Por qué atacan la web de una pyme (spoiler: no es personal)
La frase que más repetimos en reuniones es: «pero si mi web no tiene nada de valor, ¿quién va a querer hackearla?». Esa es justo la idea que deja la puerta abierta. Casi ningún ataque a una pyme lo lanza una persona que te ha elegido a ti: lo lanzan bots que rastrean internet las 24 horas buscando versiones antiguas de WordPress, plugins con fallos conocidos o paneles de acceso con la contraseña admin/1234.
A esos bots no les interesa tu catálogo. Les interesa tu servidor. Una web comprometida sirve para enviar spam, alojar páginas de phishing que suplantan a un banco, minar criptomonedas con tu CPU o simplemente redirigir tu tráfico a otro sitio. Tu web pasa a ser infraestructura ajena, y tú te enteras cuando Google la marca como «sitio engañoso» o cuando tu proveedor de hosting te suspende la cuenta.
Los cuatro incidentes que vemos una y otra vez
- Inyección de spam SEO: aparecen cientos de páginas ocultas en tu dominio vendiendo productos falsificados. Tú no ves nada; Google sí.
- Robo de credenciales por fuerza bruta: el bot prueba miles de contraseñas contra tu panel de administración hasta que acierta.
- Plugin o tema desactualizado: se publica un fallo de seguridad, y en cuestión de horas hay bots explotándolo en masa.
- Formularios sin protección: se usan para enviar spam desde tu servidor, con lo que tu dominio termina en listas negras de correo.
Las 10 medidas de seguridad web para pymes que sí importan
No necesitas un departamento de sistemas. Necesitas hacer bien diez cosas y revisarlas de vez en cuando. Ordenadas de mayor a menor impacto según lo que nos encontramos en auditorías reales:
- Actualizaciones al día. Núcleo, plugins, temas y versión de PHP. Es la medida que más incidentes evita y la que más se descuida.
- Copias de seguridad automáticas y externas. Diarias, guardadas fuera del propio servidor y con al menos 30 días de histórico.
- Doble factor de autenticación (2FA) en el panel de administración, el hosting y el registrador del dominio.
- HTTPS bien configurado en todo el sitio, con redirección forzada y sin contenido mixto.
- Cortafuegos de aplicación (WAF), ya sea del hosting, de la CDN o mediante un plugin de seguridad solvente.
- Contraseñas únicas y largas, gestionadas con un gestor de contraseñas. Nada de reutilizar la del correo.
- Usuarios con el mínimo privilegio. Que tu community manager no tenga rol de administrador.
- Limitar intentos de acceso y ocultar o proteger la URL del login.
- Protección antispam y límite de envíos en formularios, con validación en servidor, no solo en el navegador.
- Monitorización: alguien o algo que te avise si la web cae, cambia inesperadamente o Google la marca.
Qué esperar de tu hosting
Buena parte de esta lista debería venir resuelta por el alojamiento. Un hosting decente incluye certificado SSL gratuito, copias de seguridad diarias restaurables por ti, aislamiento entre cuentas, cortafuegos y actualizaciones de PHP. Si tu proveedor no ofrece eso, estás ahorrando 4 euros al mes para pagarlos multiplicados por cien el día que algo falle.
Copias de seguridad: la única medida que te salva siempre
Todas las demás medidas reducen la probabilidad de un incidente. Las copias reducen su impacto, que es lo que de verdad marca la diferencia entre «tuvimos un susto el martes» y «estuvimos dos semanas sin web».
El error clásico es tener copias que nadie ha restaurado jamás. Una copia que no has probado no es una copia: es una carpeta pesada que te da tranquilidad falsa. Una vez al año, restaura una copia en un entorno de pruebas y comprueba que la web arranca completa, con base de datos e imágenes.
| Tipo de copia | Frecuencia recomendada | Dónde guardarla | Para qué sirve |
|---|---|---|---|
| Automática del hosting | Diaria | Servidor del proveedor | Recuperar de un error puntual, rápido |
| Externa independiente | Diaria o semanal | Almacenamiento en la nube distinto al hosting | Recuperar si el propio servidor está comprometido |
| Manual previa a cambios | Antes de cada actualización grande | Donde puedas descargarla | Volver atrás si una actualización rompe algo |
| Copia fría de largo plazo | Mensual | Disco externo o nube fría | Detectar y revertir un ataque descubierto tarde |
WordPress, tiendas online y el problema de los plugins
WordPress no es inseguro por naturaleza; el problema es el ecosistema que montamos encima. Una web de pyme media acumula entre 15 y 30 plugins, muchos instalados hace años para una necesidad puntual y nunca desinstalados. Cada uno es código de terceros ejecutándose en tu servidor con acceso completo a la base de datos.
Cómo auditar tus plugins en media hora
- Desinstala (no solo desactives) todo lo que no uses. Un plugin desactivado sigue siendo código en tu servidor.
- Revisa la fecha de última actualización de cada uno. Si lleva más de un año abandonado, busca alternativa.
- Comprueba cuántos hacen lo mismo. Es habitual encontrar dos plugins de caché o tres de formularios peleándose.
- Prioriza los de pago con soporte activo en las funciones críticas: pagos, formularios, seguridad y copias.
Si tienes tienda online, la exigencia sube: gestionas datos personales y pagos. Nunca guardes números de tarjeta en tu base de datos (para eso está la pasarela), mantén el certificado SSL válido y revisa quién tiene acceso al panel. En nuestra guía sobre <a href="/blog/pasarelas-de-pago-tienda-online">pasarelas de pago para tu tienda online</a> explicamos por qué delegar el cobro también es una decisión de seguridad.
Seguridad, velocidad y SEO van del mismo lado
Muchas medidas de seguridad mejoran de paso el rendimiento y el posicionamiento. Servir la web por HTTPS es requisito para que el navegador no marque tu sitio como «no seguro» y es un factor que Google usa desde hace años; lo detallamos en la guía sobre <a href="/blog/migrar-web-a-https-sin-perder-seo">migrar tu web a HTTPS sin perder posiciones</a>.
Poner una CDN delante de la web añade una capa de filtrado contra tráfico malicioso y ataques de denegación de servicio, y de camino reduce el tiempo de carga para visitantes lejanos. Si no tienes claro si te compensa, mira <a href="/blog/cdn-que-es-y-cuando-lo-necesitas">qué es un CDN y cuándo lo necesita tu web</a>.
Y al revés: una web comprometida se vuelve lenta. Los procesos de minería o los envíos masivos de spam consumen recursos del servidor, empeoran los tiempos de respuesta y acaban afectando a las métricas de experiencia de usuario que Google mide.
Qué hacer si te hackean la web
Si detectas una infección, el orden importa. Restaurar una copia sin cerrar la puerta de entrada solo consigue que te vuelvan a entrar en 48 horas.
- Pon la web en mantenimiento para evitar que se sirva contenido malicioso a tus visitantes.
- Cambia todas las contraseñas: panel, hosting, FTP, base de datos y correo asociado.
- Identifica el punto de entrada revisando los registros del servidor y las fechas de modificación de los ficheros.
- Restaura una copia anterior a la infección, no la más reciente.
- Actualiza todo y elimina lo que no uses antes de volver a publicar.
- Solicita la revisión en Google Search Console si tu sitio quedó marcado.
- Vigila el sitio de forma estrecha durante las semanas siguientes.
Cuánto cuesta tener una web segura
Menos de lo que la gente imagina, y muchísimo menos que un incidente. Para una pyme con una web corporativa o una tienda pequeña, el coste anual de mantener la seguridad al día se mueve en órdenes de magnitud muy asumibles frente al coste de recuperar un sitio comprometido, que suele implicar limpieza, restauración, recuperación de posiciones y ventas perdidas durante días.
La clave no es gastar más, sino que alguien se responsabilice. La mayoría de webs que auditamos no tienen un problema de presupuesto: tienen un problema de nadie mira esto desde 2023. Un mantenimiento mensual que incluya actualizaciones supervisadas, copias verificadas y monitorización resuelve el asunto y te quita el tema de la cabeza.