Actualizar tu sitio es la tarea más aburrida de la lista. También es la que lo protege.

Hay una frase que sale casi siempre que el tema aparece en una junta, y casi siempre se dice con una sonrisa:

"¿Y quién va a querer hackearme a mí?"

Es una pregunta razonable. Y tiene una respuesta que casi nadie se espera, porque no habla de tu negocio: habla de una puerta.

Nadie fue a buscarte

Este es el malentendido que hay que deshacer primero, porque de él cuelga todo lo demás.

Cuando hackean el sitio de un negocio mediano, la historia casi nunca empieza con alguien decidiendo entrar ahí. Empieza con alguien buscando en internet todos los sitios que tengan una falla determinada, y el tuyo aparece en esa lista junto con otros miles. No hubo una decisión sobre tu empresa. Hubo una búsqueda, y tu sitio cumplía el requisito.

Por eso la pregunta que sí sirve no es quién querría entrar. Es qué requisito estoy cumpliendo sin saberlo.

Y ese requisito casi siempre es el mismo: algo que no se ha actualizado

Aquí está el corazón de este artículo, y es menos dramático de lo que la gente imagina.

Tu sitio no es una foto. Es un edificio que corre sobre piezas hechas por otros: el sistema que lo administra, los complementos que le agregaron para el formulario, la tienda, el chat, las estadísticas, la plantilla de diseño.

Cuando a una de esas piezas le encuentran una falla, pasan tres cosas, en este orden:

1. Quien la hizo publica una versión corregida.

2. La falla se publica también, con su descripción y su número.

3. Desde ese momento, cualquiera puede buscar qué sitios siguen usando la versión vieja.

Léelo otra vez, porque es contraintuitivo: la falla se hace pública para que la puedas arreglar. Ese es el sistema funcionando bien. Pero la misma publicación le dice a todo el mundo exactamente dónde tocar, y quien no actualizó se queda del lado equivocado de ese aviso.

Y esto es lo que hay que subrayar: en la enorme mayoría de estos casos el arreglo ya existe, ya está hecho y es gratis. No hace falta comprar nada ni contratar a nadie. Alguien ya resolvió el problema y publicó la solución. Lo único que falta es instalarla.

Un sitio desactualizado no es un sitio pobre ni un sitio descuidado por falta de presupuesto. Es un sitio al que nadie le asignó esa tarea.

Qué significa "actualizado", en concreto

Cuando le preguntes a quien te lleva el sitio, esto es lo que tiene que cubrir la respuesta:

Las dos preguntas que puedes hacer sin ser técnica

¿Cuándo fue la última vez que se actualizó? Si la respuesta es "cuando lo hicimos", ya tienes el hallazgo.

¿Quién tiene esa tarea y cada cuándo la hace? No quién podría hacerla: quién la tiene asignada. Casi nunca falta gente que sepa actualizar. Falta que sea la tarea de alguien en particular.

Y si entran, ¿qué hacen? Casi nunca lo que te imaginas

Aquí es donde la mayoría de la gente se equivoca de película. No van a tumbarte el sitio ni a dejarte un mensaje en la pantalla. Eso llamaría la atención, y llamar la atención es justo lo que no quieren.

Las dos cosas que más se ven tienen la misma característica: están diseñadas para que tú no te enteres.

1. Tu sitio le enseña una cosa a Google y otra a ti

Se llama cloaking, y funciona así: el sitio revisa quién está pidiendo la página. Si es una persona, le muestra tu sitio de siempre. Si es el robot de Google, le muestra otra cosa: casinos, farmacias, apuestas, casi siempre en otro idioma.

Tú entras a tu sitio y todo está bien. Tu equipo entra y todo está bien. Mientras tanto, lo que Google tiene indexado de tu dominio se va llenando de páginas que tú nunca escribiste.

Lo que eso te cuesta no es el sitio: es tu nombre en el buscador. Cuando alguien te busca, lo que empieza a aparecer no es tuyo. Google puede terminar marcando tu dominio como peligroso, y el letrero rojo que sale antes de entrar a tu página se lo lleva puesto cualquiera que te busque, incluidos tus clientes y quien estaba a punto de serlo.

Y hay una variante que vale la pena conocer porque suena inverosímil y no lo es: algunos llegan a darse de alta ante Google como dueños de tu sitio, subiendo un archivo de verificación. Desde ahí ven el tráfico de tu dominio y pueden pedirle cosas a Google sobre tu propiedad.

Lo peor del cloaking es el tiempo. Como no se ve, suele descubrirse meses después, y para entonces lo que hay que limpiar ya no es el sitio: es lo que Google aprendió de él.

Y sí, esto me pasó a mí

Lo cuento porque es la razón por la que sé que el cloaking es de lo más común, y porque un artículo sobre mantener un sitio al día lo escribe con más autoridad alguien que ya pagó la factura de no hacerlo.

El 23 de julio de 2026, mi sitio personal —que corría en WordPress— empezó a servirle a Google una página de casino en turco, mientras cualquier persona que entraba veía mi sitio de siempre. Yo incluida.

El registro del servidor dejó ver la operación completa, y lo que impresiona es el reloj:

Cuarenta y ocho minutos, de principio a fin. Entraron con dos usuarios administradores falsos que llevaban tiempo ahí sin que nadie los notara.

Dos cosas que aprendí y que no venían en ningún manual:

No fue la primera vez. Ya había pasado antes, lo habían limpiado, y se reinfectó. Limpiar no es arreglar: si la puerta por donde entraron sigue abierta, vuelven.

Nunca supimos con certeza cuál pieza fue la puerta. Eso también es parte de la lección. Cuando un sitio lleva años acumulando complementos, la respuesta honesta después del incidente es "pudo ser cualquiera de estas", y esa frase es justo la que no quieres tener que decir.

Google no me aplicó ninguna sanción, y aun así el rastro tardó meses en limpiarse: las páginas falsas ya estaban indexadas y sacarlas fue un trabajo aparte, muy posterior a dejar el sitio limpio.

Por eso no lo parché: lo rehice, sin WordPress y sin complementos. Esa no es la decisión que le toca a todo el mundo, porque rehacer un sitio cuesta y no siempre se justifica. Pero la pregunta que me llevó ahí sí le toca a cualquiera: ¿de cuántas piezas depende mi sitio, y quién las mantiene?

2. La página donde cobras empieza a copiar tarjetas

A esta familia se le conoce como Magecart, o robo de datos de tarjeta en la propia página de pago.

Si vendes en línea, esa página casi nunca es solo tuya: carga piezas de terceros para medir, para chatear, para procesar el pago. Cuando alguien entra, le agrega una pieza más. Esa pieza copia lo que tu cliente escribe mientras lo escribe, antes de que se cifre y viaje a ningún lado.

Y lo decisivo: la compra se completa con normalidad. Tu cliente recibe su producto, tú recibes tu dinero, tu reporte de ventas se ve bien. No hay ninguna señal del lado del negocio.

¿Quién se entera primero? Los bancos, cuando les empiezan a caer cargos raros de gente que tiene una sola cosa en común: le compró a la misma tienda. Para cuando esa conversación llega hasta ti, lleva semanas o meses corriendo.

Aquí conviene ser honesta sobre lo que se puede saber desde afuera: nadie puede prometerte que va a detectar el código malicioso escondido en la página de pago. Lo que sí se puede saber, y es lo que de verdad sirve, es qué piezas se están cargando ahí y si esa lista cambió. Una pieza que ayer no estaba y hoy sí es la señal que importa, y es una pregunta que se puede contestar todos los meses.

Lo que las dos te enseñan

Que "mi sitio se ve bien" no es evidencia de nada. Las dos cosas que más caro salen están hechas para verse bien desde adentro. Por eso revisar tu sitio no es entrar a tu sitio: es mirarlo desde donde lo miran los demás.

Por qué esto se volvió urgente justo ahora

Durante años, encontrar sitios vulnerables uno por uno costaba tiempo y conocimiento, y ese esfuerzo se apuntaba a donde había mucho que ganar.

Eso cambió, y tiene fecha. El 10 de septiembre de 2026, Anthropic publicó su informe de amenazas, con casos reales de gente usando inteligencia artificial para atacar entre diciembre de 2025 y agosto de 2026. El hallazgo que importa aquí no es que la inteligencia artificial ayude a atacar: es quién hace el trabajo. En varias de las operaciones que documentan, los agentes de inteligencia artificial hicieron el reconocimiento, la explotación y el robo de información. Las personas seguían eligiendo a quién atacar; el trabajo técnico ya no era suyo.

En palabras del propio informe, la inteligencia artificial borró la distancia de mano de obra y de herramientas que separaba a un grupo patrocinado por un Estado de una persona trabajando sola.

Lo que eso significa no tiene que ver con el tamaño de tu empresa. Significa que buscar y tocar puertas dejó de costar esfuerzo, y cuando algo deja de costar esfuerzo se hace en todas partes, en vez de solo donde más se gana. El alcance de esa búsqueda creció. Tu sitio entró en el alcance sin que nada cambiara de tu lado.

Lo demás que conviene revisar

Que alguien pueda mandar correos con el nombre de tu empresa

Si tu dominio no está configurado para impedirlo, cualquiera puede mandar un correo que llegue con tu nombre a tus clientes. La versión que más caro sale: a tu cliente le llega una factura que parece tuya, con los datos bancarios cambiados. Tu cliente paga, el dinero no llega, y la conversación que sigue es contigo.

Se arregla con tres registros en el DNS de tu dominio, que se llaman SPF, DKIM y DMARC. Lo revisamos en nuestros propios dominios y encontramos que varios no lo tenían completo. Es un punto ciego, no un descuido.

Archivos tuyos que están a la vista

Un servidor mal configurado deja carpetas abiertas al público: se escribe la dirección y aparece el listado de todo lo que alguien subió alguna vez. Cotizaciones, contratos, listas, identificaciones que mandó un cliente. Nos pasó en uno de nuestros propios dominios, y lo encontramos revisándonos a nosotros mismos.

Contraseñas tuyas que ya están circulando

Cuando hackean a una empresa grande y se llevan sus usuarios, ahí van correos y contraseñas de gente que ni recordaba tener cuenta ahí. Si reutilizaste esa contraseña en el correo de tu empresa, quien la tenga no necesita entrar a ningún lado: ya tiene la llave. Una contraseña distinta donde hay dinero o datos de clientes, y segundo paso de verificación en el correo.

Y ahora lo que NO te toca

Esta parte importa tanto como la anterior, porque el miedo mal puesto también cuesta dinero.

No necesitas un área de ciberseguridad. Un negocio de veinte personas no necesita gente vigilando pantallas. Necesita que estas cosas tengan dueño y fecha.

No necesitas certificar a tu empresa en una norma internacional para empezar. Las normas son excelentes y tienen su momento: cuando un cliente te lo exige por contrato, cuando entras a una cadena de suministro que lo pide, cuando ya creciste a otro tamaño. Empezar por ahí es como contratar un auditor antes de tener contabilidad.

No necesitas invertir para dar el primer paso. Todo lo de este artículo se cierra con tiempo de alguien que ya está en tu nómina.

Por dónde empezar

Lo primero no es comprar nada. Es mirar tu sitio desde afuera, que es exactamente desde donde no lo has mirado nunca.

Para eso hicimos Ciber-Scan, y es gratis.

Revisa cuatro cosas sin pedirte permiso ni datos, porque son registros públicos de tu dominio: si alguien puede mandar correos haciéndose pasar por ti, si hay dominios parecidos al tuyo con correo activo, qué dice Google de la seguridad de tu sitio, y cuándo vencen tu certificado y tu dominio.

Si además compruebas que el dominio es tuyo, revisa siete cosas más, y ahí entra justo lo de este artículo: versiones desactualizadas de lo que tienes instalado, contenido oculto —el cloaking—, cambios en la página de cobro, archivos y carpetas expuestas, si tu correo aparece en filtraciones conocidas, el cifrado de tu sitio, e información del servidor que no debería estar a la vista.

Tarda unos dos minutos. No te pide contraseñas y no hay nada que instalar.

Ver qué se ve de mi negocio

Y si sale limpio, también sirve. Saber que estás al día es información, no es un resultado desperdiciado.

Mantener tu sitio actualizado es de las tareas menos emocionantes que existen. Nadie te va a felicitar por hacerla y no se nota cuando está hecha. Pero es la que decide si tu sitio aparece o no en la lista de esta semana, y casi siempre se trata de instalar algo que alguien más ya arregló por ti.