≡En resumen
- La seguridad web protege confidencialidad, integridad y disponibilidad: que nadie lea, cambie o tumbe lo que no debe.
- La mayoría de webs pequeñas caen por lo básico: software desactualizado, contraseñas débiles y paneles sin segundo factor.
- HTTPS con HSTS y unas pocas cabeceras de seguridad cierran muchas puertas con muy poco esfuerzo.
- Una copia de seguridad que no has probado a restaurar no es un plan de recuperación.
- Si hay una brecha con datos personales, tienes 72 horas para notificarla a la AEPD.
01 ¿Qué es la web security o seguridad web?
122.223
incidentes de ciberseguridad gestionados en España en 2025 (+26 %)
Fuente: INCIBE, balance 2025
237.028
sistemas vulnerables detectados y notificados
Fuente: INCIBE-CERT, balance 2025
55.411
incidentes de malware, la categoría más numerosa
Fuente: INCIBE, balance 2025
02 Principales amenazas: el OWASP Top 10:2025
OWASP (Open Worldwide Application Security Project) es una fundación sin ánimo de lucro que publica la lista de referencia de riesgos en aplicaciones web. La edición vigente es la de 2025. Así se traduce cada categoría a lo que puede pasarle a una web corriente:
| Código | Riesgo | Ejemplo en una web |
|---|---|---|
| A01 | Control de acceso roto | Un cliente ve los pedidos de otro cambiando un número en la URL |
| A02 | Configuración de seguridad incorrecta | Listado de directorios activo, errores con detalles técnicos o panel de base de datos expuesto |
| A03 | Fallos en la cadena de suministro de software | Un plugin o una librería de terceros comprometidos o abandonados |
| A04 | Fallos criptográficos | Formularios sin HTTPS o contraseñas guardadas sin hash seguro |
| A05 | Inyección | Inyección SQL en un buscador interno o XSS en los comentarios |
| A06 | Diseño inseguro | Recuperación de contraseña que se puede adivinar por diseño |
| A07 | Fallos de autenticación | Panel de administración sin límite de intentos ni segundo factor |
| A08 | Fallos de integridad de software o datos | Actualizaciones o scripts cargados sin verificar su origen |
| A09 | Fallos de registro y alertas | Nadie se entera del ataque hasta semanas después |
| A10 | Mala gestión de condiciones excepcionales | Un error inesperado deja la aplicación en un estado inseguro o revela información |
En la práctica, las pymes sufren sobre todo fuerza bruta contra el login, plugins vulnerables, inyecciones, malware que redirige a webs fraudulentas y phishing que suplanta a la marca. Tienes ejemplos y defensas concretas en la guía sobre cómo proteger tu web de los ataques más comunes.
03 HTTPS, HSTS y cabeceras de seguridad
El primer escudo es cifrar todo el tráfico con HTTPS y obligar al navegador a usarlo siempre con HSTS. Después, unas pocas cabeceras HTTP enviadas por el servidor reducen mucho el impacto de ataques como el XSS o el clickjacking.
| Cabecera | Qué hace | Valor de partida |
|---|---|---|
| Strict-Transport-Security (HSTS) | Obliga al navegador a usar solo HTTPS con tu dominio | max-age=31536000; includeSubDomains |
| Content-Security-Policy (CSP) | Define de qué orígenes se pueden cargar scripts, estilos, imágenes o iframes | Empieza en modo Report-Only y ajusta antes de aplicarla |
| X-Content-Type-Options | Impide que el navegador «adivine» el tipo de archivo | nosniff |
| Referrer-Policy | Limita la información de la URL de origen que se envía a otras webs | strict-origin-when-cross-origin |
| Permissions-Policy | Desactiva funciones del navegador que no usas (cámara, micrófono, geolocalización) | camera=(), microphone=(), geolocation=() |
| CSP frame-ancestors / X-Frame-Options | Evita que otra web incruste la tuya en un iframe para engañar al usuario | frame-ancestors 'self' o SAMEORIGIN |
04 Accesos: contraseñas, roles y autenticación en dos pasos
Robar o adivinar una contraseña sigue siendo la forma más barata de entrar en una web. La defensa más eficaz es la autenticación de dos factores: aunque alguien consiga la clave, no podrá entrar sin el código o la llave física del segundo factor.
- ✓Activa el segundo factor en el panel de la web, el hosting, el registrador del dominio y el correo.
- ✓Usa un gestor de contraseñas y claves largas y únicas para cada servicio.
- ✓Aplica el mínimo privilegio: cada persona, con el rol justo; nada de compartir la cuenta de administrador.
- ✓Limita los intentos de inicio de sesión y bloquea temporalmente las IP que fallan en bucle.
- ✓Da de baja los accesos de antiguos empleados, agencias y proveedores en cuanto terminan.
- ✓Revisa cada trimestre quién tiene acceso a qué.
05 Actualizaciones y copias de seguridad
La mayoría de intrusiones en webs con WordPress u otros CMS aprovechan fallos ya corregidos en versiones nuevas. Mantener al día el núcleo, el tema, los plugins, PHP y el servidor es la medida con mejor relación entre esfuerzo y protección. Qué revisar y con qué frecuencia está detallado en la guía de mantenimiento web.
Actualiza con método
Copia antes de actualizar, prueba en un entorno de pruebas si la web es crítica y elimina los plugins y temas que no usas.
Regla 3-2-1
Tres copias de los datos, en dos soportes distintos, y una de ellas fuera del servidor y del proveedor de hosting.
Copias inmutables
Guarda al menos una copia que no se pueda borrar desde la web, para resistir un ransomware que cifre también las copias accesibles.
Restaura de prueba
Comprueba cada pocos meses que una copia se restaura completa y funciona, y cuánto tardas en hacerlo.
06 Firewall de aplicaciones y monitorización
Un firewall de aplicaciones web (WAF) analiza cada petición antes de que llegue a tu aplicación y bloquea patrones de inyección, XSS y bots abusivos. No sustituye a las actualizaciones, pero compra tiempo cuando se publica una vulnerabilidad y aún no has parcheado.
| Qué | Cómo | Para detectar |
|---|---|---|
| Disponibilidad | Monitor externo que comprueba la web cada minuto | Caídas y ataques de denegación de servicio |
| Integridad de archivos | Escáner de malware y comparación con versiones originales | Código inyectado o puertas traseras |
| Registros de acceso | Alertas por inicios de sesión nuevos o fallidos en bucle | Fuerza bruta y cuentas comprometidas |
| Avisos de Google | Informe de problemas de seguridad de Search Console | Webs marcadas como peligrosas o con contenido inyectado |
| Certificado TLS | Alerta de caducidad | Webs que dejan de cargar con aviso de «No seguro» |
07 Qué hacer si hackean tu web
-
1
Contén el daño
Pon la web en mantenimiento o bloquea el acceso público si está sirviendo malware o robando datos.
-
2
Cambia todas las credenciales
Panel, hosting, FTP o SSH, base de datos, claves de API y correo, con segundo factor activado.
-
3
Limpia o restaura
Restaura una copia anterior a la intrusión y actualiza todo antes de reabrir; si no la tienes, limpia con ayuda profesional.
-
4
Cierra la puerta de entrada
Identifica en los registros cómo entraron; si no la cierras, volverán a entrar.
-
5
Notifica si hay datos personales
Si la brecha afecta a datos personales con riesgo para las personas, notifícala a la AEPD en 72 horas y, si el riesgo es alto, a los afectados.
-
6
Pide revisión a Google y apóyate en INCIBE
Solicita la revisión en Search Console cuando la web esté limpia. Para orientación gratuita, llama al 017 de INCIBE.
Muchas webs vulnerables lo son por cómo se construyeron: plantillas abandonadas, decenas de plugins o código sin revisar. Si toca rehacerla, conviene hacerlo sobre una base mantenible con una agencia de desarrollo web o dentro de un proyecto de diseño web profesional que incluya la seguridad desde el principio.
Preguntas frecuentes sobre Web security
Es la seguridad web: el conjunto de medidas que protegen un sitio web, a sus usuarios y sus datos frente a accesos no autorizados, robos de información, manipulaciones y caídas.
Es la lista de los diez riesgos de seguridad más críticos en aplicaciones web que publica la fundación OWASP. La edición vigente es la de 2025 y la encabeza el control de acceso roto.
No. HTTPS cifra la comunicación entre el navegador y el servidor, pero no evita que entren por un plugin vulnerable o una contraseña débil. Es imprescindible, pero es solo una capa.
Comprueba que todo el software está actualizado, que hay HTTPS con HSTS y cabeceras de seguridad, que los accesos tienen segundo factor y que existen copias probadas. Un análisis de vulnerabilidades o una auditoría de seguridad lo confirma.
El firewall de red filtra por IP y puertos; el WAF inspecciona el contenido de las peticiones web y bloquea ataques como la inyección SQL o el XSS, que entran por el puerto web permitido.
Contén el daño, cambia todas las credenciales, restaura una copia limpia, cierra la vulnerabilidad y, si hay datos personales afectados, notifica a la AEPD en 72 horas. INCIBE ofrece ayuda gratuita en el 017.
Las actualizaciones de seguridad, en cuanto se publican; el resto, con una revisión al menos mensual. Haz siempre una copia antes de actualizar.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗