Seguridad web para pymes: lo que no puede esperar al lunes
La seguridad web no es un lujo de grandes empresas: una pyme con formularios, clientes y correo tiene los mismos riesgos y menos margen. Qué revisar primero, qué cuesta y qué se puede hacer sin presupuesto.
La seguridad web se suele aplazar porque no se ve: mientras la web carga y llegan consultas, nadie piensa en ello. El problema es que el día que se nota, ya es tarde. Un formulario que envía spam, una web que redirige a un casino o una factura con datos de clientes filtrados cuestan más que cualquier mantenimiento anual.
No hace falta un equipo de hackers para protegerse de lo básico. El 90 % de los incidentes que veo en pymes viene de cuatro puertas que se dejan abiertas por comodidad: contraseñas débiles, plugins sin actualizar, copias que no se prueban y formularios sin filtro.
Seguridad web no es “tener un candado”. Es un conjunto de decisiones pequeñas que, juntas, hacen que un ataque común no te afecte:
- Que nadie entre con tu usuario. Contraseñas únicas y doble factor en el correo y en el panel.
- Que el software esté al día. Un plugin sin actualizar es una puerta conocida por todo el mundo.
- Que haya copia y se pueda restaurar. El ransomware se combate con backups probados, no con antivirus.
- Que los datos viajen cifrados. HTTPS en todas las páginas, no solo en el pago.
- Que los formularios filtren. Captcha invisible, validación en servidor y límite de envíos.
Si cumples esas cinco, ya estás por delante de la mayoría de webs de tu sector. Y ninguna requiere un presupuesto grande: requieren una tarde y algo de constancia.
Empieza por el correo, porque desde ahí se resetea todo lo demás. Cambia la contraseña por una larga y única, activa la verificación en dos pasos y revisa quién tiene acceso al panel de la web. En una pyme es habitual encontrar tres usuarios administradores que ya no trabajan allí. Las credenciales siguen siendo el primer vector de ataque en el OWASP Top 10, y un gestor de contraseñas resuelve la mitad del problema.
WordPress, el tema y los plugins tienen que estar al día. Los que no uses, fuera. Los abandonados (sin actualizaciones en un año), también. Cada plugin activo es una superficie de ataque y una fuente de conflictos.
Una copia que no se ha restaurado nunca no es una copia. Haz una prueba: descarga el backup, móntalo en local y comprueba que la web funciona. Si no puedes, cambia de sistema de copias antes de que haga falta.
El certificado debe cubrir el dominio con y sin www, y renovarse solo. Un certificado caducado muestra un aviso rojo que espanta a cualquier visitante, y los navegadores no perdonan.
El formulario de contacto es la puerta de entrada favorita del spam. Añade captcha invisible, limita los envíos por IP y valida en el servidor. Y configura SPF, DKIM y DMARC en el correo para que nadie envíe mensajes suplantando tu dominio.
Hay una conexión que casi nadie ve: las webs abandonadas son lentas y las lentas suelen estar abandonadas. Un plugin de caché mal configurado, un tema sin actualizar y un PHP antiguo son a la vez un riesgo y un lastre de velocidad. Si tu web arrastra años sin revisión, probablemente necesite lo mismo que contamos en por qué una web desactualizada pierde clientes.
El hosting también cuenta. Un proveedor que no aplica parches ni ofrece backups diarios te deja la mitad del trabajo a ti. Antes de contratar, mira lo que explicamos en hosting web para pymes: recursos, copias y soporte.
Si la web redirige, envía spam o el buscador la marca como peligrosa, el orden es este:
- Cambia todas las contraseñas desde otro dispositivo, empezando por el correo.
- Restaura la última copia limpia en lugar de intentar limpiar a mano. Es más rápido y más fiable.
- Actualiza todo antes de volver a publicar.
- Revisa usuarios y tareas programadas en busca de cuentas que no reconoces.
- Pide la revisión en Search Console cuando esté limpia, para que retiren el aviso.
Lo importante es no improvisar bajo presión. Tener el plan escrito antes evita decisiones caras.
Menos de lo que la gente cree. Un certificado SSL gratuito, un gestor de contraseñas por unos euros al mes, un plugin de copias y otro de seguridad cubren lo esencial. Lo caro es no tenerlo: una web caída una semana, un cliente que no puede pagar o una sanción por datos mal gestionados superan cualquier cuota anual.
Si prefieres no depender de ti mismo, un mantenimiento web mensual incluye actualizaciones, copias y vigilancia. Es la forma más barata de que alguien mire la web cuando tú estás atendiendo el negocio.
Sí. Los ataques son automáticos: recorren direcciones en busca de plugins vulnerables, sin mirar el tamaño de la empresa. Una pyme con formularios y datos de clientes es un objetivo tan válido como una grande.
Ayuda, pero no sustituye lo básico. Un plugin no arregla contraseñas débiles ni plugins abandonados. Úsalo después de tener accesos, actualizaciones y copias en orden.
Una vez al mes es el mínimo razonable, y siempre que haya un parche de seguridad. Lo ideal es un entorno de pruebas para actualizar sin romper la web en producción.
Sirven para errores propios, no para un incidente del proveedor. Ten al menos una copia fuera del hosting, en un almacenamiento distinto, y prueba la restauración una vez al año.