Mejores servicios de seguridad web para WordPress, SSL y firma de código

Cómo elegir un servicio de seguridad web

Los productos de seguridad resuelven problemas distintos, así que empieza por lo que necesitas proteger y lo que podría salir mal.

• Qué proteges. Un sitio WordPress necesita un escáner y un cortafuegos en forma de plugin. Un sitio de empresa, una aplicación o un instalador necesitan certificados. Algunos proyectos necesitan ambas cosas.
• Detectar o reparar. Muchas herramientas solo te avisan cuando encuentran malware. Comprueba si la limpieza está incluida en el plan que compras o si se vende como servicio aparte, porque eso decide cuánto tiempo y dinero te cuesta un hackeo.
• Frecuencia de los análisis. Los análisis semanales, diarios, cada 12 horas o cada hora detectan las infecciones a distinta velocidad. Una tienda que cobra pagos se beneficia de comprobaciones más rápidas que un blog personal.
• Dónde se hace el trabajo. Analizar en los servidores del proveedor evita cargar tu hosting; las herramientas que analizan dentro del sitio pueden ralentizarlo.
• Comportamiento del cortafuegos. Un buen cortafuegos bloquea las peticiones dañinas en lugar de solo registrarlas, y te permite bloquear países o bots que no quieres.
• Nivel de validación de los certificados. La validación de dominio (DV) confirma el control de un dominio, la de organización (OV) comprueba además la empresa y la validación extendida (EV) es la más exhaustiva. Los niveles más altos tardan más en emitirse.
• Cobertura. Cuenta dominios, subdominios y sitios. Un certificado comodín (wildcard) o multidominio, o un plan de seguridad para cinco sitios, suele salir más barato que comprar varios individuales.
• Automatización y renovaciones. La vida de los certificados es cada vez más corta, así que la compatibilidad con emisión y renovación automáticas (ACME) ahorra mucho tiempo.
• Soporte y reembolsos. Mira los tiempos de respuesta, un plazo de reembolso claro y sus excepciones antes de pagar.

Mejor servicio de seguridad contra malware en WordPress

MalCare encaja si tu sitio funciona con WordPress y quieres análisis, limpieza y cortafuegos en un solo servicio. Analiza archivos, tablas de la base de datos y tareas programadas en sus propios servidores en lugar de en tu hosting, y sus planes de pago Repair y Fortify eliminan el malware con un clic tras hacer una copia de seguridad y volver a analizar para confirmar que el sitio está limpio.

También sirve para quien aún no quiere pagar. El plan Free no pide tarjeta de crédito e incluye análisis semanales, un cortafuegos básico, protección de inicio de sesión, alertas de vulnerabilidades, monitorización de SSL y 2FA para 2 administradores. Encuentra malware pero no lo elimina. Si más adelante necesitas limpieza, el plan Repair cuesta desde 299 $ al año para un sitio, y Protect, a 99 $ al año, añade un cortafuegos avanzado, parches virtuales, bloqueo geográfico y protección contra bots, sin limpieza.

Para agencias o freelancers, MalCare permite aplicar planes distintos a sitios distintos dentro de una misma cuenta, y las agencias con 10 o más sitios pueden pedir precios de agencia. Lee el análisis de MalCare completo para ver planes y condiciones de reembolso.

Mejor servicio de seguridad para certificados SSL y firma de código

SSL.com es una autoridad de certificación y encaja con quien necesita confianza a nivel de certificado y no un escáner de sitio. Su gama TLS/SSL empieza en 36,75 $ al año con un certificado DV Basic y pasa por los certificados OV High Assurance y Premium hasta Wildcard y Enterprise EV, de modo que puedes ajustar el nivel de validación al sitio. Incluye compatibilidad con ACME para emisión y renovación automáticas, algo importante ahora que la validez máxima de un certificado es de 200 días.

También es una gran opción para desarrolladores. SSL.com vende certificados de firma de código IV, OV, EV y Sole Proprietor, y su servicio eSigner guarda tu clave privada en un HSM en la nube, de modo que puedes firmar desde GitHub Actions, Jenkins, Azure DevOps o GitLab CI sin comprar un token de hardware. Además, el catálogo incluye certificados S/MIME para correo, firma de documentos y PKI gestionada. Consulta el análisis de SSL.com para ver la lista completa de productos.

Qué servicio para qué trabajo

Los dos servicios de esta página no compiten: cubren capas distintas de la seguridad.

Un sitio WordPress que cobra pagos puede usar ambos con sentido: un plugin de seguridad que vigile las infecciones y un certificado que demuestre que el sitio es quien dice ser.

Cómo se fijan los precios de los servicios de seguridad

El precio depende del tipo de producto.

Los plugins de seguridad suelen ofrecer un nivel gratuito y luego escalan según el nivel de protección y el número de sitios. MalCare, por ejemplo, factura anualmente en USD y fija precios de planes de pago para 1 sitio o 5 sitios: Protect cuesta 99 o 299 $ al año, Repair 299 u 899 $, y Fortify 499 o 1.499 $. Entre niveles cambian sobre todo la frecuencia de análisis, si se incluye la limpieza de malware y la rapidez de respuesta de los expertos.

Los certificados se cobran por año según el nivel de validación y la cobertura. SSL.com lista certificados TLS/SSL desde 36,75 $ al año para un DV de un solo dominio, 48,40 $ para un OV High Assurance, 74,25 $ para un Premium de tres dominios, 224,25 $ para un Wildcard y 239,50 $ para un Enterprise EV. Las garantías crecen con el nivel, desde 10.000 $ en Basic hasta 1.750.000 $ en Enterprise EV. Los certificados de firma de código y S/MIME se cobran aparte, así que revisa la página del producto.

Dos hábitos ahorran dinero en ambas categorías: compra cobertura multisitio o multidominio si tienes varias propiedades, y usa el nivel gratuito o el plazo de reembolso para comprobar que el servicio te funciona antes de comprometerte un año.

Notas sobre seguridad, validación y reembolsos

Algunos puntos a tener en cuenta antes de comprar:

• La limpieza no siempre está incluida. En un plugin con planes escalonados, un plan gratuito o de entrada puede encontrar malware pero no eliminarlo. El reembolso de MalCare tampoco está disponible si ya ha limpiado malware de tu sitio dentro del plazo de reembolso.
• La validación lleva tiempo. Los certificados DV suelen emitirse en minutos, los OV en 1 a 3 días hábiles y los EV en 1 a 5. Pídelos con tiempo antes de un lanzamiento o de una fecha de caducidad.
• Protege tus claves de firma. Las claves privadas de firma de código no se pueden exportar; viven en un token de hardware validado FIPS o en un HSM en la nube.
• Lee la política de reembolso. SSL.com describe una garantía de devolución de 30 días en los certificados digitales, con condiciones, y los tokens de hardware no son reembolsables. MalCare ofrece un plazo de reembolso de 14 días.