Volvemos a estar en línea

Esta mañana dejamos eventplanner.net fuera de línea. Lo hicimos deliberadamente, como medida de precaución, y con todo lo que sabemos ahora volveríamos a tomar exactamente la misma decisión. Todo vuelve a funcionar con normalidad y puedes retomar justo donde lo dejaste.

Si visitaste la web durante esas horas, viste nuestro mensaje en el que explicábamos que habíamos cerrado el sitio debido a un problema crítico de seguridad que afectaba a una tecnología utilizada en toda la web. Esa era la versión resumida, escrita mientras nuestro equipo trabajaba a contrarreloj para solucionarlo. Ahora que ya estamos de vuelta, aquí tienes toda la historia explicada con claridad.

Qué ocurrió

Casi todos los sitios web del mundo se construyen sobre un pequeño número de componentes compartidos. Uno de ellos se llama PHP. Nunca has tenido que pensar en ello, y no deberías tener que hacerlo, pero es el motor que hace funcionar una gran parte de internet: bancos, tiendas en línea, sitios de noticias y buena parte del software que utiliza nuestro sector cada día.

Anoche, el equipo responsable de PHP hizo algo que casi nunca hace. Advirtió al mundo de que se habían descubierto dos graves problemas de seguridad, que la solución se publicaría a la tarde siguiente y que todo el mundo debía prepararse para instalarla en cuanto estuviera disponible. Lo que decidió no revelar fue en qué consistían exactamente esos problemas.

Tenían un buen motivo para guardar silencio. Eran las peores vulnerabilidades: permitían que una persona ajena tomara el control de un servidor sin necesitar nombre de usuario, contraseña ni ningún tipo de cuenta.

Pero el aviso creó un intervalo incómodo de aproximadamente un día. Todo el mundo sabía que había una forma de entrar, pero la solución todavía no existía. Era una invitación abierta, y hubo quien la aprovechó. Los delincuentes buscaron la vulnerabilidad, la encontraron y esta mañana, a primera hora, se notificaron los primeros ataques reales a sitios web, antes de que nadie pudiera instalar una solución.

Por qué dejamos de estar en línea

Así que esta mañana había una forma conocida de acceder a servidores como los nuestros, pero todavía no había nada que instalar para protegerlos. Es una brecha que no se puede cerrar con ingenio. No hay ningún ajuste que cambiar, ningún candado adicional que colocar ni ningún tipo de vigilancia que pueda detener de forma fiable un ataque cuya forma todavía se desconoce. Lo único que funciona con certeza es no estar accesibles en absoluto.

Eso fue lo que hicimos. Cerramos la puerta, la mantuvimos cerrada hasta que se publicó la solución oficial y aprovechamos ese tiempo para preparar y probar la actualización, de modo que pudiéramos instalarla en cuanto estuviera disponible.

No tomamos esta decisión a la ligera

En los 25 años de historia de eventplanner.net, esta es la primera vez que sufrimos una interrupción así. Sabemos exactamente lo que cuesta una página de mantenimiento. A cualquier hora del día, hay organizadores que utilizan la plataforma para eventos que están teniendo lugar en ese momento. Se abren las puertas. Se comprueban las listas de invitados en la entrada. Entre bastidores, hay un plan de acción abierto en un portátil, el equipo marca las tareas completadas, se actualiza un presupuesto mientras un proveedor espera al teléfono. Para nosotros, dejar la web fuera de línea no es una decisión técnica abstracta. Sabemos a quién estamos interrumpiendo el día.

Lo sopesamos frente a la alternativa, y no hubo duda. Por un lado, unas horas de molestias reales, pero temporales. Por otro, la posibilidad de que un desconocido accediera a una plataforma que contiene tus listas de invitados, tus presupuestos, tus acuerdos con proveedores y los datos personales de tus asistentes. El riesgo era demasiado alto, y no nos corresponde asumirlo en tu nombre.

Así que elegimos las molestias. Volveríamos a hacerlo.

Por qué pudimos actuar tan rápido

Nuestro equipo siguió la situación desde el momento en que apareció el primer aviso. Identificamos cuáles de nuestros sistemas estaban afectados, preparamos la actualización, la probamos y lo dejamos todo listo antes incluso de que existiera una solución.

Al final, se publicó antes de lo anunciado. Como estábamos preparados, actualizamos nuestros servidores en quince minutos, los revisamos y volvimos a estar en línea.

Esa rapidez no es cuestión de suerte. Es el resultado de invertir en tecnología profesional de nivel empresarial, con una automatización adecuada, en lugar de depender de un puñado de servidores que alguien actualiza a mano. Es el tipo de inversión que nunca ves como usuario ni en la que piensas, hasta el día en que es lo único que importa. Ese día fue hoy.

Qué significa esto para ti

Nada, y ese es precisamente el objetivo. No tienes que actualizar, cambiar ni restablecer nada. Tus datos, eventos y ajustes están exactamente como los dejaste.

Sentimos la interrupción y te agradecemos la paciencia de hoy. Muchos dedujisteis lo que estaba pasando al ver la página de mantenimiento, y más de uno tuvisteis que hacer frente esta mañana a la misma emergencia en vuestra propia web. Pensamos en todos los equipos de TI que siguen trabajando en esto esta noche.

Ahora, de vuelta a vuestros eventos.