La seguridad web para una PYME no es un tema de expertos: se reduce a un puñado de cosas bien hechas y a saber qué preguntar. No hacerlas es lo que termina en el susto caro —la web caída un lunes de campaña, el dominio que nadie puede recuperar, los datos que solo existían en una computadora que se quemó.
Esto es lo mínimo indispensable, ordenado por lo que más daño hace cuando falta.
¿Por qué los accesos a tu nombre son lo primero de todo?
Porque sin ellos no puedes arreglar nada, ni contratar a otro que lo arregle. Es el riesgo más grande y el que menos se mira.
Pasa constantemente: el dominio está registrado a nombre del primo que ayudó hace cuatro años, el hosting a nombre de una agencia con la que ya no hablas, y el correo corporativo lo administra alguien que se fue. El día que hay un problema, no hay problema técnico: hay problema de personas.
Lo que tiene que estar a tu nombre, con tu correo y tu contraseña:
- El dominio. Es lo más importante. Quien controla el dominio controla tu web y tu correo, y puede llevárselos a otro lado.
- El hosting o el servidor donde vive la web.
- El panel de administración del sitio.
- Las cuentas de Google asociadas: la ficha del negocio, la medición, la publicidad.
Que un proveedor administre todo eso está bien. Que sea el titular, no. Es la diferencia entre alguien que trabaja para ti y alguien de quien dependes.
¿Qué pasa exactamente si mi web no tiene certificado SSL?
Tres cosas, y ninguna buena: el navegador avisa a tus visitantes de que tu sitio no es seguro, Google lo tiene en cuenta para posicionar, y cualquier dato que se escriba viaja sin proteger.
El certificado SSL es lo que hace que tu dirección empiece por https y aparezca
el candado. Hoy es gratuito y automático en cualquier alojamiento decente, así
que no tenerlo no es una cuestión de presupuesto.
Es más una señal que un problema en sí mismo: si en 2026 tu web todavía no lo tiene, lo que te está diciendo es que nadie se ha ocupado de ese sitio en mucho tiempo. Y donde falta eso, suele faltar todo lo demás de esta lista.
Compruébalo ahora mismo: abre tu web y mira si sale el candado en la barra de direcciones. Tarda cinco segundos.
¿Cada cuánto hay que respaldar una web y dónde?
La pregunta correcta no es cada cuánto se respalda, sino cuánto tardarías en volver a estar en línea si la web desapareciera hoy.
Si la respuesta es “no sé”, ahí está el problema. Un respaldo automático y reciente convierte un desastre en una molestia de veinte minutos; no tenerlo convierte un fallo menor en días de trabajo perdido.
Lo que debería cumplirse:
- Automático, no “cuando me acuerdo”. Un respaldo manual es un respaldo que no existe.
- Guardado en otro sitio, no en el mismo servidor. Si el servidor falla, se lleva la copia consigo.
- Probado alguna vez. Un respaldo que nunca se ha restaurado es una promesa, no una copia. Pide que te demuestren que se puede recuperar.
- Con historial. Si el problema se detecta tres días después, una única copia de anoche ya está contaminada.
Pregúntale a tu proveedor: ¿cada cuánto se respalda, dónde se guarda y cuándo fue la última vez que probaron restaurarlo? Si la respuesta es vaga, tienes un problema esperando fecha.
¿Por qué una web sin actualizar es la puerta de entrada más común?
Porque los ataques a negocios pequeños casi nunca son dirigidos: son automáticos. Programas que recorren internet buscando sitios con fallos ya conocidos y publicados.
Ahí está la clave. Cuando se descubre un fallo en un componente muy usado, se publica junto con su corrección. A partir de ese momento hay una ventana: quien actualiza, cierra la puerta; quien no, queda en una lista que cualquiera puede recorrer.
Esto afecta sobre todo a los sitios montados sobre gestores de contenido con muchos complementos instalados, que es donde más piezas hay que mantener al día. Un sitio construido a código, sin capas de complementos de terceros, tiene bastante menos superficie que vigilar —es una de las razones por las que trabajamos así— pero tampoco se mantiene solo: el servidor y sus componentes también se actualizan.
La pregunta para tu proveedor es concreta: quién actualiza, con qué frecuencia, y qué pasa si una actualización rompe algo.
¿Qué hacer con las contraseñas y los accesos del equipo?
Lo aburrido, que es lo que funciona. La mayoría de los incidentes en negocios pequeños no son hackeos sofisticados: son contraseñas repetidas y accesos que nadie cerró.
- Una contraseña distinta por servicio. Si usas la misma en el hosting, el correo y una tienda cualquiera, la filtración de esa tienda te abre todo.
- Doble factor donde se pueda, empezando por el correo y el dominio. Es la medida que más protege por lo poco que cuesta.
- Cierra los accesos de quien ya no está. Hazlo el mismo día, no “cuando haya tiempo”.
- Cada persona con su usuario. La cuenta compartida hace imposible saber quién hizo qué.
- Un gestor de contraseñas, aunque sea el del navegador. Es mejor que el papel pegado al monitor y mucho mejor que repetir la misma en todo.
¿Qué preguntarle hoy a tu proveedor?
Cinco preguntas. Las respuestas te dirán más sobre quién te mantiene la web que cualquier propuesta comercial:
- ¿Está el dominio a mi nombre y tengo yo el acceso?
- ¿Tengo certificado SSL activo y renovándose solo?
- ¿Cada cuánto se respalda el sitio, dónde se guarda y cuándo se probó por última vez que la copia funciona?
- ¿Quién actualiza el sistema y con qué frecuencia?
- Si mañana quiero cambiar de proveedor, ¿qué me llevo y cómo?
La última es la más incómoda y la más reveladora. Un proveedor que trabaja bien la contesta sin ponerse a la defensiva, porque sabe que no te retiene por tenerte atrapado.
Manda las cinco por escrito, aunque sea por WhatsApp. Tener las respuestas en un mensaje sirve para dos cosas: obliga a concretar a quien contesta, y te deja constancia de lo que se prometió el día que haga falta reclamarlo.
En resumen
Para una PYME, la seguridad web se resuelve con cinco cosas: los accesos a tu nombre, el certificado SSL activo, respaldos automáticos fuera del servidor y probados alguna vez, el sistema actualizado por alguien con nombre y apellido, y contraseñas que no se repitan.
Ninguna es cara. Lo caro es la que falta el día que pasa algo. Y de las cinco, la que más gente descubre tarde es la primera: no poder tocar tu propia web porque está a nombre de otro.
