Auditoría de seguridad web: checklist de 20 puntos para tu pyme

¿Por qué tu pyme necesita una auditoría seguridad web hoy mismo?

En España, el 43% de los ciberataques se dirigen específicamente a pequeñas y medianas empresas. Muchas pymes en Sevilla y el resto de Andalucía operan bajo la falsa creencia de que su negocio es "demasiado pequeño" para interesar a un hacker. La realidad es distinta: los ataques suelen estar automatizados. Los bots no buscan nombres de empresas; buscan vulnerabilidades. Una auditoría seguridad web no es un lujo corporativo, sino una medida de supervivencia básica. Según datos de INCIBE, el coste medio de un ciberataque para una pyme puede rondar los 35.000 euros, una cifra que para muchos autónomos y pequeños negocios locales supondría el cierre definitivo.

Checklist de 20 puntos para tu auditoría seguridad web

Este checklist está diseñado para que puedas revisar el estado de tu web de forma sistemática. Si eres una pyme que gestiona datos de clientes o una tienda online en PrestaShop o WooCommerce, estos puntos son de cumplimiento obligatorio.

1. Certificado SSL/TLS activo y forzado

No basta con tener el candado. Debes asegurarte de que el certificado utiliza protocolos modernos (TLS 1.2 o 1.3) y que todas las peticiones HTTP se redirigen automáticamente a HTTPS. Un certificado mal configurado o caducado destruye la confianza del cliente y penaliza tu posicionamiento en Google.

2. Versión de PHP actualizada

El 70% de las webs en el mundo usan PHP. Si tu pyme utiliza versiones obsoletas como la 7.4 o inferiores, estás expuesto a fallos de seguridad conocidos que ya no reciben parches. Asegúrate de que tu servidor corre bajo PHP 8.1 o superior para garantizar seguridad y velocidad.

3. Política de copias de seguridad (3-2-1)

Aplica la regla de oro: 3 copias de seguridad, en 2 soportes diferentes, con 1 de ellas fuera del servidor principal (en la nube o en un disco físico externo). En caso de un ataque de ransomware, tu copia de seguridad es el único salvavidas real.

4. Firewall de Aplicación Web (WAF)

Un WAF actúa como un portero en una discoteca. Filtra el tráfico malicioso antes de que llegue a tu servidor. Herramientas como Cloudflare o Sucuri son opciones excelentes para pymes que no tienen un departamento técnico dedicado.

5. Gestión de puertos y servicios del servidor

Si tienes un servidor propio o un VPS, cierra todos los puertos que no sean estrictamente necesarios. Puertos como el 21 (FTP estándar) deben ser sustituidos por SFTP (puerto 22) para cifrar la transferencia de archivos.

6. Actualización del núcleo del CMS

Ya sea WordPress, Joomla o Magento, mantener el núcleo actualizado es crítico. Las actualizaciones no solo traen funciones nuevas; cierran agujeros de seguridad que los hackers explotan masivamente a las pocas horas de ser descubiertos.

7. Auditoría de plugins y temas

Menos es más. Elimina cualquier plugin o tema que no estés utilizando. Cada línea de código de terceros es una posible puerta de entrada. Asegúrate de que los plugins activos tengan soporte reciente del desarrollador.

8. Desactivación de la edición de archivos desde el panel

En WordPress, es vital añadir la línea define('DISALLOW_FILE_EDIT', true); en tu archivo wp-config.php. Esto evita que, si un atacante consigue acceso al panel de administración, pueda modificar el código de tus archivos directamente.

9. Cambio de prefijos en la base de datos

Por defecto, muchos CMS usan el prefijo wp_. Esto facilita los ataques de inyección SQL. Cambiar el prefijo por algo aleatorio como z7x9_ añade una capa de oscuridad que dificulta el trabajo del atacante.

10. Gestión estricta de usuarios y roles

Aplica el principio de menor privilegio. No todos los empleados necesitan ser administradores. Un redactor solo debe tener permisos de colaborador. Revisa periódicamente quién tiene acceso y elimina cuentas de antiguos empleados o agencias.

11. Autenticación de dos factores (2FA)

La contraseña ya no es suficiente. Implementar 2FA (mediante una app como Google Authenticator) reduce en un 99% el riesgo de robo de cuenta por ataques de fuerza bruta o phishing.

12. Política de contraseñas robustas

Prohíbe contraseñas como "123456" o el nombre de tu empresa. Exige un mínimo de 12 caracteres, incluyendo símbolos, números y mayúsculas. El uso de gestores de contraseñas es altamente recomendable para equipos de trabajo.

13. Limitación de intentos de acceso

Instala herramientas que bloqueen direcciones IP después de 3 o 5 intentos fallidos de inicio de sesión. Esto detiene los scripts automatizados que prueban miles de combinaciones por segundo.

14. Ocultación de la versión del software

No des pistas. Evita que tu web muestre qué versión exacta de WordPress o PHP estás usando en el código fuente. Cuanta menos información tenga el atacante, más difícil le será encontrar el exploit adecuado.

15. Configuración de permisos de archivos y carpetas

Revisa que las carpetas tengan permisos 755 y los archivos 644. Nunca dejes permisos 777 (escritura pública), ya que permitiría a cualquiera subir scripts maliciosos a tu servidor.

16. Cabeceras de seguridad HTTP

Implementa cabeceras como X-Frame-Options, X-Content-Type-Options y Content Security Policy (CSP). Estas instrucciones indican al navegador del usuario cómo comportarse y evitan ataques comunes como el clickjacking.

17. Protección contra Inyección SQL

Asegúrate de que todos los formularios de tu web (contacto, registro, búsqueda) utilicen consultas preparadas. Una inyección SQL puede permitir a un hacker descargar toda tu base de datos de clientes.

18. Prevención de Cross-Site Scripting (XSS)

El XSS ocurre cuando se inyecta código malicioso en páginas que otros usuarios ven. Sanitizar todas las entradas de datos es fundamental para proteger la sesión de tus clientes.

19. Cumplimiento de la RGPD y privacidad

En España, la AEPD es muy estricta. Tu auditoría debe verificar que los formularios tienen el checkbox de aceptación, que la política de cookies es granular y que los datos se almacenan de forma segura. El incumplimiento puede acarrear multas de hasta el 4% de la facturación anual.

20. Plan de respuesta ante incidentes

¿Qué haces si te hackean un martes a las 3 de la mañana? Debes tener un documento claro con los pasos a seguir: quién contacta al hosting, quién restaura la copia y cómo se comunica a los clientes si ha habido una fuga de datos.

Herramientas y costes para pymes en Andalucía

Realizar una auditoría seguridad web no tiene por qué ser prohibitivo. Existen herramientas gratuitas como WPScan para WordPress o escáneres online como los de Sucuri y Mozilla Observatory. Sin embargo, para una pyme con facturación recurrente, lo ideal es contratar a un profesional local. En ciudades como Sevilla o Málaga, el coste de una auditoría profesional básica puede oscilar entre los 500 y 1.500 euros, dependiendo de la complejidad. Recuerda que existen ayudas como el Kit Digital, que subvenciona soluciones de ciberseguridad para pymes y autónomos, permitiéndote blindar tu negocio con fondos europeos.

Conclusión

La seguridad no es un estado, es un proceso continuo. Una web segura ayer puede ser vulnerable hoy si aparece un nuevo fallo en un plugin. Para mantener tu negocio protegido, sigue estos tres pasos accionables:

• Realiza un escaneo mensual: Programa una revisión automática de vulnerabilidades y actualizaciones pendientes.
• Forma a tu equipo: La mayoría de los hackeos entran por errores humanos. Enseña a tus empleados a desconfiar de correos sospechosos y a usar contraseñas seguras.
• Invierte en prevención: Es infinitamente más barato pagar por un buen mantenimiento y seguridad que afrontar el rescate de datos o una multa de la AEPD.

Sigue leyendo

• Cumplir el RGPD en tu web: checklist paso a paso para pymes
• Ley de accesibilidad web en España: ¿obliga a tu negocio?
• Migración de HTTP a HTTPS sin perder posicionamiento SEO

¿Necesitas ayuda con esto? Te ayudamos con plan de mantenimiento web o cuéntanos tu caso.