Cuando trabajo con un cliente nuevo, una de las primeras cosas que reviso es la seguridad básica de su web y su infraestructura digital. El resultado en la mayoría de los casos es el mismo: contraseñas débiles reutilizadas, sin backups automatizados, WordPress sin actualizar desde hace meses, y formularios sin protección contra spam.
No porque el cliente sea descuidado. Sino porque nadie les explicó qué es lo mínimo que necesitan, y la mayoría asume que "eso lo gestiona el hosting".
El hosting no lo gestiona. Tú tienes que gestionarlo.
Este artículo cubre las medidas básicas. No te va a convertir en experto en ciberseguridad. Pero sí va a cerrar las vulnerabilidades por las que entra la mayoría de los atacantes en las webs de PYMEs.
1. Contraseñas: el problema más fácil de resolver y el más ignorado
La mayoría de las brechas de seguridad en PYMEs no son ataques sofisticados. Son accesos con contraseñas débiles o reutilizadas que aparecieron en alguna filtración de datos.
Lo que necesitas hacer:
Instala un gestor de contraseñas. Bitwarden es gratuito, de código abierto, y almacena las contraseñas de forma encriptada. 1Password es de pago (€3/mes/persona) con mejor experiencia. Dashlane es otra opción con plan gratuito limitado.
Con un gestor de contraseñas, cada cuenta tiene una contraseña única y compleja (20+ caracteres, aleatoria) que el gestor recuerda por ti. Nunca reutilizas contraseñas. Si una cuenta se filtra, las demás están seguras.
El cambio más urgente: La contraseña del panel de administración de tu web (WordPress, Shopify, cPanel) y la del email corporativo. Son los dos accesos que más daño pueden hacer si caen en malas manos.
Activa la autenticación en dos factores (2FA) en: tu email corporativo (Gmail Workspace o Microsoft 365), el panel de administración de tu web, y el panel de tu hosting. La mayoría de las plataformas lo ofrecen gratis y tarda 5 minutos en configurar. Con 2FA activo, aunque alguien tenga tu contraseña, no puede entrar sin el segundo factor.
2. SSL: si tu web no tiene el candado, Google te penaliza
Un certificado SSL encripta la comunicación entre el navegador del visitante y tu servidor. Se reconoce por el "https://" y el candado en la barra del navegador.
Si tu web todavía funciona con "http://" (sin la s), pasan tres cosas malas:
- Los navegadores muestran "No seguro" a los visitantes
- Google usa HTTPS como señal de posicionamiento desde hace años: sin él compites en desventaja
- Los datos de los formularios viajan sin cifrar
Cómo solucionarlo: La mayoría de los hostings modernos incluyen SSL gratuito con Let's Encrypt. En cPanel, busca "SSL/TLS" o "Let's Encrypt". Si no lo encuentras, contacta con el soporte del hosting — debería tomarte menos de 15 minutos activarlo.
Si tu hosting cobra por un SSL que en cualquier otro sitio es gratuito, tómalo como lo que es: una señal de que quizá estás en el hosting equivocado.
3. Backups: la red de seguridad que necesitas antes de necesitarla
Un backup es una copia de tu web en un momento específico. Si algo sale mal (hackeo, error humano, fallo del servidor), el backup te permite volver al estado anterior.
El error más frecuente: Asumir que el hosting hace backups automáticos y que están disponibles cuando los necesitas. Muchos hostings de bajo coste hacen backups semanales que retienen por 7 días. Si el problema ocurre el día 8, no tienes nada.
Lo que necesitas:
- Backups diarios de la base de datos y los archivos de la web
- Retención de al menos 30 días (poder volver a cualquier punto del último mes)
- Copia fuera del servidor principal (si el servidor falla, el backup en el mismo servidor también está comprometido)
Para WordPress: El plugin UpdraftPlus (gratuito con funcionalidades básicas) automatiza los backups y los envía a Google Drive, Dropbox, o Amazon S3. Configuración: 20 minutos. Backups diarios automáticos a partir de ahí.
Para otros gestores de contenido o webs a medida: habla con tu desarrollador o tu hosting para confirmar que las copias cumplen los criterios anteriores. Pide que te enseñen una restauración de prueba: si nunca la han hecho, no sabes si las copias sirven. Este es, además, uno de los conceptos que entra en lo que cuesta mantener una página web y que casi nadie presupuesta.
4. WordPress actualizado: la medida que más ataques previene
Si tu web está en WordPress, el mantenimiento es responsabilidad tuya (o de alguien que contrates para ello).
Casi todas las vulnerabilidades de WordPress están en plugins y temas, no en el núcleo: Patchstack contabilizó 11.334 nuevas durante 2025, el 91% en plugins y solo seis en el core. Y una vulnerabilidad conocida en un plugin desactualizado es exactamente por donde entran. Cuando un plugin lanza una actualización de seguridad, los detalles de la vulnerabilidad se hacen públicos. Los atacantes automatizan la búsqueda de webs que aún no han actualizado y las atacan.
Lo mínimo:
- Actualizar WordPress, plugins y tema al menos una vez al mes
- Eliminar los plugins que no usas: cada uno instalado es una puerta más, y acumularlos es uno de los errores de WordPress que acaban costando dinero
- No instalar plugins de fuentes no oficiales o con pocas instalaciones activas y sin actualizaciones recientes
La forma más segura de hacerlo: antes de actualizar en producción, haz una copia. Si tienes un entorno de pruebas, actualiza primero ahí. Si algo se rompe después de actualizar, el backup te salva.
Plugin de seguridad recomendado para WordPress: Wordfence (gratuito) escanea la web en busca de malware, bloquea IPs con comportamiento sospechoso, y alerta de vulnerabilidades en plugins instalados. Configuración básica: 30 minutos.
5. Protección contra spam en formularios
Los formularios de contacto sin protección reciben spam de bots constantemente. Más allá de la molestia, el spam puede sobrecargar el servidor o servir como vector de ataques.
reCAPTCHA de Google (gratuito) añade protección a los formularios. La versión v3 es invisible para el usuario: analiza el comportamiento en la página y decide si es un bot sin mostrar ningún desafío. Ojo con un detalle que se pasa por alto: si el formulario recoge datos personales, esa protección convive con obligaciones legales — para Chile las resumí en la checklist de la Ley 21.719.
Para WordPress: Los plugins de formularios más populares (Contact Form 7, WPForms, Gravity Forms) tienen integración con reCAPTCHA en pocos clics.
Para formularios a medida: La integración requiere desarrollo básico, pero el volumen de spam que elimina justifica el tiempo.
6. Email corporativo: no uses Gmail gratuito para tu empresa
Si el email de tu empresa es [email protected], eso es un problema tanto de imagen como de seguridad.
Google Workspace (antes G Suite) cuesta desde €6/mes por usuario y te da tudominio.com con la fiabilidad de Gmail, más controles de seguridad corporativos (políticas de contraseña, gestión centralizada, 2FA forzado, logs de acceso).
Microsoft 365 tiene opciones similares desde €6/mes por usuario.
El email corporativo con dominio propio también te da control sobre las cuentas cuando alguien deja la empresa — con Gmail gratuito, si un empleado que se va era el propietario de la cuenta, puedes perder el acceso a toda esa comunicación.
La lista de verificación completa
Para saber dónde estás ahora mismo:
- Gestor de contraseñas instalado y en uso por todo el equipo
- 2FA activo en email, hosting, y CMS
- Web con HTTPS (certificado SSL activo)
- Backups diarios automatizados con copia fuera del servidor
- WordPress, plugins y temas actualizados (si aplica)
- Wordfence o similar instalado (si WordPress)
- Formularios con reCAPTCHA
- Email corporativo con dominio propio (no Gmail gratuito)
Si tienes 6-8 marcados, estás en un nivel de seguridad razonable para una PYME. Si tienes menos de 4, hay trabajo urgente que hacer.
La seguridad no es un estado que se alcanza: es un proceso continuo. Pero hay un umbral básico por debajo del cual el riesgo es innecesariamente alto, y estas seis medidas te ponen por encima de él con las horas de trabajo que he ido indicando en cada punto. No te vuelven inatacable. Te sacan de la lista de los objetivos fáciles, que es donde ocurre casi todo.
Newsletter
¿Te fue útil este artículo?
Suscríbete y te aviso cuando publique algo que valga la pena leer. Sin correo basura y sin una frecuencia forzada.