit login attempts
Bots try thousands of password guesses on login pages. Limit how many failed attempts are allowed before an address is blocked for a while. Use a security plugin or your host's tools to set this up. It also helps to avoid obvious admin usernames like "admin."
8. Scan for malware
Malware can hide in your site for a long time while it sends spam, redirects visitors or steals data. Run regular scans with a trusted tool such as Sucuri or your host's scanner. If Google finds malware first, it may warn visitors away from your site, so catching it early matters.
9. Remove old admin accounts
Former employees, past web designers and old freelancers may still have logins. Review every user account on your website, hosting and domain. Remove anyone who no longer needs access, and give everyone else only the level of access they need.
10. Have an incident plan
Decide now what you will do if your site is hacked, before it happens. Write down:
- Who to contact first, like your host and whoever manages your website.
- Where your backups are and how to restore them.
- How to change every password quickly.
- How you will let customers know if their information may have been exposed.
If customer data is involved, you may have a legal duty to notify people. Breach notification laws differ by state, so check your state's rules. The FTC's cybersecurity resources for businesses are a good place to start.
Make website security a habit
Website security is not a one-time project. It is a short routine: update, back up, scan and review who has access. Put it on your calendar, or hand it to someone you trust, and your site will be much harder to break into.
Want Visi to do this for you?
Website Care keeps your site updated, backed up and secure for $39 a month, and it is included in every plan.
Get StartedLista de seguridad para tu sitio web: 10 pasos para proteger tu negocio
Muchos dueños de negocios creen que los hackers solo atacan a las grandes empresas. En realidad, hay ataques automáticos que recorren todo internet buscando cualquier sitio web con un punto débil, sin importar qué tan pequeño sea el negocio. La buena noticia es que la seguridad básica de un sitio web no es complicada. Usa esta lista de 10 puntos para proteger tu sitio, a tus clientes y tu reputación.
1. Usa HTTPS en todas las páginas
Mira la barra de direcciones. Debes ver un candado y una dirección que empieza con https. HTTPS cifra la información entre tu sitio y tus visitantes, como los datos de un formulario de contacto. Los navegadores advierten a los visitantes sobre los sitios que no lo tienen, y eso asusta a los clientes. La mayoría de los proveedores de hosting ofrecen un certificado SSL gratis, así que no hay razón para no tenerlo.
2. Usa contraseñas fuertes y únicas
Cada cuenta conectada a tu sitio web necesita su propia contraseña larga y única: el acceso a tu sitio, el hosting, el registrador de tu dominio y tu correo. Si repites una contraseña, una sola filtración puede abrir todas las puertas. Un administrador de contraseñas como 1Password o Bitwarden crea y recuerda contraseñas fuertes por ti.
3. Activa la verificación en dos pasos
La verificación en dos pasos pide un segundo paso después de tu contraseña, normalmente un código de una app en tu celular. Aunque alguien robe tu contraseña, no podrá entrar. Actívala en el administrador de tu sitio, tu cuenta de hosting, el registrador de tu dominio y tu correo de negocio.
4. Mantén todo actualizado
Las actualizaciones del software de tu sitio, del tema y de los plugins muchas veces corrigen fallas de seguridad que los atacantes ya conocen. Usar versiones viejas es una de las formas más comunes en que hackean los sitios de negocios. Revisa si hay actualizaciones cada semana, o usa un servicio que lo haga por ti. Borra los plugins y temas que ya no uses.
5. Haz copias de seguridad automáticas, fuera del servidor, y pruébalas
Una copia de seguridad es tu red de protección si algo sale mal. Configura copias automáticas que se hagan con regularidad y que se guarden en un lugar distinto a tu servidor web. Luego pruébalas. Restaura una copia de vez en cuando para asegurarte de que realmente funciona. Una copia que nunca has probado es solo una esperanza.
Recuerda: Guarda al menos una copia reciente fuera de tu cuenta de hosting, para que un solo problema no acabe con tu sitio y con tu copia al mismo tiempo.
6. Agrega un firewall
Un firewall para aplicaciones web se coloca delante de tu sitio y bloquea muchas solicitudes maliciosas antes de que lleguen. Servicios como Cloudflare lo ofrecen, y muchos proveedores de hosting incluyen un firewall básico. También ayuda a mantener tu sitio en línea durante picos de tráfico y algunos ataques.
7. Limita los intentos de inicio de sesión
Los bots prueban miles de contraseñas en las páginas de acceso. Limita cuántos intentos fallidos se permiten antes de bloquear una dirección por un tiempo. Usa un plugin de seguridad o las herramientas de tu hosting para configurarlo. También ayuda evitar nombres de usuario obvios como "admin".
8. Busca malware
El malware puede esconderse en tu sitio por mucho tiempo mientras envía spam, redirige a tus visitantes o roba datos. Haz revisiones regulares con una herramienta confiable como Sucuri o el escáner de tu hosting. Si Google encuentra el malware primero, puede advertir a los visitantes que no entren a tu sitio, así que detectarlo a tiempo es importante.
9. Elimina cuentas de administrador viejas
Antiguos empleados, diseñadores web anteriores y freelancers de otros tiempos pueden seguir teniendo acceso. Revisa cada cuenta de usuario en tu sitio web, tu hosting y tu dominio. Elimina a quien ya no necesite acceso y dale a los demás solo el nivel de acceso que necesitan.
10. Ten un plan para incidentes
Decide ahora qué harás si hackean tu sitio, antes de que pase. Escribe:
- A quién contactar primero, como tu hosting y quien administra tu sitio web.
- Dónde están tus copias de seguridad y cómo restaurarlas.
- Cómo cambiar todas tus contraseñas rápidamente.
- Cómo avisarás a tus clientes si su información pudo quedar expuesta.
Si hay datos de clientes involucrados, puede que tengas la obligación legal de avisarles. Las leyes de notificación de filtraciones cambian según el estado, así que revisa las reglas de tu estado. Los recursos de ciberseguridad para negocios de la FTC son un buen punto de partida.
Haz de la seguridad de tu sitio web un hábito
La seguridad de tu sitio web no es un proyecto de una sola vez. Es una rutina corta: actualizar, hacer copias, revisar si hay malware y revisar quién tiene acceso. Ponla en tu calendario, o déjala en manos de alguien de confianza, y tu sitio será mucho más difícil de atacar.
¿Quieres que Visi lo haga por ti?
Website Care mantiene tu sitio actualizado, respaldado y seguro por $39 al mes, y viene incluido en todos los planes.
Empezar