Checklist de seguridad para Moodle empresarial

Moodle guarda datos personales, calificaciones y a veces información sensible de tu empresa. Un sitio desatendido es un blanco fácil. Esta lista resume lo que revisamos en cada sitio que operamos.

Antes de empezar: el reporte de seguridad de Moodle

Moodle incluye un reporte de verificaciones de seguridad en Administración del sitio > Informes. Señala configuraciones riesgosas con colores. Es lo primero que hay que revisar, y debería estar en verde.

1. Actualizaciones

• Moodle está en una versión con soporte de seguridad vigente. Consulta cómo actualizar Moodle.
• Los parches menores se aplican en cuanto se publican.
• Tu equipo sigue los avisos de seguridad de Moodle.
• Todos los plugins tienen versión mantenida y compatible.
• Se desinstalaron los plugins que no se usan.

2. Cuentas y permisos

• Pocos administradores, cada uno con su propia cuenta (nada de cuentas compartidas).
• Revisión periódica de usuarios con roles elevados: gestor, creador de cursos, profesor editor.
• Cuentas de personas que salieron de la empresa, suspendidas.
• El autorregistro está desactivado si no se necesita.
• Política de contraseñas con longitud mínima razonable.

3. Autenticación

• Autenticación en dos pasos activada, al menos para administradores. Viene incluida desde Moodle 4.3.
• Si usas SSO, el proveedor de identidad exige verificación en dos pasos. Ver SSO en Moodle.
• Bloqueo de cuenta tras varios intentos fallidos.

4. Servidor y red

• Todo el sitio funciona solo por HTTPS.
• El directorio moodledata está fuera de la carpeta pública del servidor web.
• En Moodle 5.1 o posterior, el servidor apunta a la carpeta public.
• Firewall de aplicaciones (WAF) y protección contra ataques de denegación de servicio.
• Acceso al servidor solo por llaves, sin contraseñas, y solo para quien lo necesita.
• PHP y la base de datos en versiones con soporte.

5. Archivos y contenido

• Límite de tamaño de archivos subidos acorde a tu uso.
• Revisión de qué tipos de archivo pueden subir los usuarios.
• Filtros de contenido que no permitan código no confiable en foros o textos.

6. Respaldos

• Respaldo automático diario de base de datos y moodledata.
• Al menos una copia fuera del servidor principal, en otra región o proveedor.
• Una restauración de prueba al menos una vez por trimestre. Un respaldo que nunca se restauró no es confiable.

7. Monitoreo

• Alertas si el sitio deja de responder.
• Revisión de registros de errores y de accesos inusuales.
• Revisión de tareas programadas fallidas.

Prioriza si no puedes hacer todo

Si solo tienes tiempo para tres cosas esta semana:

1. Actualiza a una versión con soporte.
2. Activa la autenticación en dos pasos para administradores.
3. Prueba que tus respaldos se pueden restaurar.

Con eso cierras la mayor parte del riesgo.

Conclusión

La seguridad de Moodle no es un proyecto de una sola vez: es una rutina. En un Moodle administrado esta lista la cubrimos nosotros todos los meses, con WAF, protección DDoS, respaldos diarios y monitoreo incluidos. Si quieres saber cómo está tu sitio hoy, pide un diagnóstico gratuito.