No hace falta leer código para proteger una web. Casi todos los incidentes reales son aburridos: una contraseña repetida de otro servicio, una cuenta de administración sin segundo paso, una clave secreta pegada donde cualquiera la ve o un formulario que se fía de todo lo que recibe.
Esta lista está escrita para propietarios, no para ingenieros. Nada de esto hace una web invulnerable, pero cada punto cierra una puerta habitual. Compártela con quien construya o mantenga tu sitio, también con Uttra si lo creas allí conversando.
La mayoría de las webs hackeadas caen por contraseñas débiles o reutilizadas, software desactualizado y claves filtradas, no por ataques de película. Arregla esas cuatro cosas y irás por delante de la mayoría.
Las cuentas: tu eslabón más débil
Tu cuenta de alojamiento, la del registrador del dominio, tu correo y GitHub valen más para un atacante que tu página de inicio. Quien las controle, controla tu web.
- Usa un gestor de contraseñas y una contraseña larga y única para cada cuenta.
- Activa la verificación en dos pasos allí donde exista, sobre todo en el correo y en el registrador del dominio.
- No compartas un único acceso entre varias personas; da a cada una el suyo y retíralo cuando se vaya.
- Asegura la recuperación: mantén al día tu correo y tu teléfono de recuperación.
Claves secretas y lo que nunca va en la página
Las claves de API de pagos, correo o servicios de IA son como contraseñas de máquinas. Si una se pega en el código visible de la página, cualquiera puede abrir las herramientas del navegador y copiarla.
Guarda los secretos en el servidor o en los ajustes de secretos de la plataforma, nunca en capturas de pantalla, mensajes enviados a otras personas ni repositorios públicos de GitHub. Si una clave se ha filtrado alguna vez, no lo disimules: revócala en el proveedor y crea otra.
Formularios, accesos y datos de usuarios
Cada formulario es una puerta. Pide a quien construye tu web que compruebe que el servidor valida lo que recibe, limita los intentos repetidos y nunca muestra errores internos a los visitantes.
- Recoge solo los datos que de verdad necesitas; lo que no guardas no se puede filtrar.
- No guardes contraseñas en texto plano; usa un método de acceso contrastado.
- Comprueba que el sitio funcione solo con HTTPS y sin contenido mixto inseguro.
- No gestiones tú los números de tarjeta; usa el pago alojado de un proveedor.
Actualizaciones y código de terceros
Las bibliotecas antiguas tienen fallos conocidos que los atacantes buscan de forma automática. Elimina los complementos, scripts y widgets que ya no uses y actualiza el resto con un calendario, por ejemplo cada mes. Carga scripts de terceros solo de fuentes de confianza.
Si tratas datos personales de clientes en España o la UE, el RGPD exige además medidas de seguridad adecuadas y avisar a la autoridad de protección de datos y a los afectados cuando se produzca una brecha relevante. Es información general, no asesoramiento jurídico.
Pide una revisión de seguridad por chat
Cuando creas con Uttra puedes solicitar una revisión con palabras sencillas. Un prompt que puedes copiar:
«Revisa mi web en cuanto a seguridad básica: comprueba que los formularios validan los datos y limitan los envíos repetidos, que no aparece ninguna clave secreta en el código visible, que todo se sirve por HTTPS, y dime qué debo hacer yo a mano, como activar la verificación en dos pasos.»
Toma la respuesta como una lista que confirmar, no como una garantía. Y guarda también una copia de seguridad, porque la prevención nunca llega al 100 por ciento.