Por qué asegurar la página web de tu negocio (aunque sea chica)

"¿Quién va a querer hackear la página de una ferretería?" Es la frase que más se escucha cuando sale el tema. Y tiene lógica, si piensas en un atacante que escoge a su víctima, revisa quién es el dueño y decide que vale la pena.

Así no suele funcionar. A un sitio pequeño normalmente lo ataca un programa, no una persona: recorre internet buscando una versión de un plugin con una falla conocida, o un panel de administración con contraseña débil, y entra donde puede. No sabe si eres una ferretería en Iztapalapa o una clínica dental en Monterrey. Tu sitio es una dirección más en una lista.

Lo que de verdad le pasa a un sitio chico

Casi nunca es la escena de película con la pantalla negra y una calavera. Lo común es más silencioso, y por eso dura más.

Plugins y temas viejos

En WordPress, el riesgo está sobre todo en lo que le instalaste encima. Según el reporte de Patchstack sobre el estado de la seguridad en WordPress, en 2025 se reportaron 11,334 vulnerabilidades nuevas en el ecosistema; el 91% estaba en plugins, el 9% en temas y apenas 6 en el núcleo de WordPress, todas de baja prioridad. El mismo reporte calcula que, para las fallas más explotadas, la mediana entre que se hace pública la vulnerabilidad y que empiezan los ataques masivos es de cinco horas.

Cinco horas. No es un plazo que cumplas entrando al panel "cuando haya tiempo". Y hay un dato peor en ese reporte: el 46% de las vulnerabilidades no tenía arreglo del desarrollador cuando se hicieron públicas. O sea, a veces actualizar no basta, porque no hay a qué actualizar.

Tampoco es exclusivo de WordPress. OWASP le dedica una categoría de su Top 10 a los componentes vulnerables y desactualizados, y entre sus recomendaciones está quitar lo que no usas y vigilar las librerías que ya nadie mantiene. Una tienda en Magento o un sitio en PHP que alguien hizo en 2017 tienen el mismo problema.

Spam inyectado y malware

Uno de los ataques más comunes no toca tu página de inicio. El atacante crea cientos de páginas nuevas en carpetas con nombres aleatorios, llenas de texto para posicionar productos pirata o farmacias dudosas. Google documenta un caso clásico, el hackeo de palabras clave en japonés: páginas autogeneradas con enlaces de afiliado que luego aparecen en los resultados de búsqueda con tu dominio. A veces el atacante incluso se agrega como propietario en tu Search Console, y muestra un error de "página no encontrada" cuando entras tú para que creas que ya no hay nada.

Tú ves tu sitio igual que siempre. Google ve otra cosa.

Robo de tarjetas en el checkout

Si vendes en línea, este es el que más debería preocuparte. Se mete un script en la página de pago que copia los datos de la tarjeta mientras el cliente los escribe y los manda a otro servidor. La compra se completa normal. Nadie nota nada hasta que los bancos empiezan a rastrear fraudes.

Sucuri documentó en febrero de 2025 un caso en una tienda Magento donde el código malicioso estaba disfrazado de un script normal de Google Tag Manager y Google Analytics, guardado dentro de la base de datos, no en los archivos. Además dejaron una puerta trasera para volver a entrar. Lo menciono porque ilustra algo importante: revisar los archivos del sitio no siempre basta.

Contraseñas recicladas en el panel de administración

El credential stuffing consiste en probar usuarios y contraseñas filtrados de otros sitios. Si la persona que administra tu página usa la misma contraseña que en alguna cuenta vieja que se filtró, el atacante entra por la puerta principal, sin explotar nada. El informe DBIR 2025 de Verizon encontró que el abuso de credenciales fue la vía de entrada inicial más común en las brechas que analizó (22%), seguido muy de cerca por la explotación de vulnerabilidades (20%).

Y luego están los formularios olvidados. Ese formulario de contacto de una campaña de hace tres años que sigue vivo en una URL que nadie recuerda, sin captcha, mandando correos desde tu dominio. Sirve para spam y, de paso, para que tus correos legítimos empiecen a caer en la carpeta de no deseados (hablo más de eso en cómo proteger tu dominio y tu correo).

Lo que te cuesta

La primera factura llega por Google. Cuando detecta contenido hackeado, malware o páginas engañosas, lo reporta en el informe de problemas de seguridad de Search Console. Tus páginas pueden aparecer con una etiqueta de advertencia en los resultados de búsqueda, y el navegador puede mostrarle al visitante una pantalla completa de alerta antes de dejarlo pasar. Esa pantalla roja de "sitio engañoso" o de aviso de malware es el fin de cualquier venta.

Salir de ahí tampoco es inmediato. Google pide limpiar todo el sitio (arreglar solo algunas páginas no te devuelve parcialmente a los resultados) y luego solicitar una revisión que normalmente tarda de unos días a unas semanas. Semanas con el sitio marcado, sin contar el tiempo que tardaste en enterarte.

La segunda factura es la confianza. Un cliente al que le clonaron la tarjeta después de comprarte no vuelve, y probablemente le cuenta a alguien.

La tercera es legal. Si tu sitio recibe datos personales (nombres, teléfonos, correos, direcciones, datos de pago), aplica la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, una ley nueva publicada en el Diario Oficial el 20 de marzo de 2025. El artículo 18 te obliga a mantener medidas de seguridad administrativas, técnicas y físicas contra daño, pérdida, alteración o acceso no autorizado, tomando en cuenta el riesgo y el desarrollo tecnológico. El artículo 19 pide informar de inmediato a las personas cuando una vulneración afecte de forma significativa sus derechos. Y el artículo 58 cuenta como infracción vulnerar la seguridad de bases de datos o equipos cuando sea imputable al responsable, con multas que el artículo 59 fija entre 200 y 320,000 veces la UMA. Esto no es asesoría legal; revisa tu caso con tu abogado.

Una lista honesta para empezar

Nada de esto requiere un presupuesto de banco. Va más o menos en orden de impacto contra esfuerzo.

Empieza por las actualizaciones, y por tener menos cosas que actualizar. CMS, plugins, temas y dependencias al día; lo que no usas, fuera, porque un plugin desactivado sigue siendo código en tu servidor. Si uno lleva un año sin que su autor lo toque, busca reemplazo. La parte honesta: actualizar a veces rompe cosas, así que conviene probar antes en una copia del sitio. Es un costo real, pero mucho menor que el de no hacerlo.

Luego, los accesos. Cada persona con su propio usuario, nada de compartir el "admin" por WhatsApp. El de marketing no necesita ser administrador para publicar en el blog, y cuando alguien deja la empresa o termina el proyecto con la agencia, su acceso se borra ese día.

Activa la verificación en dos pasos en el panel del sitio, el hosting, el dominio y el correo. La guía de OWASP contra credential stuffing la describe como, por mucho, la mejor defensa contra la mayoría de los ataques de contraseñas. Si solo haces una cosa de esta lista hoy, que sea esta.

Ten respaldos que ya probaste restaurar. Automáticos, fuera del mismo servidor, con varias versiones hacia atrás. Lo de probarlos no es detalle: es común descubrir el día del problema que el respaldo estaba incompleto o que nadie sabe cómo restaurarlo. Y si te hackearon hace tres semanas sin que te dieras cuenta, un solo respaldo de ayer no te sirve.

Del lado técnico, HTTPS en todo el sitio con redirección automática desde HTTP (muchos hostings lo incluyen sin costo), y cuidado con imágenes o scripts que todavía se cargan sin cifrar. Encima de eso van los encabezados de seguridad, instrucciones que tu servidor le manda al navegador: conectarse solo por HTTPS (HSTS), no dejar que otros sitios metan tu página en un iframe, qué scripts pueden ejecutarse (CSP). Mozilla tiene una guía práctica con el orden recomendado. Una CSP bien hecha complica bastante el robo de tarjetas que describí arriba, aunque configurarla sin romper tu sitio lleva trabajo.

Un WAF o CDN delante del sitio ayuda mucho. Cloudflare, por ejemplo, filtra tráfico malicioso antes de que llegue a tu servidor, y su firewall de aplicaciones tiene reglas administradas que se actualizan contra vulnerabilidades nuevas; el plan gratuito trae un conjunto básico y las reglas completas están en los planes de pago. No sustituye a las actualizaciones, pero te compra tiempo en esas famosas cinco horas. Y para enterarte tú antes que tus clientes: da de alta el sitio en Google Search Console, aunque sea solo para recibir el aviso, y suma un monitor de disponibilidad y alertas de inicio de sesión en el panel.

Si tu sitio es más que un folleto

Cuando tu página ya tiene cuentas de clientes, cotizador, portal de pedidos o integraciones con tu ERP, la lista de arriba es el mínimo, no el plan completo. Ahí entran la validación de lo que llega por formularios, cómo se guardan las contraseñas, qué datos realmente necesitas guardar y quién puede ver qué. Si además le estás conectando IA, hay riesgos nuevos; escribí aparte sobre cómo diseñar agentes de IA seguros y sobre las nuevas amenazas que trae la IA, como el phishing que ya no trae faltas de ortografía.

Mi recomendación: no esperes a ver la pantalla roja. Si no sabes cuándo se actualizó tu sitio por última vez, quién tiene acceso o si el respaldo funciona, ya tienes tu respuesta. Podemos revisar la seguridad de tu sitio, decirte qué está bien, qué urge y qué puede esperar, y si hace falta, ayudarte a construir software que nazca seguro en lugar de parcharlo después.