¿Por qué es tan importante la seguridad web?

Este artículo explica qué protege de verdad una web de empresa y qué no. Si prefieres que se ocupe alguien, es lo que cubrimos en mantenimiento web.

Casi ninguna web pequeña se cae porque alguien la haya elegido. Se cae porque un programa automático recorrió medio internet buscando una versión sin actualizar, encontró la tuya y entró. No hubo decisión, ni motivo, ni nadie al otro lado mirando.

Entender eso cambia la conversación: la pregunta no es «¿a quién le voy a interesar yo?», sino «¿cuándo me tocará?».

Qué se ataca en realidad

Casi nunca el núcleo del gestor de contenidos. Casi siempre lo de alrededor:

• Un plugin o un módulo sin actualizar. Cuando se publica una vulnerabilidad, se publica también dónde está. A partir de ese día, cualquiera puede buscar automáticamente sitios que aún no la hayan corregido.
• Contraseñas. Reutilizadas de otro servicio que sufrió una fuga, o lo bastante cortas como para probarlas todas.
• Usuarios administradores de más. El diseñador de hace cuatro años, la persona que se fue, la agencia anterior. Cada uno es una puerta que sigue abierta.
• El alojamiento. En un servidor compartido mal configurado, una web comprometida puede alcanzar a las demás.

Lo que pasa cuando entran, por orden de lo que más duele

Poca gente se imagina la realidad, que suele ser más tonta y más cara que un robo de datos:

1. Tu web empieza a enviar spam o a redirigir a otro sitio. Es lo más común: no quieren tus datos, quieren tu servidor y tu reputación de dominio. Suele descubrirse cuando un cliente avisa.
2. Google marca tu sitio. Aparece el aviso rojo de «sitio engañoso» antes de que nadie llegue a tu página. La visibilidad se va en horas y volver lleva días, incluso después de haberlo limpiado.
3. Se filtran datos de clientes. Aquí ya no es solo técnico. El RGPD obliga a notificar a la Agencia Española de Protección de Datos en 72 horas desde que lo detectas, y a avisar a los afectados si hay riesgo alto para ellos.
4. La web deja de estar. El caso menos grave, aunque parezca el peor: si hay copia, se restaura.

El daño de verdad casi nunca es el rescate de la web. Es el mes que tarda en recuperarse la confianza de quien recibió un correo raro desde tu dominio.

El candado del navegador y qué significa de verdad

El certificado HTTPS cifra lo que viaja entre el visitante y tu servidor. Es imprescindible y hoy es gratis, así que no hay excusa para no tenerlo: sin él, los navegadores marcan el sitio como «no seguro» en cuanto hay un formulario.

Pero conviene no confundirse: el candado dice que la conexión está cifrada, no que la web esté limpia. Una web infectada con certificado válido enseña el candado igual. Es el requisito mínimo, no la meta.

Lo que de verdad protege, que es aburrido

No hay ningún producto que resuelva esto. Lo que funciona es una rutina:

• Actualizar el gestor, el tema y los plugins. Con copia antes y una comprobación después. Es la medida que más ataques evita, con diferencia.
• Copias de seguridad que alguien haya restaurado alguna vez. Una copia que nunca se ha probado no es una copia: es una carpeta. Y que estén fuera del mismo servidor, o el ataque se las lleva también.
• Contraseñas largas y distintas, con doble factor al menos en las cuentas de administración. Un gestor de contraseñas resuelve esto en una tarde.
• Repasar los usuarios cada cierto tiempo. Quién tiene acceso, con qué permisos y si sigue necesitándolo. Nadie debería tener rol de administrador para escribir noticias.
• Quitar lo que no se usa. Cada plugin y cada tema instalado es superficie de ataque, aunque esté desactivado.
• Un alojamiento que separe las webs entre sí y que tenga las versiones de PHP al día.

Ninguna de estas seis cosas es cara. Lo que cuesta es que alguien se acuerde todos los meses.

Cómo saber si ya te ha pasado

Los síntomas son bastante reconocibles:

• La web tarda mucho más que antes sin motivo aparente.
• Buscar tu marca en Google devuelve resultados con texto que tú no has escrito, a menudo en otro idioma.
• Search Console avisa de problemas de seguridad o de páginas nuevas que no reconoces.
• Te devuelven correos que no has enviado.
• Aparecen usuarios administradores que nadie ha creado.

Ante cualquiera de ellos, mirar antes de tocar: cambiar la contraseña y seguir como si nada es lo que convierte un problema de un día en uno de tres semanas.

Qué hacer si ha ocurrido

1. No borres nada todavía. Hace falta saber por dónde entraron o volverán a entrar por el mismo sitio.
2. Restaura desde una copia anterior al problema y, sobre esa copia, actualiza todo antes de volver a publicar.
3. Cambia todas las contraseñas: gestor, base de datos, FTP, panel del alojamiento y correo.
4. Revisa los usuarios y borra los que no reconozcas.
5. Pide la revisión en Search Console si Google llegó a marcar el sitio.
6. Si hay datos personales de por medio, cuenta las 72 horas desde que lo detectaste, no desde que lo arreglaste.

¿De quién es la responsabilidad?

Conviene tenerlo claro antes de que pase algo, porque es la conversación incómoda del día después. El proveedor de alojamiento responde de que el servidor esté en pie y actualizado por debajo. De lo que hay dentro —el gestor de contenidos, el tema, los plugins, los usuarios— responde quien lo administra, y por defecto ese eres tú.

Es decir: tener un buen alojamiento no te cubre si tu WordPress lleva dos años sin actualizar. Si no quieres que esa parte recaiga en ti, tiene que estar contratada con alguien y por escrito, no darse por supuesta.

Y cuánto cuesta todo esto

Menos de lo que parece, porque casi todo es tiempo y no herramientas. La cuenta que sale mal es la otra: limpiar una web comprometida, recuperar la reputación del dominio y esperar a que Google retire el aviso cuesta bastante más que haber dedicado un rato al mes a actualizarla.

Si prefieres no llevar tú esa rutina, es exactamente lo que hacemos en mantenimiento web: actualizaciones con copia previa, copias fuera del servidor y revisión periódica. Y si tu web está sobre WordPress, en diseño web con WordPress para empresas contamos qué mirar antes de decidir sobre qué la montas.

Publicado en marzo de 2016. Revisado y reescrito en agosto de 2026.