Cómo proteger tu web de ataques: guía práctica para pymes

Si gestionas una pyme y piensas que los ciberataques son un problema de grandes empresas, las estadísticas dicen lo contrario: el 43% de los ataques se dirigen a pequeñas y medianas empresas. La razón es simple — menos protección, misma recompensa. Esta guía no está escrita para ingenieros de seguridad, sino para CEOs, CTOs y responsables de pymes que necesitan saber qué proteger, cómo hacerlo y cuándo pedir ayuda profesional.

Los 6 ataques más comunes contra webs de pymes

Las 10 medidas básicas que puedes hacer hoy

No requieren conocimiento técnico avanzado. Cubren el 70-80% del riesgo real de una pyme. Si no tienes ninguna de estas, estás expuesto.

1. HTTPS obligatorio

Tu web debe cargar siempre en https://, nunca en http://. Los certificados SSL son gratuitos (Let's Encrypt) y cualquier hosting moderno los instala en un clic. Sin HTTPS, las contraseñas viajan en texto plano y Google penaliza tu posicionamiento.

2. Actualizar todo, siempre

CMS (WordPress, Shopify, etc.), plugins, temas, dependencias npm, sistema operativo del servidor. El 60% de los hackeos a WordPress explotan plugins desactualizados. Activa actualizaciones automáticas o revisa semanalmente.

3. Contraseñas fuertes + gestor

Mínimo 12 caracteres, únicas por servicio. Usa un gestor de contraseñas (Bitwarden es gratuito y open source). Nunca "admin/admin", nunca la misma contraseña en hosting, email y banco.

4. Autenticación de dos factores (2FA)

Actívala en todo lo que lo permita: panel de admin de la web, email corporativo, hosting, dominio, banca online. Con 2FA, aunque te roben la contraseña, no pueden entrar. Google Authenticator o Authy son gratuitos.

5. Backups automáticos fuera del servidor

Backup diario almacenado en un servicio distinto al hosting (otro cloud, disco externo, NAS). Si el atacante entra al servidor y los backups están ahí mismo, los cifra también. Prueba restaurar un backup al menos una vez al trimestre.

6. Limitar accesos de administración

Solo las personas que realmente necesitan acceso admin deben tenerlo. Revisa periódicamente: exempleados, agencias anteriores, freelancers que ya no trabajan contigo. Cada acceso activo no controlado es una puerta abierta.

7. Eliminar lo que no usas

Plugins desactivados, temas sin usar, cuentas de usuario inactivas, APIs sin utilizar. Todo lo que existe en tu web es superficie de ataque. Si no lo usas, elimínalo.

8. WAF (Web Application Firewall)

Un firewall que filtra tráfico malicioso antes de que llegue a tu web. Cloudflare ofrece un plan gratuito con WAF básico. Para WordPress, Wordfence o Sucuri. Bloquea bots, ataques de fuerza bruta y escaneo de vulnerabilidades automatizado.

9. Monitorización básica

Configura alertas que te avisen si tu web se cae, si alguien modifica archivos críticos o si hay un login desde una ubicación inusual. UptimeRobot (gratis) para disponibilidad. Wordfence o similares para cambios de archivos.

10. Plan de respuesta: ¿qué hago si me hackean?

Antes de que pase, ten claro: ¿quién contacto? ¿dónde están los backups? ¿cómo restauro? ¿a quién notifico (AEPD si hay filtración de datos personales, con plazo de 72h)? Un plan escrito en una hoja evita el pánico cuando sucede de verdad.

Medidas específicas según tu plataforma

WordPress

• Cambiar la URL de login (/wp-admin → URL custom).
• Desactivar XML-RPC si no lo usas (vector de fuerza bruta).
• Limitar intentos de login (plugin Limit Login Attempts).
• No usar el usuario "admin" como nombre de administrador.
• Hosting con aislamiento de cuentas (no hosting compartido barato).

Shopify / plataformas SaaS

• La seguridad del servidor la gestiona Shopify — tu responsabilidad es: contraseñas fuertes, 2FA, permisos de staff, y revisar apps instaladas.
• Cada app de terceros tiene acceso a datos de tu tienda. Revisa permisos y elimina las que no uses.

Web a medida (Next.js, React, etc.)

• Dependencias auditadas (npm audit) y actualizadas.
• Headers de seguridad configurados (CSP, HSTS, X-Frame-Options).
• Variables de entorno para secrets, nunca hardcodeados.
• Hosting con HTTPS forzado y backups automáticos (Vercel, Railway, AWS).

Cuándo necesitas un profesional

Las 10 medidas básicas cubren mucho, pero hay situaciones donde necesitas ayuda especializada:

• Procesas pagos online. PCI DSS exige controles específicos que no se resuelven con un plugin.
• Manejas datos sensibles (salud, financieros, menores). El RGPD exige medidas técnicas proporcionales al riesgo.
• Tu sector tiene regulación (NIS2 para servicios esenciales, DORA para fintech, ENS para sector público). Necesitas auditoría formal.
• Ya te han atacado. Después de un incidente necesitas forensics (entender qué pasó), remediación (cerrar la brecha) y hardening (que no vuelva a pasar).
• Vas a levantar inversión. Los fondos piden due diligence técnica que incluye seguridad. Una auditoría previa evita sorpresas.
• Tu web es tu canal principal de ingresos. Si una caída de 48h te cuesta más que una auditoría, la auditoría es rentable.

¿Cuánto cuesta proteger una web de pyme?

Las medidas gratuitas cubren el 70% del riesgo. La auditoría profesional cubre el 30% restante — que es donde están las vulnerabilidades que realmente te pueden tumbar el negocio.

Ya me han hackeado: ¿qué hago?

1. No entres en pánico. No borres nada. Las evidencias son necesarias para entender qué pasó.
2. Aísla el sistema. Si puedes, pon la web en modo mantenimiento. No sigas operando en un sistema comprometido.
3. Cambia todas las contraseñas. Hosting, CMS, email, bases de datos, API keys. Todo, desde un dispositivo limpio.
4. Restaura desde backup limpio. Verifica que el backup es anterior al ataque. Si no tienes backup, necesitas un profesional.
5. Identifica la brecha. ¿Plugin vulnerable? ¿Contraseña débil? ¿Phishing a un empleado? Sin saber cómo entraron, volverá a pasar.
6. Notifica si hay datos personales afectados. El RGPD obliga a notificar a la AEPD en un máximo de 72 horas si se han comprometido datos personales de terceros. Documentar todo.
7. Contrata ayuda. Si el ataque es serio (ransomware, filtración de datos, defacement persistente), necesitas forensics profesional.

Checklist de seguridad web para pymes

• ☐ HTTPS activo en toda la web
• ☐ CMS, plugins y dependencias actualizados
• ☐ Contraseñas de 12+ caracteres con gestor
• ☐ 2FA activo en todos los accesos admin
• ☐ Backups automáticos diarios fuera del servidor
• ☐ Accesos de usuarios revisados (sin exempleados/agencias antiguas)
• ☐ Plugins/temas/apps no usados eliminados
• ☐ WAF activo (Cloudflare, Wordfence o similar)
• ☐ Monitorización de uptime y cambios de archivos
• ☐ Plan de respuesta escrito: contactos, backups, procedimiento
• ☐ Auditoría profesional si procesas pagos o datos sensibles

Conclusión

La seguridad web no es un producto que se compra una vez: es un hábito. Las medidas básicas son gratuitas, llevan pocas horas y bloquean la inmensa mayoría de ataques oportunistas que sufren las pymes. Para el resto — vulnerabilidades técnicas profundas, cumplimiento normativo, respuesta a incidentes — existe la ayuda profesional. Lo que no es opción es no hacer nada: el coste de un incidente es siempre mayor que el de prevenirlo.

Si quieres profundizar en el lado técnico, lee nuestra guía OWASP Top 10. Y si necesitas una auditoría de seguridad para tu web o cumplimiento NIS2/RGPD, escríbenos a /contacto.