Cada semana revisamos webs de pymes españolas. No buscamos titulares: buscamos lo que un atacante encontraría en los primeros diez minutos, sin herramientas exóticas y sin tocar nada que no esté ya expuesto al público. Y casi siempre encontramos los mismos cinco fallos.
La buena noticia: ninguno necesita un gran presupuesto para arreglarse. La mala: mientras sigan abiertos, son la puerta por la que entran la suplantación de tu correo, el secuestro de tu web y las multas de protección de datos. Aquí van los cinco, con cómo comprobar si los tienes y cómo cerrarlos.
1. Tu dominio no protege el correo (SPF, DKIM y DMARC)
Es, con diferencia, el fallo más común y el más peligroso para una pyme. Si tu dominio no tiene bien configurados SPF, DKIM y DMARC, cualquiera puede enviar correos que parezcan venir de @tuempresa.com. Es el origen del 80% del fraude del CEO y de las facturas falsas que acaban en transferencias reales.
Cómo comprobarlo
Busca los registros TXT de tu dominio. Si no aparece una política v=DMARC1; p=reject (o al menos p=quarantine) en _dmarc.tudominio.com, estás desprotegido.
Cómo cerrarlo
Publica un registro SPF que liste tus servidores de correo, activa la firma DKIM en tu proveedor y despliega DMARC empezando en modo monitor (p=none) hasta llegar a p=reject. Coste: cero euros, unas horas de un técnico.
2. La web no envía cabeceras de seguridad
Cuando tu navegador carga una web, el servidor puede mandar instrucciones para protegerte: forzar HTTPS, impedir que la web se incruste en un iframe ajeno (clickjacking), o limitar de dónde se cargan scripts. La mayoría de webs de pymes no manda ninguna.
Cómo comprobarlo
Mira las cabeceras de respuesta de tu web. Si no ves Strict-Transport-Security, Content-Security-Policy ni X-Frame-Options, las tienes todas en rojo.
Cómo cerrarlo
Se añaden en la configuración del servidor o del CDN en minutos. HSTS y X-Frame-Options son inmediatas; la CSP requiere algo más de cuidado para no romper la web, pero el retorno en seguridad es enorme.
3. El CMS y los plugins están desactualizados
El 43% de las webs del mundo corren sobre WordPress, y la mayoría de los hackeos no explotan WordPress en sí: explotan un plugin sin actualizar. Una vulnerabilidad pública de hace seis meses sigue siendo una vulnerabilidad de hoy si nadie ha pulsado Actualizar.
Cómo comprobarlo
Revisa las versiones de tu CMS y plugins frente a las últimas publicadas. Cualquier componente con un CVE conocido es una invitación.
Cómo cerrarlo
Actualiza todo, elimina los plugins que no uses (cada uno es superficie de ataque) y activa actualizaciones automáticas para los parches de seguridad. Si tienes plugins abandonados por su autor, sustitúyelos.
4. Ficheros y paneles que no deberían ser públicos
Es sorprendente lo que se queda accesible por descuido: carpetas .git que exponen todo tu código fuente, ficheros .env con contraseñas de base de datos, copias de seguridad .zip o .sql en la raíz, paneles de administración sin restricción de IP. Un atacante no necesita entrar: lo descarga directamente.
Cómo comprobarlo
Intenta acceder a tudominio.com/.git/config, tudominio.com/.env y a tus rutas de backup. Si descargan algo, tienes un problema serio.
Cómo cerrarlo
Bloquea esos directorios en el servidor, saca los backups de la raíz web, restringe el panel de administración por IP o con doble factor, y nunca subas el .env al servidor de producción.
5. HTTPS mal hecho (o a medias)
Tener candado no basta. Vemos webs que sirven contenido mezclado (HTTP dentro de HTTPS), que no redirigen el HTTP a HTTPS, o que aún aceptan versiones antiguas e inseguras de TLS. El resultado: avisos del navegador que espantan clientes y conexiones interceptables.
Cómo comprobarlo
Entra por http:// y comprueba que te redirige automáticamente a https://. Verifica que el certificado es válido y que no quedan recursos cargándose por HTTP.
Cómo cerrarlo
Fuerza la redirección 301 a HTTPS, desactiva TLS 1.0/1.1, renueva el certificado (Let's Encrypt es gratis y automático) y corrige el contenido mixto.
El patrón de fondo
Ninguno de estos cinco fallos es culpa de un mal proveedor ni de un equipo descuidado. Son el resultado de que nadie tiene el encargo explícito de mirar la seguridad. Tu desarrollador hace que la web funcione; tu agencia de marketing hace que venda. La seguridad cae en tierra de nadie hasta que alguien la explota.
La auditoría inicial es rápida y los cinco arreglos caben en una semana de trabajo. Lo caro no es cerrarlos: lo caro es el incidente que llega cuando no lo haces.
En Blurtek auditamos webs de pymes y cerramos estos fallos antes de que sean un problema. Si quieres saber cómo está la tuya, te hacemos una revisión gratuita de 20 minutos y te decimos exactamente qué tienes abierto. Escríbenos a admin@blurtek.com o llámanos al +34 604 84 48 03.
Solicitar diagnóstico