Backup y seguridad web: lo mínimo que necesita tu empresa

Casi toda empresa cree que su sitio tiene backup. Pocas saben dónde está, de cuándo es y si funciona. La duda solo aparece el peor día: el sitio desaparece, abre una página extraña o el hosting suspende la cuenta, y alguien pregunta “¿se puede dejar como estaba ayer?”.

El backup y la seguridad no se ven en pantalla. Por eso quedan fuera del presupuesto y fuera del contrato. En esta guía muestro, con datos de 2026, lo mínimo que necesita el sitio de tu empresa y las preguntas para quien lo cuida.

Por qué subió el riesgo web en 2026

El sitio típico de empresa está hecho en WordPress, con una plantilla comprada y un montón de plugins. Cada plugin es software de otro proveedor, con sus propios fallos y su propio calendario de correcciones.

El informe State of WordPress Security in 2026 de Patchstack, actualizado en febrero de 2026, trae las cifras de 2025:

• 11.334 fallos nuevos en el ecosistema WordPress, un 42% más que en 2024;
• el 91% estaba en plugins y el 9% en plantillas; el núcleo de WordPress tuvo solo 6, todos de bajo riesgo;
• el 46% no tenía corrección en el momento en que se publicó el fallo;
• en los fallos más explotados, el tiempo mediano entre la publicación y el ataque masivo fue de 5 horas.

Vuelve a leer el último dato. Entre que el fallo se hace público y los robots empiezan a probar miles de sitios pasan horas, no semanas. Actualizar “cuando se pueda” ya no protege.

Y el hosting no lo frena todo. En la prueba de la propia Patchstack con empresas de hosting conocidas, el servidor bloqueó solo el 26% de los ataques a esos fallos. El resto llegó al sitio.

Qué es un backup de verdad

Un backup no es “el hosting guarda una copia”. Es una rutina que puedes comprobar. La CISA, agencia de ciberseguridad del gobierno de Estados Unidos, resume lo mínimo para pequeñas empresas en la regla 3-2-1, en la guía Back Up Business Data:

• 3 copias de los archivos importantes;
• 2 tipos de almacenamiento distintos, como un disco y la nube;
• 1 copia fuera de las instalaciones de la empresa.

Para un sitio web, eso se traduce en tres reglas prácticas:

1. Backup automático. La CISA pide una rutina que se ejecute “de forma automática y regular”. Un backup que depende de que alguien se acuerde no existe.
2. Una copia fuera del hosting. Si la cuenta se suspende, la hackean o se cancela por falta de pago, el backup guardado en el mismo lugar desaparece con ella.
3. Historial de varios días. La CISA recomienda poder recuperar datos de al menos siete días atrás. Una intrusión casi nunca se detecta el mismo día; si el backup guarda solo la última noche, restauras un sitio ya infectado.

La prueba que casi nadie hace

El punto más olvidado es probar. La CISA aconseja probar la restauración para asegurar que el equipo puede recuperar los datos completos y por partes, y fijar esas pruebas con fecha.

En la práctica, un backup que nunca se restauró es una apuesta. El archivo puede estar dañado, incompleto o sin la base de datos. Solo lo descubres al usarlo, que es el peor momento.

La prueba es sencilla: subir la copia a un entorno aparte, abrir el sitio y revisar páginas, formularios e imágenes. Una vez por trimestre ya cambia todo.

Seguridad mínima para el sitio de tu empresa

El backup te salva después. La seguridad evita el problema. Para el sitio de una empresa, lo mínimo es esto:

• Actualizar con frecuencia fija. Plataforma, plugins y plantilla actualizados cada semana, probados en una copia antes de publicarlos. Con ataques que empiezan horas después de la publicación del fallo, la frecuencia importa más que el esfuerzo.
• Tener pocos plugins. Cada plugin que quitas es una puerta menos. Si el 91% de los fallos está en ellos, eliminar lo que no se usa es la medida más barata que existe.
• Evitar plugins abandonados. Un plugin sin actualizar desde hace más de un año no recibirá corrección cuando aparezca el fallo.
• Contraseñas fuertes y doble factor. En el panel del sitio, en el hosting, en el dominio y en el correo. Una contraseña filtrada del hosting vale más para un atacante que cualquier fallo de plugin.
• Un usuario por persona. Nada de contraseña de administrador compartida en el grupo del equipo. Quien deja la empresa pierde el acceso el mismo día.
• Accesos a nombre de la empresa. Dominio, hosting y panel registrados con el CNPJ (registro fiscal) y el correo de la empresa, no del freelancer. Si eso ya es un problema, expliqué el camino en cómo recuperar el dominio y el hosting del sitio.
• Certificado SSL con renovación automática. Y alguien que compruebe que la renovación se ejecutó.

Nada de esto exige herramientas caras. Exige rutina y alguien responsable de ella.

Un sitio a medida cambia la cuenta

Buena parte del riesgo viene del formato del sitio. Un WordPress con 30 plugins tiene 30 proveedores distintos que vigilar. Un sitio a medida, sin panel expuesto y sin plugins de terceros, tiene muchas menos piezas que actualizar.

El backup también se simplifica. El código vive en un repositorio con el historial de cada versión, así que volver a ayer es un comando. Lo que necesita copia son los datos: formularios, contactos y archivos subidos.

Es el caso de los sitios que hacemos a medida y mantenemos en nuestro servidor, como amandanutri.com.br, sitio de una nutricionista con atención 100% en línea y citas por WhatsApp, y conversaovisual.com.br, página de ventas de un curso que obtuvo 99 de 100 en Lighthouse de Google en octubre de 2026.

No significa que haya que tirar todo WordPress. Significa que, al comparar presupuestos, el costo de mantenerlo seguro tiene que entrar en la cuenta. Detallé ese costo en cuánto cuesta el mantenimiento web al mes.

Preguntas para quien cuida tu sitio

Envía estas preguntas por escrito a la agencia, al freelancer o al hosting. Las respuestas dicen más que cualquier propuesta.

1. ¿Cuál es la fecha del último backup del sitio?
2. ¿Dónde están las copias? ¿Alguna está fuera del hosting?
3. ¿Cuántos días atrás puedo recuperar?
4. ¿Cuándo fue la última prueba de restauración y qué se revisó?
5. ¿Cada cuánto se actualizan la plataforma y los plugins?
6. ¿Cuántos plugins tiene el sitio y alguno lleva más de un año sin actualizarse?
7. ¿El dominio, el hosting y el panel están a nombre de mi empresa?
8. ¿Quién me avisa si el sitio se cae y en cuánto tiempo?

Si la mitad de las respuestas son “creo que sí”, el sitio está desprotegido. Y si ya pasó lo peor, empieza por la guía de qué hacer cuando hackean tu sitio.

Cómo lo hacemos en el Studio

En el Studio, el backup y la seguridad entran en la conversación antes de que el sitio esté en línea, no después del primer susto. El precio cerrado llega tras el diagnóstico, con el plazo por escrito en el contrato. El código, los archivos y los accesos, incluidos dominio y hosting, quedan a nombre del cliente. Trabaja nuestro equipo de desarrollo, con Claude Code y Figma en el diseño y el desarrollo.

Los sitios que hacemos a medida funcionan en nuestro servidor con SEO y GEO desde el primer día. Y todo sistema que entregamos incluye un agente de IA que se ejecuta cada día, señala fallos, sugiere mejoras y comprueba que los datos tengan sentido.

Si no sabes responder las ocho preguntas de arriba sobre tu sitio, de eso se encarga nuestro servicio de mantenimiento y evolución continua.