Seguridad en phpBB: spam, bots y copias de seguridad que funcionan
Un foro phpBB que lleva seis meses en línea sin que nadie haya tocado la configuración de seguridad ya tiene spam. No es una cuestión de si, sino de cuándo. Los bots de registro rastrean la web buscando instalaciones de phpBB con la configuración por defecto, y cuando la encuentran crean cuentas, publican mensajes con enlaces y desaparecen. El administrador se entera días después, cuando un usuario de verdad pregunta por qué hay treinta mensajes sobre zapatillas en el subforo de presentaciones.
El spam de registro
La primera línea de defensa es el formulario de registro. phpBB trae un sistema anti-spam de serie, basado en preguntas que el usuario debe responder para completar el registro. Las preguntas las configura el administrador: pueden ser sobre el tema del foro, sobre lógica básica o sobre cualquier cosa que un bot no sepa contestar.
El problema es que los bots evolucionan. Una pregunta como «¿de qué color es el cielo?» puede ser resuelta por un bot que busca la respuesta en un diccionario. Una pregunta como «¿cuántos subforos hay en este foro?» resiste mejor, porque requiere leer la página. Pero la defensa más eficaz no es la pregunta, sino combinar varias capas: pregunta anti-bot, CAPTCHA y, si el foro es pequeño, aprobación manual de los nuevos registros.
La aprobación manual es el muro más alto. Cada registro nuevo llega a la cola del administrador, que lo revisa antes de activar la cuenta. En un foro con cinco registros al día es factible. En uno con cincuenta, no. Para los foros de tamaño medio, lo razonable es usar la aprobación manual durante los primeros meses — cuando el foro es más vulnerable — y pasarla a automática cuando la comunidad tenga moderadores suficientes para vigilar los mensajes.
Extensiones anti-spam
El catálogo de extensiones de phpBB incluye varias dedicadas a la lucha contra el spam. Las más extendidas consultan bases de datos de direcciones IP y correos electrónicos conocidos por enviar spam: si la IP del visitante o el correo que usa para registrarse aparece en esas listas, el registro se bloquea antes de que empiece.
Otras extensiones añaden campos ocultos al formulario de registro — los llamados honeypots — que un humano no ve pero un bot rellena automáticamente. Si el campo oculto llega relleno, el registro se rechaza. Es una técnica sencilla y eficaz contra los bots más básicos, aunque los sofisticados ya la reconocen.
Ninguna extensión sustituye a la actualización del software. Un phpBB desactualizado tiene agujeros conocidos, documentados y explotados. La primera medida de seguridad de cualquier foro es mantener phpBB en su última versión estable, y eso incluye las extensiones: una extensión abandonada con una vulnerabilidad conocida es una puerta abierta.
Más allá del spam: accesos y permisos
Un foro no se compromete solo por spam. Un acceso al panel de administración con una contraseña débil es un riesgo mayor que mil bots de registro. phpBB permite configurar la autenticación del panel de control con una contraseña adicional, distinta de la del usuario administrador. Actívala. Si el hosting lo permite, restringe el acceso al directorio /adm/ por dirección IP.
Los permisos de phpBB son granulares hasta el agotamiento. Se pueden definir por usuario, por grupo, por foro y por tipo de acción. La tentación es dejarlo todo en la configuración por defecto, que suele ser permisiva. Revisa al menos estos tres puntos: que los usuarios nuevos no puedan enviar mensajes privados hasta que hayan publicado un número mínimo de mensajes, que los adjuntos estén limitados en tamaño y tipo de archivo, y que el acceso al panel de moderación esté restringido a las personas que realmente moderan.
Copias de seguridad que sirven
Hacer una copia de seguridad es fácil. Hacer una que sirva cuando la necesitas es otra cosa. La diferencia está en tres detalles que casi nadie comprueba: que la copia incluya la base de datos y los archivos adjuntos, que se guarde fuera del servidor y que alguien la haya restaurado al menos una vez para comprobar que funciona.
phpBB tiene una función de copia de seguridad de la base de datos en el panel de administración. Es útil para copias rápidas, pero tiene limitaciones: no incluye los archivos del foro (imágenes, adjuntos, avatares) y en bases de datos grandes puede fallar por límites de memoria o tiempo de ejecución del servidor. Para un foro con actividad real, la copia de seguridad debería hacerse desde la línea de comandos del servidor, con mysqldump o una herramienta equivalente, y el resultado debería descargarse a un disco local o a un servicio de almacenamiento externo.
La frecuencia depende de la actividad. Un foro con veinte mensajes al día necesita una copia diaria. Uno con cinco mensajes a la semana, una semanal. Lo importante es que la copia sea automática, porque las copias manuales dependen de que alguien se acuerde, y la gente se olvida.
Y el test de restauración: al menos una vez, descarga la copia, instala phpBB limpio en otro sitio, importa la base de datos y los archivos, y comprueba que el foro arranca con todos los mensajes y los usuarios intactos. Si nunca lo has hecho, no tienes una copia de seguridad. Tienes un archivo que esperas que funcione.
Una rutina mínima
Cada semana: revisa la cola de registros pendientes y los mensajes reportados. Cada mes: comprueba si hay actualizaciones de phpBB y de las extensiones instaladas. Cada tres meses: descarga una copia de seguridad completa y guárdala fuera del servidor. Una vez al año: prueba a restaurar esa copia en un entorno de pruebas.
No es mucho tiempo. Es mucho menos del que lleva reconstruir un foro desde cero cuando algo sale mal y la última copia tiene seis meses.
Si estás montando un foro nuevo, empieza por elegir el motor. Si ya lo tienes y quieres cambiar su aspecto sin romper las actualizaciones, la guía de personalización de temas explica cómo. Y si vienes de otro motor, aquí está la guía de migración a phpBB.