La seguridad de una web se hace con un calendario: unas tareas cada día, otras cada semana y otras cada mes. Y hay protecciones que son ajustes de la web y del dominio.
Te lo contamos con nuestros planes de mantenimiento delante, porque es lo que tenemos por escrito. Son solo para las webs y aplicaciones que desarrollamos nosotros, pero las preguntas del final sirven para cualquier web.
Cada día: la copia y el correo
Cada día hacemos una copia de seguridad de la web. Es como el duplicado de las llaves del taller: no evita el problema, pero te deja volver a abrir.
También cada día revisamos los registros del servidor de correo y resolvemos las incidencias que encontramos. Los registros son el diario donde el servidor apunta lo que pasa en él.
Cada semana: los registros de seguridad
Cada semana hacemos otra copia de seguridad, y revisamos los registros del sistema y de las herramientas de seguridad del servidor. Si encontramos una incidencia, la resolvemos.
Esas herramientas trabajan solas entre revisión y revisión. En la descripción de los planes Básico y Empresarial aparecen tres:
- ModSecurity revisa cada visita y cada envío que llega a la web contra unas reglas, y con ellas decide qué deja pasar.
- Fail2ban lee los registros y bloquea durante un tiempo las direcciones que fallan demasiadas veces al intentar entrar. Su propia documentación avisa de que no elimina el riesgo de un acceso mal protegido, como una contraseña débil.
- ImunifyAV busca programas maliciosos en los archivos del servidor.
La revisión semanal es mirar lo que esas herramientas apuntaron, y actuar si hace falta.
Cada mes: las piezas sobre las que se programa
Una web a medida se apoya en un framework, que es la base sobre la que se programa, y en librerías, que son piezas que resuelven tareas concretas. Sus fabricantes publican arreglos.
Cada mes aplicamos las actualizaciones que se publican de los dos, empezando por las de seguridad, que son las que corrigen los fallos ya conocidos.
El sistema operativo y los programas del servidor, como el de la web y el del correo, también se actualizan.
Quién paga si una actualización rompe algo, y qué pasa con las versiones viejas, lo contamos en qué incluye el mantenimiento de una web a medida.
Lo que va configurado en la web y el dominio
Otras protecciones no van por un calendario de revisión: son ajustes de la web y del dominio. En los tres planes van estas:
- Un certificado SSL/TLS para el dominio principal. Es lo que permite que tu web se abra con «https» y que la conexión vaya cifrada.
- HSTS. Con él, tu web le dice al navegador que solo se le hable por una conexión segura. Así, ese navegador no vuelve a abrirla sin cifrar.
- Un registro CAA en tu dominio. Dice qué empresas pueden emitir certificados para él, y reduce el riesgo de que se emita uno por error.
- DNSSEC. Permite comprobar que la información de tu dominio, la que dice a qué servidor tiene que ir quien te visita, viene de su origen y no se ha alterado.
Además, los tres planes llevan una vigilancia automática del servidor las 24 horas.
Con cada nueva generación de modelos de IA: el código
En los planes Profesional y Empresarial hay una revisión que no va por calendario. Cuando aparece una nueva generación de modelos de inteligencia artificial, revisamos con ella el código de tu proyecto. Buscamos errores de programación que puedan afectar a la seguridad y corregimos los que encontramos.
No es una revisión periódica ni una auditoría con informe. Las correcciones aparecen en las fichas de actualización que mandamos a nuestros clientes.
Lo que queda fuera
Los programas y servicios de otros proveedores que hayas contratado tú quedan fuera del plan. Si tu web está conectada a uno de ellos, lo que pase dentro de ese programa no lo cubre el plan.
Y en las actualizaciones del framework y las librerías hay dos casos fuera. Uno, las versiones que su fabricante ha dejado de mantener. Otro, las actualizaciones para las que te pedimos autorización y no la recibimos. Si te llega una de esas peticiones, contestarla es parte de tu seguridad.
Tres preguntas de seguridad para quien te mantiene la web
Sea quien sea, estas tres preguntas te dicen mucho:
- ¿Quién mira los registros de seguridad, cada cuánto, y qué hace cuando encuentra algo?
- ¿Tu dominio lleva DNSSEC y un registro CAA?
- ¿Se revisa alguna vez el código de tu web buscando fallos de seguridad, y cuándo fue la última?
Si alguna respuesta es «no lo sé», ya sabes qué pedir que te pongan por escrito.
Si vas a hacer una web nueva
Nuestros planes de mantenimiento son solo para las webs y aplicaciones que desarrollamos nosotros. El detalle de cada uno está en la página de planes. Si estás pensando en una web nueva, cuéntanos qué necesitas.
Fuentes
- «Fail2Ban: ban hosts that cause multiple authentication errors», README del repositorio oficial, consultado el 8 de noviembre de 2026: https://github.com/fail2ban/fail2ban
- «ModSecurity Project – Open-Source Web Application Firewall», portada del proyecto, consultada el 8 de noviembre de 2026: https://modsecurity.org/
- «ImunifyAV(+) for cPanel, Plesk and DirectAdmin», documentación oficial de Imunify360, consultada el 8 de noviembre de 2026: https://docs.imunify360.com/imunifyav/
- RFC 6797, «HTTP Strict Transport Security (HSTS)», noviembre de 2012: https://www.rfc-editor.org/rfc/rfc6797
- RFC 8659, «DNS Certification Authority Authorization (CAA) Resource Record», noviembre de 2019: https://www.rfc-editor.org/rfc/rfc8659
- RFC 4033, «DNS Security Introduction and Requirements», marzo de 2005: https://www.rfc-editor.org/rfc/rfc4033
