Numuno Digital /
Seguridad web para pymes: qué revisar y qué pedir a tu proveedor
Una web de empresa necesita seguir funcionando después del estreno. La seguridad web para pymes empieza por saber quién puede entrar, qué se mantiene y cómo se recupera el servicio si algo falla. Esta guía te ayuda a revisar tu situación y preparar una conversación concreta con tu proveedor.
Por Numuno Digital, estudio independiente de diseño web y marketing en Marbella.
Empieza por saber qué tienes y quién responde
Antes de contratar otra herramienta, prepara una hoja con el dominio, el alojamiento, la plataforma, las cuentas con acceso y los servicios conectados. Incluye formularios, reservas y correo: una web puede seguir visible mientras una de esas piezas deja de funcionar.
Pide al proveedor una respuesta escrita a tres preguntas: qué mantiene, qué comprueba y qué hace si algo falla. El decálogo de INCIBE propone identificar riesgos y definir responsables y un plan de continuidad. Convierte esa idea en tareas concretas para tu negocio, sin confundir alojamiento, desarrollo y mantenimiento.
Por ejemplo, un restaurante puede tener la web con una agencia y las reservas con otra empresa. Este escenario es ilustrativo. El acuerdo debería aclarar quién recibe un aviso si falla la agenda y quién puede recuperar el acceso; publicar un teléfono de soporte sin esa responsabilidad resuelta aporta poco.
Accesos: que cada cuenta tenga una razón
Utiliza credenciales distintas y activa la verificación en dos pasos donde esté disponible, también en las cuentas desde las que administras la web. La guía oficial de WordPress recomienda contraseñas robustas y esa segunda comprobación. Comprueba que podrás recuperar el acceso si pierdes el dispositivo.
En la revisión con tu proveedor, identifica quién necesita publicar contenido y quién necesita cambiar la configuración. Solicita cuentas individuales con el acceso necesario y un procedimiento para retirar el de antiguos colaboradores. Pide que te expliquen cómo se autoriza a un nuevo proveedor; no envíes contraseñas en un formulario comercial.
WordPress y desarrollo a medida: acuerda qué se actualiza
En WordPress deben mantenerse el núcleo, los temas y los plugins. Su documentación aconseja obtenerlos de fuentes fiables y eliminar los plugins que no se utilizan. Si tu web está desarrollada a medida, pregunta qué componentes necesitan seguimiento y quién aplica sus actualizaciones.
Solicita un procedimiento de cambio: copia previa cuando corresponda, prueba de las funciones importantes y una forma de volver atrás. No conviertas una revisión mensual en permiso para ignorar un aviso urgente. La frecuencia debe responder al sistema y al riesgo, no a un calendario copiado de otra empresa.
Antes de añadir un plugin o contratar un cortafuegos, pide qué problema resuelve, quién revisará sus alertas y qué limitaciones tiene. Ninguna herramienta permite prometer una web imposible de comprometer.
Copias: pide una prueba de recuperación
El dosier Protege tu web de INCIBE recomienda incluir los elementos necesarios para recuperar el sitio, guardar las copias en un lugar distinto del origen y comprobar que pueden restaurarse. Si existe una base de datos, también forma parte de esa recuperación.
Pregunta qué se copia, con qué frecuencia, cuánto historial queda disponible y quién puede restaurarlo. Ajusta la frecuencia a la información que tu negocio puede permitirse perder. Una web informativa y una agenda que recibe nuevas reservas requieren decisiones diferentes.
Solicita la fecha y el resultado de una prueba en un entorno separado. Si tu agenda o tienda depende de otro proveedor, aclara qué datos conserva ese servicio. Recuperar las páginas no demuestra que también se hayan recuperado las reservas.
HTTPS protege la conexión; revisa también el recorrido
HTTPS utiliza TLS para cifrar la comunicación entre el navegador y el servidor. Esa es la función que describe MDN: protege los datos en tránsito. No certifica que todos los componentes de una web estén libres de fallos.
Abre las páginas y acciones importantes desde un teléfono y un ordenador. Comprueba la dirección segura y avisa al responsable si el navegador muestra una advertencia. Para una revisión técnica, pide que se comprueben el certificado y su renovación, las redirecciones y los recursos que carga la página.
Verifica además que las solicitudes llegan al canal previsto. Un mensaje de confirmación en pantalla no basta para comprobar su entrega. Acuerda una prueba controlada con quien atiende el negocio y evita usar datos de clientes reales para ensayar.
Si detectas un incidente, conserva información y pide ayuda
Anota cuándo lo detectaste, qué páginas o funciones están afectadas y qué avisos aparecen. Contacta con el responsable técnico para contener el incidente y conservar los registros necesarios. No borres todo ni publiques encima de las evidencias sin una valoración previa.
Una incidencia técnica no equivale automáticamente a una brecha de datos personales. Si esta se produce, la AEPD exige documentarla; la notificación a la autoridad es necesaria salvo que sea improbable un riesgo para los derechos y libertades de las personas. Cuando procede, debe hacerse sin dilación indebida y, a ser posible, dentro de las 72 horas desde que el responsable tiene constancia. Consulta con quien lleve protección de datos para valorar el caso.
Qué dejar escrito al crear o renovar tu web
Añade a la propuesta un apartado de entrega y continuidad. Pide quién controla el dominio, qué accesos recibe el negocio, cómo se realizan los cambios, qué copias se conservan y cómo se solicita ayuda. Aclara también qué ocurre si cambias de proveedor.
Distingue las tareas de lanzamiento del trabajo posterior. Diseñar una web, mantenerla y trabajar el SEO son alcances que deben quedar definidos; no des por incluido un servicio porque aparezca la palabra seguridad en una presentación.
En Numuno Digital acordamos las páginas, las funciones y las condiciones del proyecto antes de empezar. Si vas a renovar tu sitio, envíanos su dirección y lo que necesitas conservar. Podemos plantear el diseño y desarrollo, y concretar en la propuesta las responsabilidades de mantenimiento. La investigación y mejora continua del posicionamiento se valora como servicio SEO.
Preguntas que conviene hacer antes de contratar
¿Una web nueva soluciona todos los problemas? Primero hay que identificar la causa. Puede ser un acceso perdido, un componente sin soporte o una función mal configurada; una renovación estética por sí sola no demuestra que el problema esté resuelto.
¿Basta con que el hosting diga que hace copias? Pide qué incluyen, cómo se recuperan y quién ha probado el proceso. Conserva esa respuesta con el alcance contratado.
¿Qué puedo preparar sin conocimientos técnicos? La lista de proveedores y contactos, las funciones del sitio, quién tiene acceso y qué información no puedes perder. No necesitas modificar el servidor para reunir esos datos.
Revisado el 28 de octubre de 2026 con documentación de INCIBE, WordPress, MDN y AEPD. Orientación general para preparar el proyecto; las medidas y obligaciones concretas dependen del sitio y de los datos tratados.
Tu lista antes de empezar.
- Dominio, alojamiento, plataforma y contactos identificados
- Cuentas y permisos revisados, con recuperación de acceso
- Responsable de actualizaciones y cambios acordado
- Copias con alcance e historial conocidos y restauración comprobada
- HTTPS y recorrido de contacto revisados
- Mantenimiento, incidencias y salida del proveedor por escrito