Guías de seguridad web, paso a paso.
Última actualización:
Las guías salen de los casos que veo al revisar y limpiar webs. Cada una empieza por lo que puedes comprobar tú en unos minutos, sigue con lo que haría yo en tu lugar y termina diciendo cuándo merece la pena pedir ayuda y a quién. Están agrupadas en cinco temas: las dos plataformas con las que más trabajo, las tiendas online, los avisos que te hacen sospechar de un hackeo y la configuración que evita llegar a ese punto. Si no sabes por dónde empezar, el análisis de seguridad gratis te dice en unos minutos qué tema te toca.
WordPress
La mayoría de las webs que me llegan hackeadas son WordPress, y casi siempre por lo mismo: un plugin sin actualizar o abandonado. Aquí están las señales para saber si tu WordPress está hackeado, qué hace de verdad un plugin de seguridad, cómo encontrar los plugins con fallos publicados aunque el panel no avise, cómo frenar los ataques de fuerza bruta y xmlrpc.php, cómo montar copias de seguridad que sirvan y qué hacer con el spam japonés. El servicio, en seguridad WordPress.
PrestaShop
En PrestaShop la entrada suele ser un módulo de terceros con un fallo publicado, y lo que más daño hace es lo que no se ve: un override modificado o un script en el pago. Explico qué hacer si tu PrestaShop está hackeado, cómo comprobar tus módulos vulnerables, qué hacer con el fallo crítico de ps_facetedsearch, el módulo de filtros que traen casi todas las tiendas, y cómo actualizar PrestaShop sin romper el carrito. El servicio, en seguridad PrestaShop.
Tiendas online y pagos
Una tienda tiene dos problemas que una web corporativa no tiene: el checkout y los datos de clientes. Las guías de robo de tarjetas, pedidos falsos en WooCommerce y brechas de datos y RGPD cuentan cómo se detectan, qué hacer en las primeras horas y qué notificar. Si tu tienda está en Shopify, lo que depende de ti está en seguridad en Shopify.
Avisos de Google y del navegador
Muchas veces el hackeo se descubre por un aviso: la pantalla roja de Chrome, el «puede haber sido pirateado» de Google, el «No es seguro» de la barra de direcciones o un dominio en una lista negra. Cada uno significa algo distinto. Empieza por Google dice que mi sitio es peligroso, web no segura en Chrome, dominio en lista negra y mi web redirige a otra página. Si ya sabes que te han entrado, el orden de trabajo está en recuperar una web hackeada.
Configuración, mantenimiento e IA
Lo que evita los sustos: que no haya archivos expuestos (copias, .env, .git o registros que cualquiera puede descargar), las cabeceras de seguridad HTTP, saber cuánto cuesta un mantenimiento web y qué debería incluir, configurar SPF, DKIM y DMARC para que tus correos no acaben en spam ni te suplanten, y decidir qué hacen los asistentes de IA con tu contenido, con llms.txt y robots.txt. Y cuando sale un aviso de seguridad grave, como PHP2Shell, la vulnerabilidad de PHP de octubre de 2026, cómo saber si te afecta y qué actualizar.
Si te han hackeado
- 01Web hackeadaCómo recuperar una web hackeada, paso a pasoQué hacer si te han hackeado la página web: la primera hora, qué guardar antes de limpiar, contraseñas, copias, la revisión de Google y cuándo pedir ayuda.
- 02SíntomasMi web redirige a otra página: qué está pasandoPor qué tu web manda visitas a páginas de spam o apuestas y tú no lo ves, cómo reproducirlo con curl y dónde buscar: .htaccess, base de datos y JavaScript.
- 03DiagnósticoCómo saber si tu web está hackeada o tiene virusCómo saber si tu web está hackeada o tiene malware, sea cual sea el CMS: señales para el visitante, en Google y en el correo, y comprobaciones gratis.
- 04ResponsabilidadesMe han hackeado la web: ¿es responsable el hosting, la agencia o yo?Quién responde si hackean tu web o tu tienda: el dueño, el hosting o la agencia. Qué dice el RGPD, qué mirar en el contrato y qué pedir a cada uno.
Avisos de Google y del navegador
- 05GoogleQuitar el aviso «sitio peligroso» de Google, paso a paso«Este sitio puede haber sido pirateado», «Sitio engañoso» o «sitio peligroso»: qué significa cada aviso y cómo quitarlo desde Search Console, paso a paso.
- 06Listas negrasMi dominio está en una lista negra: cómo salirCómo saber si tu dominio está en una lista negra (Google Safe Browsing, Spamhaus y otras), por qué pasa, cómo pedir la retirada y cómo proteger tu correo.
- 07HTTPSMi página web dice «No es seguro»: causas y soluciónPor qué Chrome dice que tu web no es segura (sin HTTPS, certificado caducado, contenido mixto) y cómo comprobarlo y arreglarlo en WordPress y PrestaShop.
WordPress
- 08WordPressCómo saber si tu WordPress está hackeadoDiez señales de que tu WordPress está hackeado, por qué el dueño casi nunca las ve y cómo comprobar cada una, con los comandos de WP-CLI para quien los use.
- 09WordPressWordfence, Sucuri o Solid Security: cuál elegir (y cuándo no basta)Wordfence, Sucuri, Solid Security (Kadence Security), MalCare o Jetpack: qué hace cada plugin gratis y de pago, cuál elegir y lo que ninguno hace por ti.
- 10WordPressPlugins de WordPress vulnerables: cómo saber si los tuyos tienen fallosCómo saber si los plugins y temas de tu WordPress tienen fallos publicados, por qué una web «actualizada» se hackea igual y qué hacer con un plugin sin parche.
- 11WordPressAtaques de fuerza bruta en WordPress: wp-login.php, xmlrpc.php y cómo frenarlosQué son los ataques de fuerza bruta contra wp-login.php y xmlrpc.php, cómo verlos en los registros, cuándo bloquear XML-RPC y cómo proteger los accesos con 2FA.
- 12WordPressCopia de seguridad de WordPress: cómo hacerla y restaurarlaCómo hacer una copia de seguridad de WordPress con plugin, desde el hosting o con WP-CLI, dónde guardarla, cómo restaurarla y qué hacer si está infectada.
- 13WordPressSpam japonés en WordPress: cómo eliminarlo de GoogleCómo detectar el spam japonés en WordPress, limpiarlo de la web y de Google con Search Console (retiradas, sitemap, revisión) y evitar que vuelva.
PrestaShop
- 14PrestaShopActualizar PrestaShop (1.7 → 8 → 9) sin romper la tiendaCómo actualizar PrestaShop de 1.7 a 8 y de 8 a 9: PHP de cada versión, módulos y overrides, Update Assistant o manual, staging y plan de vuelta atrás.
- 15PrestaShopMódulos de PrestaShop con vulnerabilidades conocidasMódulos de PrestaShop con fallos de seguridad publicados: CVE, versiones afectadas y corregidas, avisos del núcleo y cómo comprobar tu tienda paso a paso.
- 16PrestaShop 1.7¿Es seguro seguir con PrestaShop 1.7 en 2026?PrestaShop 1.7 en 2026: desde cuándo no tiene parches, qué fallos publicados le afectan, el problema de PHP 7.4 y qué hacer si tu tienda sigue en 1.7.
- 17Aviso de seguridad de PrestaShopps_facetedsearch (CVE-2026-54159): cómo saber si tu PrestaShop está afectadoCVE-2026-54159 en ps_facetedsearch, los filtros de PrestaShop: versiones afectadas, cómo ver la tuya, a cuál actualizar y qué hacer si sigues en 1.7.
- 18PrestaShopQué hacer si hackean tu PrestaShop: la primera horaQué hacer si hackean tu PrestaShop: cortar el skimmer, comandos para encontrar archivos modificados, revisar ps_configuration y hooks, CVE reales y RGPD.
Tiendas online y pagos
- 19TiendasSkimmers: cómo detectar si roban las tarjetas en tu tiendaCómo funcionan los skimmers que roban tarjetas en PrestaShop y WooCommerce, dónde se esconden, por qué el administrador no los ve y qué hacer si sospechas.
- 20ShopifySeguridad en Shopify: lo que Shopify no protege por tiSeguridad de una tienda Shopify: cuentas del personal y 2FA, apps y sus permisos, código del tema, scripts de terceros y píxeles. Qué revisar y cómo.
- 21RGPDBrecha de datos en tu tienda online: qué hacer en 72 horasBrecha de datos en tu tienda online: cuándo notificar a la AEPD (arts. 33 y 34 RGPD), Asesora Brecha, qué decir a tus clientes y qué parte técnica necesitas.
- 22WooCommercePedidos falsos en WooCommerce: cómo frenar el card testingCómo reconocer el card testing en WooCommerce, qué riesgo tiene con Stripe o Redsys y cómo frenarlo: límite de peticiones, captcha y ajustes de pago.
Configuración, mantenimiento e IA
- 23PreciosCuánto cuesta el mantenimiento de una página web en 2026Cuánto cuesta el mantenimiento de una página web en 2026: rangos en España y en dólares, qué sube la cuota y qué revisar antes de firmar.
- 24Aviso de seguridad de PHPPHP2Shell (CVE-2026-109618 y CVE-2026-109619): qué es y cómo saber si tu web está afectadaPHP2Shell (CVE-2026-109618 y CVE-2026-109619): versiones afectadas, cómo comprobar la tuya y qué hacer si no puedes actualizar PHP en una web antigua.
- 25ConfiguraciónArchivos expuestos en tu web: .env, .git, copias de seguridad y logsQué archivos de tu web puede descargar cualquiera (.env, .git, copias .sql, debug.log o var/logs de PrestaShop), cómo comprobarlo y cómo bloquearlos.
- 26Correo del dominioSPF, DKIM y DMARC: cómo configurarlos paso a pasoQué son SPF, DKIM y DMARC, cómo comprobar los tuyos, cómo configurarlos paso a paso y cómo pasar de p=none a p=reject sin perder correos legítimos.
- 27ConfiguraciónCabeceras de seguridad HTTP: qué son y cómo verificarlasQué hacen HSTS, CSP, X-Frame-Options, nosniff, Referrer-Policy y Permissions-Policy, cómo añadirlas en Apache, Nginx, WordPress y PrestaShop y cómo verlas.
- 28Agentes de IAllms.txt: qué es, para qué sirve y cómo comprobar el tuyoQué es llms.txt, en qué se diferencia de robots.txt, cómo crearlo en WordPress, PrestaShop o Shopify y qué bots de IA conviene bloquear o dejar pasar.
¿Está intacta tu web? Compruébalo ahora.
Análisis externo gratuito. Sin registro y sin instalar nada.
Recibir el resultado en PDF y avisos 30 días (opcional)
Protección de datos. Responsable: Jose Soriano Castro. Finalidad: enviarte el PDF del diagnóstico, avisarte por email durante 30 días si se publica un fallo de seguridad que afecte a tu web (con un análisis de repaso el día 30) y responder por escrito a tu consulta; las ofertas, solo si marcas esa casilla. Legitimación: tu consentimiento. Destinatarios: nadie, salvo obligación legal. Puedes darte de baja cuando quieras con el enlace de cada correo o escribiéndome. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad. Política de privacidad.
- Sin acceso FTP
- Solo lectura
- Sin datos de clientes