¿Tu web es segura? Si te has hecho esta pregunta y no sabes muy bien por dónde empezar, esta checklist seguridad web te ayudará a revisar lo básico sin meterte en una auditoría técnica.
La idea es que puedas comprobarlo con cosas que ya tienes delante: el navegador, el panel de tu web, tu correo y el panel de hosting.
No hace falta saber de ciberseguridad para detectar muchas señales habituales. Eso sí, esta revisión no sustituye el trabajo de un profesional si ya hay un ataque, una infección o una sospecha seria.
Vamos punto por punto.
Tabla de Contenidos:
- Comprueba que tu web aparece como segura en el navegador
- Revisa quién conserva acceso a tu web
- Comprueba que tienes una copia de seguridad reciente
- Protege los formularios contra el spam y los envíos automáticos
- Revisa los avisos de seguridad que recibes
- Si utilizas WordPress, PrestaShop o Joomla revisa también esto
- Señales de que tu web podría haber sido atacada
- Qué hacer si detectas algo sospechoso
- Checklist rápida para verificar la seguridad de tu web
- Conclusión
- Preguntas frecuentes sobre la seguridad de una web (FAQ)
Comprueba que tu web aparece como segura en el navegador
Este es uno de los puntos más importantes y también uno de los más fáciles de revisar.
Abre tu web en el navegador y mira la barra de direcciones. La web debe cargar con https:// y el navegador no debería mostrar avisos como “No es seguro”, “Conexión no privada” o “Certificado no válido”.
En algunos navegadores, como Chrome, puede que no veas https:// a simple vista. Haz clic en la barra de direcciones o en el icono que aparece a la izquierda del dominio. Ahí podrás ver si la conexión aparece como segura.
Después, haz una prueba rápida: escribe la dirección con http://, sin la s. Si todo está bien, la web debería llevarte automáticamente a la versión con https://.
Esto se olvida más de lo que parece. A veces el certificado está instalado, pero la redirección desde http:// no está bien configurada. El resultado es que algunos usuarios pueden entrar por una versión menos segura y eso es algo que no queremos que pase.
Si quieres entender mejor la diferencia, puedes revisar esta guía sobre HTTP vs HTTPS. Para esta revisión, quédate con la parte práctica: tu web debe cargar siempre con https:// y sin avisos del navegador.
Revisa quién conserva acceso a tu web
La seguridad también depende de quién puede entrar en tu web.
Entra en el panel de administración y revisa la lista de usuarios. No lo mires solo como una lista técnica. Piensa en personas reales que han trabajado contigo en algún momento.
- ¿Le diste acceso al diseñador que creó la web?
- ¿Trabajaste con una agencia que ya no lleva el proyecto?
- ¿Hay algún antiguo trabajador o colaborador?
- ¿Varias personas usan la misma cuenta?
Lo ideal es que solo tengan acceso las personas que lo necesitan ahora. Si alguien ya no participa en el proyecto, su cuenta debería desactivarse o eliminarse.
Si el panel permite activar la verificación en dos pasos, actívala. Es esa comprobación extra que pide un código o una confirmación desde el móvil al iniciar sesión.
Si ves usuarios que no reconoces, cuentas antiguas o permisos demasiado altos, no borres sin pensar. Primero revisa quién los creó y para qué sirven.
Comprueba que tienes una copia de seguridad reciente
Una copia de seguridad es lo que te permite volver atrás si algo falla. Puede ser un borrado accidental, una actualización que rompe la web o un problema de seguridad.
Entra en tu panel de hosting y busca el apartado de copias. Esto depende de cada panel y cada proveedor, pero los planes de hosting web de Loading incluyen copias de seguridad sin coste adicional.
Aun así, conviene mirar de vez en cuando que existen y que la fecha tiene sentido.
Fíjate en tres cosas muy concretas:
- Cuándo se hizo la última copia.
- Si las copias se hacen de forma automática.
- Si puedes descargarlas o restaurarlas.
Si la última copia es muy antigua, si no aparece ninguna o si no sabes cómo recuperarla, hay que revisarlo. Una copia que no puedes encontrar o restaurar no te ayuda cuando la necesitas.
Protege los formularios contra el spam y los envíos automáticos
Los formularios suelen parecer inofensivos: un contacto, una solicitud de presupuesto, un comentario, un registro. Pero si están abiertos sin protección, pueden recibir envíos automáticos de bots.
Abre tus formularios como si fueras un visitante. Comprueba si tienen CAPTCHA, protección antispam o algún sistema parecido.
Que el formulario funcione no significa que esté protegido. Puede enviar correos correctamente y al mismo tiempo, estar recibiendo mensajes basura, enlaces extraños o textos sin sentido.
Revisa también otras zonas si tu web las tiene:
- Registro de usuarios.
- Comentarios en el blog.
- Subida de archivos.
- Formularios de reserva o compra.
Si detectas mucho spam, no instales plugins al azar. Primero identifica de dónde llegan los envíos. Después revisa la configuración del formulario o pide ayuda a quien mantiene la web.
Instalar soluciones como reCATPCHA de Google o Turnstile de Cloudflare en un formulario soluciona todos estos problemas.
Revisa los avisos de seguridad que recibes
Algunos problemas no se ven al entrar en la web. Llegan como correos, alertas o mensajes dentro de un panel.
Revisa estos canales de vez en cuando:
Correo del hosting
Avisos del navegador
Google Search Console
Panel de la web
Accesos desconocidos
No todos los avisos son urgentes, pero tampoco conviene ignorarlos por sistema. Algunos mensajes informan de actualizaciones normales. Otros avisan de intentos de acceso, cambios importantes o problemas detectados.
Google explica en su ayuda de Search Console que el informe de Problemas de seguridad puede mostrar avisos si un sitio se ha pirateado, contiene malware o tiene comportamientos dañinos para los visitantes.
Si usas Search Console, entra y comprueba que no haya alertas pendientes. Si recibes un aviso que no entiendes, guárdalo y consúltalo con tu proveedor o con la persona que gestiona la web.
Si utilizas WordPress, PrestaShop o Joomla revisa también esto
Este apartado solo aplica si tu web está hecha con un gestor de contenidos como WordPress, PrestaShop o Joomla.
No necesitas saber cómo funciona por dentro. Entra en el panel y mira si hay avisos de actualización, mensajes de seguridad o elementos que llevan mucho tiempo sin tocarse.
Revisa estos puntos:
Es bastante habitual acumular plugins, módulos o plantillas que se probaron una vez y se quedaron ahí. Si ya no se usan, mejor quitarlos con criterio. Cuantas más piezas tenga la web, más difícil es mantenerla al día.
INCIBE (Instituto Nacional de Ciberseguridad) reúne recursos para empresas en su sección Protege tu web, con contenidos sobre copias, control de acceso y protección de gestores de contenidos. Úsalo como referencia general, no como una lista técnica que tengas que aplicar sin ayuda.
Señales de que tu web podría haber sido atacada
Hasta aquí hemos revisado puntos de prevención. Ahora toca mirar señales de que algo puede estar pasando ya.
Presta atención si ves alguna de estas situaciones:
Una señal aislada no siempre confirma un ataque, pero sí merece revisión. Si aparecen varias a la vez, conviene actuar cuanto antes.
No intentes arreglarlo borrando archivos al azar. Podrías eliminar pistas útiles o dejar la web peor.
Qué hacer si detectas algo sospechoso
Si ves algo raro, lo importante es actuar con orden.
Si usas Plesk, empieza por las opciones visibles del panel: copias, usuarios, archivos y avisos. Evita tocar bases de datos o archivos internos si no sabes exactamente qué estás haciendo.
El objetivo no es improvisar una limpieza. Es contener el problema y pedir ayuda con información clara.
Checklist rápida para verificar la seguridad de tu web
No hace falta revisarlo todo cada semana. Para una web pequeña, hacerlo una vez al mes y después de cambios importantes ya ayuda mucho.
Conclusión
La seguridad de una web no es algo que se mira una vez y se olvida. Cambian las personas que tienen acceso, se instalan extensiones, llegan formularios, aparecen avisos y se hacen cambios en el hosting.
Empieza por lo visible: navegador, usuarios, copias, formularios y avisos. Si algo no encaja, actúa pronto y pide ayuda antes de tocar partes delicadas de la web.