Qué debe incluir el mantenimiento de un servidor

«Tenemos mantenimiento» puede significar cosas muy distintas. Para unos es que alguien reinicia el servidor cuando falla; para otros, actualizaciones semanales, copias verificadas y alertas. Si pagáis por mantener un servidor, o os estáis planteando hacerlo, esta lista os sirve para saber qué deberíais estar recibiendo y qué preguntar.

Mantenimiento preventivo frente a «apagar fuegos»

El modelo de «llámame cuando se rompa» parece barato hasta que se rompe. Un servidor sin actualizar acumula vulnerabilidades conocidas, un disco que se va llenando acaba parando la base de datos y un certificado caducado tumba la web un domingo. El mantenimiento preventivo consiste en hacer pequeñas tareas a menudo para que esas sorpresas no lleguen.

Las tareas que no pueden faltar

Actualizaciones del sistema y de las aplicaciones

Parches de seguridad del sistema operativo (Linux o Windows Server), del software que corre encima (base de datos, servidor web, panel, hipervisor) y del firmware cuando el fabricante publica correcciones. Lo razonable es:

• Aplicar los parches de seguridad con una frecuencia fija y pactada.
• Hacerlo en una ventana acordada, con copia previa.
• Probar primero en un entorno de pruebas cuando el cambio es grande, como una versión mayor del sistema.

Copias de seguridad que se comprueban

No basta con que la copia «se haga». Hay que revisar que termina sin errores, que hay copia fuera del edificio y que se puede restaurar. Una restauración de prueba periódica es la única forma de saberlo. Lo explico con detalle en la guía sobre copias 3-2-1 e inmutables.

Monitorización y alertas

Un sistema que vigile disco, memoria, CPU, servicios caídos, estado de los discos (SMART o RAID) y caducidad de certificados, y que avise antes de que el problema afecte a los usuarios. Herramientas como Zabbix, Prometheus con Grafana o Uptime Kuma lo hacen bien; la herramienta importa menos que el hecho de que alguien mire las alertas.

Seguridad y accesos

• Revisar quién tiene acceso y retirar cuentas de personas que ya no están.
• Acceso de administración solo por VPN o con clave SSH, nunca con contraseña expuesta a internet.
• Firewall con solo los puertos imprescindibles abiertos.
• Revisar los registros en busca de intentos de acceso y errores repetidos.

Renovaciones y vencimientos

Certificados TLS, dominios, licencias, garantías del hardware y fin de soporte del sistema operativo. Un calendario de vencimientos evita sustos y permite planificar migraciones con tiempo.

Documentación

Qué servicios hay, cómo se accede, dónde están las copias, cómo se restaura y a quién se llama. Si el técnico cambia, la documentación es lo que evita empezar de cero.

La frecuencia exacta depende de lo crítico que sea el servidor y de cuántos cambios tenga; lo importante es que esté acordada por escrito.

Como CTO de una plataforma online, el 99,9 % de disponibilidad se sostenía con procesos automatizados y pruebas en cada cambio. Un servidor suelto es otra escala, pero la idea sirve igual: automatizar lo repetitivo y comprobar cada cambio.

Qué preguntar antes de contratar un mantenimiento

• ¿Qué tareas incluye exactamente y con qué frecuencia? Pedid la lista por escrito.
• ¿Cuál es el tiempo de respuesta? Y en qué horario. Distinguid entre la vigilancia automática, que puede funcionar 24/7, y la respuesta humana. En mi caso, la respuesta es en horario laboral con un plazo acordado según la gravedad.
• ¿Cómo se accede al servidor? Con cuentas nominales y por un canal seguro.
• ¿Recibiré un informe? Sin informe, no sabéis si se está haciendo.
• ¿Quién es el dueño de las credenciales y la documentación? Debe ser vuestra empresa.
• ¿Qué pasa si dejamos de trabajar juntos? Debe haber un traspaso ordenado.

Linux, Windows Server y servidores en contenedores

El mantenimiento es parecido en los tres casos, con matices. En Windows Server pesan más las actualizaciones mensuales y el Directorio Activo; en Linux, las actualizaciones de paquetes y la configuración de servicios; y cuando las aplicaciones corren en contenedores Docker, actualizar suele ser más seguro porque se cambia la imagen y se puede volver atrás si algo falla.

En la página de SRE como servicio cuento cómo lo hago cada mes. En ejemplos podéis ver cómo es un informe mensual. ¿Queréis que revise vuestro servidor? Reservad una llamada gratuita de 20 minutos.

Preguntas frecuentes

¿Cómo se accede a un servidor para mantenerlo?

Casi siempre a través de una VPN. Por ella se hacen las actualizaciones, las copias, la monitorización y los cambios de configuración.

¿Cada cuánto hay que reiniciar un servidor?

No hay una cifra fija: se reinicia cuando una actualización lo requiere (por ejemplo, un parche del núcleo en Linux o la actualización mensual en Windows). Lo importante es hacerlo en una ventana planificada y comprobar después que todos los servicios han arrancado.

¿Qué pasa cuando el sistema operativo deja de tener soporte?

Deja de recibir parches de seguridad y cada mes es más arriesgado. Hay que planificar la migración a una versión con soporte con tiempo, idealmente meses antes de la fecha de fin de soporte.

¿El mantenimiento incluye las copias de seguridad?

Debería incluir al menos su supervisión y las restauraciones de prueba. El sistema de copias en sí puede ser parte del mismo servicio o ir dentro de un servicio como SRE como servicio.

Referencias

• INCIBE: Decálogo de ciberseguridad para empresas: control de acceso, copias con pruebas de restauración, actualizaciones y continuidad.
• Microsoft Learn: ciclo de vida de los productos, para consultar las fechas de fin de soporte de Windows Server.