En francés se llama infogérance, contracción de informatique y gérance; en España se habla de servicios gestionados o, en el mundo del alojamiento web, de hosting gestionado. La ANSSI (Francia), que le dedicó una guía ya en 2010, habla de empresas y administraciones que deciden confiar a un tercero toda o parte de una actividad informática. En el hosting web aparecen sobre todo dos formas: el servidor gestionado, en el que el proveedor administra la máquina que alquilas, y el contrato de servicios gestionados con una empresa que explota tus servidores, estén donde estén.
Qué cubre un servicio gestionado
El alcance depende por completo del contrato. Una base habitual incluye la instalación y actualización del sistema y del software del servidor (servidor web, PHP, base de datos), la monitorización de la disponibilidad con guardias, las copias de seguridad, la gestión del cortafuegos y la intervención ante incidencias. Algunas ofertas añaden la optimización del rendimiento, la gestión de los certificados o las actualizaciones de la propia aplicación.
En un VPS o un servidor dedicado, el servicio gestionado cubre el principal inconveniente de estas fórmulas: la administración que te toca. Un servidor no gestionado puede, por ejemplo, aplicar solo los parches de seguridad (el paquete unattended-upgrades de Ubuntu lo hace cada día), pero nadie vigila los discos, los registros o la saturación de la memoria.
Los riesgos que identifica la ANSSI
La ANSSI clasifica los riesgos de la externalización en tres ámbitos: la pérdida de control del sistema de información, las intervenciones a distancia y el alojamiento compartido. En la práctica, el proveedor tiene accesos muy amplios a tus servidores; tienes que saber quién se conecta, desde dónde y cómo. La guía recomienda apoyarse en un plan de aseguramiento de la seguridad, que describe los compromisos del proveedor.
Las cláusulas que hay que revisar
- Alcance: ¿solo el sistema, o también WordPress y sus plugins?
- Disponibilidad y plazos: compromisos cuantificados, horario de guardia, penalizaciones; consulta la noción de uptime y SLA.
- Copias de seguridad: frecuencia, tiempo de conservación, lugar de almacenamiento, pruebas de restauración. Una copia de seguridad 3-2-1 supone al menos una copia fuera del proveedor.
- Datos personales: el proveedor es encargado del tratamiento según el artículo 28 del RGPD. El contrato debe obligarle a actuar solo siguiendo instrucciones, a proteger los datos y a suprimirlos o devolverlos al final del contrato. Nuestro artículo sobre el RGPD y la seguridad de WordPress detalla estas obligaciones.
- Reversibilidad: cómo recuperar tus datos, tus configuraciones y tus accesos si cambias de proveedor.
Para WordPress
Un servidor gestionado no protege WordPress por ti, salvo que se diga expresamente. El proveedor mantiene PHP y el sistema, pero un plugin vulnerable, una contraseña débil o una cuenta de administrador olvidada siguen siendo asunto tuyo. Pregunta quién aplica las actualizaciones de WordPress, quién recibe las alertas de seguridad y quién interviene si hay un hackeo: el procedimiento de limpieza de un sitio hackeado exige una coordinación clara entre tú y el proveedor.
Errores frecuentes
Suponer que todo está incluido, no probar nunca una restauración o compartir una única cuenta de administrador con el proveedor en lugar de cuentas nominativas que se puedan revocar. Por último, un servicio gestionado barato que se limita a reiniciar los servicios no sustituye a una verdadera explotación.