Hay dos problemas de seguridad con los que se topa la web de un negocio pequeño. El primero da vergüenza: el navegador le dice a cada visita que tu web "No es segura". El segundo hace daño de verdad: alguien entra y Google empieza a avisar a la gente para que no se acerque.
Los dos se pueden evitar, ninguno es complicado y las soluciones son poco glamurosas. Esto es lo que pasa realmente y qué hacer al respecto.
El aviso de No es seguro, explicado
Si tu barra de direcciones dice No es seguro, significa una cosa: tu web se sirve por HTTP plano en vez de HTTPS. No hay cifrado entre tu visitante y tu web, así que todo lo que se escriba en un formulario viaja en claro.
Importa por tres motivos. Las visitas ven el aviso y muchas se van sin más, porque se lee como "este negocio es sospechoso". Los navegadores muestran avisos extra en los formularios, así que tu formulario de contacto está desanimando activamente las consultas. Y HTTPS es una señal de posicionamiento para Google desde hace años, así que también vas con desventaja en el buscador.
Cómo arreglarlo
- Consigue un certificado SSL. Esto no debería costarte nada. Los certificados de Let's Encrypt son gratis, válidos y se renuevan solos, y prácticamente cualquier hosting decente los da con un clic. Si tu proveedor te quiere cobrar una cuota anual por un certificado básico, ese es un motivo para cuestionarte el proveedor.
- Fuerza HTTPS. Instalar el certificado no basta por sí solo. Cada petición HTTP tiene que redirigir a la versión HTTPS, porque si no existen las dos y la gente sigue aterrizando en la insegura.
- Arregla el contenido mixto. Este es el paso que se salta la gente. Si tu página carga por HTTPS pero trae una imagen, una fuente o un script por HTTP, el candado se rompe igual. Normalmente es la ruta de una imagen antigua o un widget incrustado, y la consola del navegador te dice exactamente cuál.
Bien hecho, eso es como mucho una hora de trabajo, y muchas veces diez minutos.
Cómo entran de verdad en las webs de negocios pequeños
No es un genio con capucha apuntando a tu empresa de fontanería. Casi siempre es un script automático rastreando internet entero en busca de una debilidad conocida concreta. Eso cambia lo que te debería preocupar:
- Software desactualizado. Es la causa aplastantemente mayoritaria. Un WordPress, una plantilla o un plugin viejos con una vulnerabilidad pública es lo que buscan los bots. El exploit suele publicarse meses antes de que le toque a tu web.
- Plugins abandonados. Un plugin cuyo desarrollador dejó de actualizarlo hace tres años nunca recibe parches. Es una ventana abierta permanente.
- Contraseñas de administrador débiles o reutilizadas, y sin doble factor. Los intentos automáticos de acceso corren sin parar contra todas las webs.
- Demasiadas cuentas de administrador. El diseñador web de hace cinco años probablemente sigue teniendo acceso total.
- Hosting barato y saturado. En alojamiento compartido mal configurado, que entren en una web vecina puede llegar a la tuya.
Qué pasa de verdad cuando te hackean
Pocas veces algo dramático en tu portada. Normalmente es silencioso y comercialmente desastroso: cientos de páginas de spam inyectadas en tu web, o visitas que llegan desde Google redirigidas a un sitio desagradable mientras tú, con la sesión abierta y entrando directamente, no ves nada raro.
El daño llega cuando Google se da cuenta. Te marca en su sistema de Navegación Segura y las visitas empiezan a ver una pantalla roja de advertencia en vez de tu web. Tu tráfico se va a cero de la noche a la mañana. Lo verás reportado en Problemas de seguridad de Search Console, que es un motivo más para tenerla configurada, como vimos en por qué mi web no aparece en Google. Quitar ese aviso implica limpiar la web en condiciones y luego solicitar una revisión, y eso son días que no te puedes permitir.
El mantenimiento que evita casi todo
Genuinamente aburrido y genuinamente eficaz:
- Mantén todo actualizado. Núcleo, plantillas, plugins. Este solo hábito evita la gran mayoría de los ataques.
- Borra lo que no uses. Cada plugin desactivado que sigue ahí sigue siendo código en tu servidor.
- Contraseñas fuertes y únicas y doble factor en las cuentas de administrador. Gratis y son minutos.
- Copias de seguridad automáticas que hayas probado. Una copia sin probar es una esperanza, no un plan. Restaura una en un sitio seguro y comprueba que funciona, porque el día que la necesites no querrás sorpresas.
- Revisa quién tiene acceso una vez al año y quita a quien ya no lo necesite.
- Hosting decente. Nosotros alojamos en Microsoft Azure, y nuestras webs se construyen como páginas estáticas prerenderizadas en vez de un montaje de base de datos y plugins, lo que significa que hay muchísimo menos que un ataque automático pueda aprovechar.
Lo que no necesitas
Un certificado caro. Los de pago cifran exactamente igual de bien que los gratuitos para la web de un negocio normal. Tampoco necesitas una pila de plugins de seguridad solapados montados sobre una web que no se actualiza desde hace un año, que es el equivalente digital de poner una segunda cerradura en una puerta sin marco. Primero actualiza, luego valora extras.
Una comprobación de cinco minutos
- Entra en tu web y mira la barra de direcciones. ¿Candado o No es seguro?
- Escribe tu dirección con http:// delante. ¿Redirige a https o carga de forma insegura?
- Si vas con WordPress, entra y mira cuántas actualizaciones hay pendientes. Si son más de unas pocas, ahí tienes tu riesgo a la vista.
- Revisa Problemas de seguridad en Search Console.
- Confirma que tienes una copia de seguridad de esta semana y que sabes cómo restaurarla.
Preguntas frecuentes
¿Tengo que pagar por un certificado SSL?
Casi con seguridad no. Los certificados gratuitos de Let's Encrypt son el estándar, los navegadores los tratan igual y la mayoría de hostings los incluyen. Los de pago solo tienen sentido en casos comerciales concretos que no aplican a la web de un negocio local típico.
¿Qué hago si me han hackeado la web?
Ponla fuera de servicio o en modo mantenimiento, cambia todas las contraseñas incluidas las del hosting y la base de datos, restaura desde una copia que sepas que está limpia, actualiza todo el software antes de volver a publicarla y luego solicita una revisión en Search Console si Google te marcó. Si no lo tienes claro, merece la pena pagar a alguien, porque una web limpiada a medias se reinfecta en días.
¿Valen la pena los plugins de seguridad?
Pueden añadir cosas útiles, como limitar intentos de acceso o vigilar archivos. Pero no sustituyen a las actualizaciones, y tener cinco a la vez sobre todo ralentiza tu web. Primero lo básico.
¿Cómo sé si mi web está comprometida?
Mira Problemas de seguridad en Search Console, busca site:tudominio.com y fíjate en páginas que no reconozcas, y prueba a abrir tu web desde un móvil con datos, sin sesión iniciada. Muchas infecciones se esconden a propósito del dueño de la web.
¿Afecta la seguridad de la web a mi SEO?
Sí, por los dos lados. HTTPS es una señal positiva de posicionamiento, y que te marquen como comprometida es catastrófico para el tráfico mientras dure. Más allá del ranking, la etiqueta de No es seguro te cuesta consultas de gente que nunca te dirá por qué se fue.
El resumen honesto es que la seguridad web de un negocio pequeño es un 90 por ciento mantenimiento rutinario. Ten todo parcheado, ten copias de verdad y ten el candado. Si prefieres que eso sea simplemente trabajo de otro, va incluido en lo que hacemos, junto con el alojamiento. Mira nuestras webs, lee sobre cuánto cuesta mantener una web al año o solicita una consulta gratuita y te diremos con sinceridad lo expuesto que está tu montaje actual.