Qué es una vulnerabilidad y por qué tu web necesita mantenimiento

Una web no es un folleto impreso que se diseña una vez y se olvida. Es software: un conjunto de piezas (el servidor, el lenguaje en que está programada, el gestor de contenidos, los plugins, las librerías) que alguien escribió y que, como todo lo que escriben las personas, tiene errores. La mayoría son inofensivos. Algunos no.

A esos errores que permiten a un tercero hacer algo que el sistema no debería permitir se les llama vulnerabilidades. Entender qué son, y por qué aparecen incluso en webs que nadie ha tocado en años, es la mejor forma de entender por qué el mantenimiento no es un gasto opcional.

¿Qué es exactamente una vulnerabilidad?

Piensa en una cerradura con un defecto de fábrica: con una llave cualquiera, girada de cierta manera, se abre. Nadie ha entrado aún en tu casa, pero el defecto está ahí, y está igual en todas las cerraduras de ese modelo. En cuanto el fabricante lo reconoce y lo publica, cualquiera sabe qué puertas probar.

Con el software pasa lo mismo. Una vulnerabilidad es un fallo en el código que permite, por ejemplo, entrar al panel de administración sin contraseña, leer datos que deberían ser privados o ejecutar instrucciones en el servidor. No hace falta que el fallo esté en el código que se hizo para tu empresa: lo habitual es que esté en un componente compartido por miles de sitios.

¿Por qué tu web está expuesta aunque nadie la conozca?

Porque los ataques ya no los hace una persona eligiendo víctimas. Los hacen programas automáticos que recorren internet día y noche probando los mismos fallos conocidos en todas las direcciones que encuentran. No buscan tu empresa, buscan la versión vulnerable de un componente, y les da igual si detrás hay un banco o una tienda de barrio.

Por eso «somos pequeños, no le interesamos a nadie» no protege. Para un programa automático, una web pequeña desactualizada es exactamente igual de atractiva que una grande: es una puerta más que se abre.

¿Qué pasa el día que se publica un fallo?

Cuando alguien descubre una vulnerabilidad, lo normal es que avise en privado a quien mantiene el software. Este prepara una corrección, publica una versión nueva y, a la vez, anuncia el fallo con un identificador único llamado CVE (por ejemplo, CVE-2026-12345) y una puntuación de gravedad de 0 a 10. Por encima de 9 se considera crítica.

Ese anuncio es necesario, porque así todo el mundo sabe que debe actualizar. Pero también pone en marcha un reloj: quien quiere aprovechar el fallo compara la versión vieja con la nueva, entiende qué se corrigió y prepara un ataque. A veces pasan semanas; en los casos graves, horas o pocos días.

El riesgo real está en ese intervalo. La corrección ya existe, pero tu web todavía no la tiene. Cuanto más tarda en aplicarse, más tiempo queda la puerta abierta con un cartel encima.

¿Qué puede hacer alguien con una vulnerabilidad?

Depende del fallo, pero las consecuencias más habituales en una web corporativa no son las de las películas. Son más discretas y, por eso, más dañinas:

• Páginas de spam escondidas en tu dominio, que Google acaba detectando y que hunden tu posicionamiento durante meses.
• Redirecciones a sitios fraudulentos que solo ven algunos visitantes, por ejemplo los que llegan desde el móvil.
• El aviso de «sitio peligroso» en el navegador, que espanta a cualquier cliente antes de que vea tu portada.
• Robo de datos de los formularios: nombres, correos, teléfonos de quien te escribió confiando en ti, con las obligaciones legales que eso implica.
• Tu servidor enviando correo basura, hasta que los proveedores de correo bloquean tu dominio y tus propios mensajes dejan de llegar.
• La web caída, o secuestrada a cambio de un rescate.

Varias de estas cosas pasan sin que nadie lo note durante semanas. La web sigue abriéndose con normalidad para su dueño.

¿Por qué el software envejece aunque no lo toques?

Este es el punto que más sorprende. Una web que funcionaba perfectamente en 2020 y que nadie ha modificado sigue funcionando hoy, así que parece que está bien. Pero el mundo a su alrededor ha cambiado: desde entonces se han descubierto fallos en casi todas las piezas que usa.

Además, cada versión de un lenguaje o de un gestor de contenidos tiene una fecha de fin de soporte. A partir de ese día, quien la mantiene deja de publicar correcciones. La web sigue funcionando, pero cada fallo nuevo que se descubra en esa versión se queda abierto para siempre. «Funciona» y «es seguro» son dos cosas distintas.

¿Qué significa mantener una web?

Mantener no es solo pulsar «actualizar» cuando aparece el aviso. Un mantenimiento serio incluye:

1. Saber qué tienes. Un inventario de los componentes y sus versiones: servidor, lenguaje, gestor de contenidos, plugins, librerías. Sin eso no hay forma de saber si un anuncio te afecta.
2. Vigilar los avisos. Alguien que lea los anuncios de seguridad de esos componentes y decida cuáles son urgentes.
3. Actualizar con método. Probar la actualización en una copia antes de aplicarla en producción, para que el arreglo no rompa otra cosa.
4. Copias de seguridad que se restauran. No basta con hacerlas: hay que comprobar de vez en cuando que se pueden recuperar.
5. Monitoreo. Saber que la web se cayó, o que algo cambió, antes de que te lo diga un cliente.
6. Reducir lo expuesto. Quitar plugins que no se usan, cerrar accesos que nadie necesita y no anunciar a todo el mundo qué versión de cada cosa usas. Las cabeceras de seguridad HTTP son parte de esa capa.
7. Planificar las migraciones. Cuando una versión se acerca al fin de soporte, pasar a la siguiente con calma y no el día que aparece un fallo crítico.

¿Cómo saber en qué punto está la tuya?

Un buen primer paso es mirar tu web como la mira un atacante. Nuestro detector de tecnología muestra qué gestor de contenidos, servidor y librerías se pueden identificar desde fuera, a veces con número de versión incluido. Si tú lo ves, los programas automáticos también.

Con el comprobador de cabeceras de seguridad puedes revisar qué protecciones básicas tiene activadas el servidor, y con el comprobador de sitio seguro confirmar que Google no tiene tu dominio marcado como peligroso.

Ninguna de estas pruebas sustituye a una revisión completa, pero dan una idea rápida de si conviene preocuparse.

---

La seguridad de una web no se resuelve una vez: se mantiene. Si no tienes claro quién está pendiente de la tuya, en nuestro servicio de soporte y evolución continua nos encargamos del inventario, los parches, las copias y el monitoreo, con un registro de cada cosa aplicada. Y si tu sitio corre sobre versiones que ya no reciben correcciones, la modernización de plataformas heredadas es el camino para dejar de depender de la suerte.