Qué medidas tomar para que mi web esté segura

Crear una web y dejarla online 24/7 es como dejar un local con la persiana levantada: tarde o temprano alguien prueba la cerradura. Y no hablamos solo de “hackers de película”. Hoy los ataques suelen ser automáticos, masivos y bastante oportunistas. En nuestra experiencia, muchas webs caen por lo básico: contraseñas flojas, plugins desactualizados, backups inexistentes o un hosting sin capas de seguridad.

Si tenés un sitio institucional, un WordPress, un eCommerce o una landing que capta leads, estas medidas te ayudan a bajar muchísimo el riesgo de robo de datos, malware, caídas del sitio y hasta bloqueos por parte de Google. Vamos al grano.

Top 10 medidas para que tu web esté segura (y no te agarre desprevenido)

1) Usá contraseñas fuertes (y cortá con “Admin123”)

La primera puerta es la más atacada. Y sí: los bots prueban miles de combinaciones por minuto.

• Usá frases largas (mínimo 12-16 caracteres) con mayúsculas, minúsculas, números y símbolos.
• No repitas contraseñas entre servicios (hosting, correo, WordPress, base de datos).
• Sumá un gestor de contraseñas (Bitwarden, 1Password, etc.). Te cambia la vida.
• Activá 2FA/MFA en todo lo que puedas (panel del hosting, WordPress, correo).

Lo curioso es que muchas intrusiones no “rompen” nada: entran con credenciales filtradas de otra plataforma y listo.

2) Activá SSL/TLS (HTTPS) sí o sí

Un certificado SSL cifra el tráfico entre tu web y el usuario. Sin HTTPS, cualquier login o formulario viaja “en claro” (malísimo) y además el navegador marca el sitio como “No seguro”.

• Forzá HTTPS en todo el sitio.
• Revisá que no queden recursos mixtos (imágenes o scripts cargados por HTTP).
• Si tenés eCommerce, HTTPS es obligatorio por confianza y por buenas prácticas.

Si estás eligiendo infraestructura, un buen hosting en Argentina ya debería facilitar SSL y su configuración sin vueltas.

3) Mantené WordPress/CMS, themes y plugins siempre actualizados

Las actualizaciones no son “capricho”: suelen tapar vulnerabilidades conocidas. Si te quedás atrás, quedás expuesto a exploits públicos.

• Actualizá el core del CMS, plugins y themes.
• Eliminá plugins que no uses (desactivado no alcanza).
• Evitá plugins nulled/piratas (sinceramente, es comprar un problema).
• Probá actualizaciones en staging si el sitio factura o tiene alto tráfico.

4) Hacé backups automáticos y probá la restauración

Backup hay que tener. Pero más importante: que funcione y que puedas restaurar rápido.

• Backups automáticos diarios (o cada pocas horas si vendés online).
• Guardalos fuera del servidor principal (cloud u otra ubicación).
• Conservá varias versiones (no solo “el último”).
• Probá restaurar al menos 1 vez por trimestre (sí, en serio).

Un incidente puede costarte desde unas horas de laburo hasta cientos de miles de ARS en ventas perdidas, campañas pausadas y soporte.

5) Endurecé el acceso: limitá intentos, cambiá rutas y sumá WAF

El login de WordPress y los paneles de administración son un imán. La idea es poner trabas inteligentes.

• Limitá intentos de login y bloqueá IPs sospechosas.
• Usá reCAPTCHA en formularios y acceso admin.
• Implementá un WAF (Firewall de Aplicación Web) para filtrar ataques comunes.
• Si podés, restringí el acceso al panel por IP (ideal para empresas).

Si tu proyecto crece y necesitás más control, un Servidor VPS te permite ajustar firewall, reglas y monitoreo con más fineza.

6) Ajustá permisos de usuarios (principio de mínimo privilegio)

Esto se rompe fácil en equipos: “dale admin a todos para que no moleste”. Error.

• Asigná roles según tarea (editor, autor, administrador, etc.).
• Creá usuarios individuales, nada de cuentas compartidas.
• Desactivá accesos de ex empleados/proveedores al terminar el trabajo.
• Registrá actividad (logs) para saber quién hizo qué.

7) Protegé la base de datos y el servidor (lo que no se ve también se ataca)

Tu web no es solo “la pantalla”. Hay base de datos, PHP, servidor web, sistema operativo. Todo eso requiere mantenimiento.

• Usá usuarios de DB con permisos limitados (no todo “root”).
• Actualizá versión de PHP y dependencias (las viejas suelen tener agujeros).
• Cerrá puertos que no uses y configurá firewall.
• Deshabilitá listados de directorios y configuraciones inseguras.

8) Escaneá malware y monitoreá uptime

Si te enterás por un cliente de que “tu web tira cualquier cosa”, llegaste tarde. Monitoreo básico te salva.

• Uptime monitoring (te avisa si el sitio cae).
• Escaneo de malware y cambios de archivos.
• Alertas por picos raros de CPU o tráfico (posible ataque).
• Revisiones periódicas de logs (errores, intentos de acceso, etc.).

9) Blindá formularios y evitá inyecciones (SQLi, XSS, spam)

Los formularios son un vector típico: contacto, registro, checkout, comentarios.

• Validá y sanitizá entradas (del lado del servidor, no solo en el navegador).
• Usá plugins confiables para formularios y antispam.
• Aplicá políticas de seguridad como Content Security Policy (CSP) cuando sea posible.

10) Dominio y DNS: cuidá el control del “título de propiedad”

Si alguien te roba el acceso al dominio, puede redirigir tu web, tu mail y todo el negocio. Así de simple.

• Activá 2FA en el registrador del dominio.
• Bloqueá transferencia (domain lock).
• Revisá que el correo de recuperación sea seguro.

Si todavía no lo gestionás de forma ordenada, empezá por registrar y administrar tu dominio desde un proveedor confiable: dominios en Argentina.

Tabla rápida: qué medida cubre qué riesgo

FAQ: dudas comunes sobre seguridad web

¿Con SSL ya estoy seguro?
No. SSL cifra el tráfico, pero no evita que te entren por un plugin vulnerable o una contraseña filtrada. Es una capa, no la solución completa.

¿Cada cuánto debería hacer backups?
Depende. Si vendés online o recibís muchos formularios, diario es poco; ideal cada 6-12 horas. Para una web institucional, diario o semanal puede alcanzar (pero probá restaurar).

¿Un plugin de seguridad en WordPress alcanza?
Ayuda, pero no hace magia. Si el hosting es flojo, si no actualizás o si tenés usuarios con permisos de más, vas a seguir expuesto.

¿Qué es un WAF y por qué me conviene?
Es un firewall a nivel aplicación que filtra tráfico malicioso (inyecciones, bots, patrones sospechosos). Reduce muchísimo ataques automatizados.

¿Cuánto cuesta “arreglar” una web hackeada?
Varía, pero entre limpieza, restauración, horas de desarrollo y pérdida de ventas, puede irse fácil a decenas o cientos de miles de ARS. Y a veces el costo real es reputacional (clientes desconfiados, campañas frenadas, mails en spam).