Respuesta rápida
La respuesta corta
La seguridad informática de una empresa se sostiene en siete frentes: servidores y software actualizados, sitio web y CMS mantenidos, correo autenticado con SPF, DKIM y DMARC, accesos con doble factor y mínimos privilegios, respaldos automáticos fuera del servidor y probados, monitoreo con alertas y un plan de respuesta por escrito. La mayoría de los incidentes en pymes no son ataques sofisticados: son parches que nadie aplicó y contraseñas que nadie cambió.
Puntos clave
- La mayoría de los incidentes en pymes vienen de software sin actualizar y contraseñas débiles o reutilizadas.
- Un respaldo que nunca se ha restaurado no es un respaldo: es una esperanza.
- El correo de tu dominio es la puerta favorita del fraude: SPF, DKIM y DMARC no son opcionales.
- La seguridad es un proceso continuo con responsables y fechas, no un producto que se compra una vez.
Por qué las pymes son el blanco favorito
Las empresas medianas y pequeñas suelen pensar que no son interesantes para un atacante. Es al revés: la mayoría de los ataques son automatizados. Programas que recorren internet día y noche buscando versiones vulnerables de PHP, WordPress, paneles de control, servidores de correo y contraseñas comunes. No te eligen por quién eres, te encuentran por lo que tienes sin actualizar.
Y el daño no es solo técnico: pérdida de ventas mientras el sitio está caído, correos de tu dominio en listas negras, datos de clientes expuestos con obligaciones legales de por medio y, sobre todo, confianza perdida.
No te atacan porque seas grande. Te atacan porque estás expuesto.
1. Servidores y software siempre actualizados
Es la medida con mayor retorno. Fallas como PHP2Shell, publicada en octubre de 2026, demuestran que una sola vulnerabilidad en el lenguaje del servidor puede dejar expuestos millones de sitios en horas. La diferencia la hace quien aplica el parche el mismo día.
- Sistema operativo con soporte vigente: CentOS 7 ya no recibe parches; AlmaLinux, Rocky o Ubuntu LTS sí.
- PHP, Node.js, bases de datos y servidor web en versiones con soporte de seguridad.
- Actualizaciones con ventana definida, respaldo previo y reinicio controlado.
- Inventario de todos los servidores y sitios, incluidos los que “ya nadie usa”.
2. Sitio web y CMS: menos plugins, más mantenimiento
WordPress no es inseguro por sí mismo; lo inseguro es un WordPress con treinta plugins, la mitad abandonados, y un tema descargado de un sitio pirata. Cada plugin es código de un tercero corriendo en tu servidor.
- Elimina plugins y temas que no uses: desactivados también son riesgo.
- Actualiza núcleo, plugins y tema con respaldo previo.
- Protege el acceso administrativo: doble factor, límite de intentos y URL no predecible.
- Formularios con validación del lado del servidor y protección anti-spam.
- Encabezados de seguridad HTTP y certificado SSL con renovación automática.
- Para sitios corporativos o landing pages, un sitio estático o en Next.js reduce drásticamente la superficie de ataque.
3. Correo empresarial: la puerta del fraude
El fraude más rentable en México no necesita hackear nada: un correo que parece de tu empresa pide a un cliente que pague a una cuenta nueva. Si tu dominio no tiene SPF, DKIM y DMARC configurados, cualquiera puede enviar correos haciéndose pasar por ti y muchos llegarán a la bandeja de entrada.
- 01SPF: declara qué servidores pueden enviar en nombre de tu dominio.
- 02DKIM: firma cada mensaje para demostrar que no fue alterado.
- 03DMARC: indica qué hacer con los correos que fallan y te envía reportes; avanza de monitoreo a cuarentena y rechazo.
- 04Correo en un servidor con reputación cuidada, no en las IPs compartidas de un hosting barato.
- 05Política interna: ningún cambio de cuenta bancaria se acepta solo por correo; se confirma por otra vía.
Si cualquiera puede escribir como tu empresa, tu empresa no controla su propia voz.
4. Accesos: contraseñas, doble factor y mínimos privilegios
Las contraseñas reutilizadas son la llave maestra de los atacantes: una filtración en un servicio cualquiera abre la puerta del panel de tu sitio, del correo o del hosting.
- Gestor de contraseñas para todo el equipo; una contraseña única por servicio.
- Doble factor en correo, hosting, dominio, redes sociales, Google Ads, Meta y banca.
- Cada persona con su propio usuario; nada de cuentas compartidas.
- Mínimos privilegios: cada quien con acceso solo a lo que necesita.
- Baja inmediata de accesos cuando alguien sale del equipo o termina un proveedor.
- El dominio y las cuentas principales siempre a nombre de la empresa, no de un exempleado o de la agencia.
- SSH con llaves, no con contraseña, y sin acceso directo como root.
5. Respaldos que sí te salvan
El ransomware y los errores humanos tienen la misma cura: un respaldo reciente, completo y fuera del alcance del atacante. La regla práctica es 3-2-1: tres copias, en dos medios distintos, una fuera del servidor y de la oficina.
Base de datos de sitio, tienda o sistema
- Frecuencia sugerida
- Diaria o por hora si hay ventas
- Dónde
- Almacenamiento externo
Archivos del sitio y subidas
- Frecuencia sugerida
- Diaria
- Dónde
- Almacenamiento externo
Configuración del servidor
- Frecuencia sugerida
- En cada cambio
- Dónde
- Repositorio privado
Correo empresarial
- Frecuencia sugerida
- Continua
- Dónde
- Servidor de correo con respaldo propio
Documentos internos
- Frecuencia sugerida
- Diaria
- Dónde
- Nube con versiones
6. Monitoreo: enterarte antes que tus clientes
Si tu cliente te avisa que el sitio no carga, ya llegaste tarde. El monitoreo básico es barato y te da minutos de ventaja que valen mucho.
- Monitoreo de disponibilidad del sitio y del servidor con alertas por WhatsApp o correo interno.
- Alertas de recursos: disco, memoria y procesador.
- Revisión de registros para detectar accesos fallidos repetidos.
- Vigilancia de vencimiento de dominio y certificados.
- Reportes DMARC para detectar quién intenta suplantar tu dominio.
7. Plan de respuesta: qué hacer el día que pase
No necesitas un manual de cien páginas. Necesitas una hoja que responda quién decide, a quién se llama y en qué orden se actúa.
- 01Contener: aislar el servidor o cuenta afectada sin borrar evidencia.
- 02Avisar: responsable técnico, dirección y, si aplica, clientes y autoridades.
- 03Rotar credenciales de todo lo relacionado.
- 04Restaurar desde un respaldo limpio y aplicar el parche que faltaba.
- 05Documentar qué pasó y qué se cambia para que no se repita.
Protección de datos personales: también es seguridad
En México, la ley de protección de datos personales en posesión de particulares obliga a las empresas a resguardar la información de sus clientes con medidas de seguridad administrativas, técnicas y físicas. Un formulario que guarda datos en texto plano o un CRM con acceso abierto no es solo un riesgo técnico: es un riesgo legal. Recaba solo lo que necesitas y protégelo como si fuera tuyo.
En QRETARIA el aviso de privacidad, los términos y condiciones y el análisis de cómo tratas los datos los trabaja nuestra abogada especialista, y nosotros los integramos al sitio, a los formularios y a las herramientas de medición.
El checklist completo
Imprímelo, asígnale un responsable a cada punto y ponle fecha:
Servidor
- Mínimo indispensable
- Sistema y PHP con soporte, parches aplicados
- Revisión
- Semanal
Sitio web
- Mínimo indispensable
- CMS y plugins actualizados, SSL, admin con 2FA
- Revisión
- Semanal
Correo
- Mínimo indispensable
- SPF, DKIM y DMARC en cuarentena o rechazo
- Revisión
- Trimestral
Accesos
- Mínimo indispensable
- Gestor de contraseñas, 2FA, bajas inmediatas
- Revisión
- Mensual
Respaldos
- Mínimo indispensable
- 3-2-1 automático y restauración probada
- Revisión
- Mensual
Monitoreo
- Mínimo indispensable
- Disponibilidad, recursos y certificados
- Revisión
- Continuo
Respuesta
- Mínimo indispensable
- Plan por escrito con responsables
- Revisión
- Anual
Cómo lo resolvemos en QRETARIA
Administramos servidores, sitios, correo dedicado e infraestructura cloud para empresas en Querétaro, la CDMX y el Bajío. Hacemos el diagnóstico de seguridad, corregimos lo urgente, dejamos respaldos y monitoreo funcionando y te entregamos un reporte claro de qué se hizo y qué sigue. Todo por videollamada y WhatsApp.
Preguntas frecuentes
¿Qué es la seguridad informática para empresas?
Es el conjunto de prácticas y herramientas que protegen los servidores, sitios web, correo, accesos y datos de una empresa: actualizaciones, contraseñas y doble factor, respaldos, monitoreo y un plan de respuesta ante incidentes.
¿Por qué atacarían a una pyme?
Porque la mayoría de los ataques son automatizados y buscan software vulnerable o contraseñas débiles en cualquier sitio de internet, sin importar el tamaño de la empresa.
¿Cada cuánto debo respaldar mi sitio web?
Al menos a diario, y con mayor frecuencia si recibe ventas o registros. Los respaldos deben guardarse fuera del servidor y probarse restaurándolos.
¿Qué son SPF, DKIM y DMARC?
Son registros DNS que autentican el correo de tu dominio: SPF indica qué servidores pueden enviar, DKIM firma los mensajes y DMARC define qué hacer con los correos que fallan. Juntos evitan que suplanten a tu empresa.
¿Un antivirus es suficiente?
No. Protege equipos, pero no actualiza tu servidor, no configura tu correo ni respalda tu información. La seguridad requiere varias capas.
¿Qué hago si mi sitio ya fue hackeado?
Aísla el sitio, rota todas las credenciales, restaura desde un respaldo limpio, aplica las actualizaciones pendientes y revisa cómo entraron para cerrar esa puerta.
Gabriel Medina Meneses
Ingeniería digital y marketing de rendimiento
Sigue leyendo
Performance
Tendencias SEM para 2027: la IA ya decide dónde aparece tu anuncio. Así se gana con ella
Agencias
Cómo vender desarrollo web sin tener programadores: guía de marca blanca para agencias
Seguridad