ChatBuildQué responsabilidades de seguridad conserva el propietario de una web
Aclara qué gestiona el proveedor, qué decide la empresa y qué deben hacer los usuarios.
Entiende las tres responsabilidades
La seguridad de una web es compartida, pero no debe ser indefinida. El propietario decide qué debe proteger la web, qué riesgos importan al negocio y qué presupuesto o nivel de servicio es aceptable. El proveedor opera una plataforma, hosting o herramienta y protege lo que controla. Los usuarios usan los accesos de forma segura y avisan de problemas.
Escribe el reparto en lenguaje sencillo. Un proveedor puede proteger el servidor mientras el propietario sigue teniendo que actualizar plugins, eliminar cuentas antiguas, aprobar integraciones y decidir cuánto tiempo se conservan los datos de clientes. Si nadie tiene asignada una tarea, da por hecho que puede olvidarse en un periodo de mucho trabajo o tras un cambio de personal.
Usa una tabla sencilla con propietario, proveedor y usuario. Anota sistema, acción, frecuencia y prueba. Así las promesas vagas son más fáciles de comprobar y de traspasar.
Lo que debe decidir el propietario
El propietario elige proveedores fiables, entiende sus condiciones y mantiene las cuentas importantes bajo control de la empresa. Debe conocer cuentas de dominio, hosting, correo, web, Analytics y servicios externos. También decide quién tiene acceso y qué sucede cuando se marcha una persona o un proveedor.
Debe fijar prioridades para copias, actualizaciones, supervisión, privacidad y recuperación. No tiene que ejecutar cada tarea, pero sí comprobar que se hace. Un informe mensual, un registro de mantenimiento o una breve reunión de revisión pueden sacar a la luz software caducado, copias fallidas y cuentas de administrador olvidadas.
La responsabilidad necesita continuidad. Guarda la recuperación en un lugar controlado por la empresa y permite que varias personas responsables accedan. Una tarea de seguridad que depende de un único buzón privado no es resistente.
Lo que debe gestionar el proveedor
La responsabilidad depende del servicio. Un proveedor de hosting puede gestionar parches, red, disponibilidad y copias de infraestructura. Una agencia web puede gestionar actualizaciones, código, supervisión y cambios de contenido si esas tareas están incluidas. Un proveedor SaaS puede proteger su aplicación, mientras el cliente sigue siendo responsable de las cuentas, los ajustes y los datos que introduce en ella.
Lee las condiciones y pregunta qué se guarda, cada cuánto y durante cuánto tiempo. Pregunta quién actualiza, cómo avisa de fallos, quién accede a producción y qué ocurre al cancelar. Que un proveedor afirme que su servicio es seguro no cubre automáticamente el código a medida, las contraseñas débiles ni los ajustes inseguros que controla el propietario.
Pide pruebas en lugar de aceptar una afirmación general de que la plataforma es segura. Un registro de mantenimiento, un historial de actualizaciones o un proceso de incidentes muestra qué hace realmente el proveedor y dónde sigue teniendo que actuar el propietario.
Lo que deben hacer los usuarios
Los usuarios protegen las cuentas que usan. Deben usar contraseñas únicas, un gestor de contraseñas y autenticación multifactor cuando esté disponible. No deben compartir cuentas, solo deben aprobar los avisos de inicio de sesión que esperan y deben verificar las peticiones inusuales por un canal conocido. Debe existir una forma sencilla de informar de mensajes sospechosos, dispositivos perdidos y revelaciones accidentales de información.
Los permisos deben coincidir con el trabajo. Quien edita contenido quizá no necesita permisos de administrador, pagos o base de datos. Revisa los permisos cuando cambien las responsabilidades y retíralos sin demora cuando alguien se marche. La seguridad es más fácil cuando el trabajo normal deja clara la acción segura en lugar de depender de la memoria.
Da límites claros a los usuarios sobre cambios. Una aprobación breve para integraciones y permisos evita que cambios bienintencionados creen accesos que nadie revisa.
Protege datos e integraciones
Haz una lista de los datos que recoge la web y adónde van. Los formularios pueden enviar nombres, teléfonos y mensajes a correo, CRM, reservas o una hoja. Pagos, Analytics, chat y marketing crean más cuentas y recorridos. El propietario debe saber para qué existe cada integración y si sigue siendo necesaria.
Limita datos, revisa ajustes y mantén la información de privacidad actualizada. La seguridad del proveedor no elimina la responsabilidad sobre uso legal, acceso y conservación. Elimina integraciones que no se usan y cambia las claves cuando cambien personas o proveedores. Un sistema más pequeño y documentado es más fácil de proteger que un conjunto de conexiones olvidadas.
Une privacidad y seguridad. Recoger menos datos reduce el impacto de un incidente, y unos avisos y plazos de conservación correctos ayudan al equipo a responder de forma coherente cuando un cliente pregunta por sus datos.
Revisa y responde como negocio
La seguridad no termina al instalar un certificado. Revisa cuentas, software, copias, registros, dominios, integraciones y recuperación con un calendario. Anota qué se revisó, qué cambió y quién actúa después. Prueba recuperación y contactos antes de una caída.
Cuando ocurra algo, conserva pruebas, limita accesos y contacta con el proveedor. Di a las personas afectadas qué deben hacer sin hacer afirmaciones que no puedas respaldar. Después mejora el proceso en lugar de cambiar solo una contraseña. Una responsabilidad clara convierte la seguridad de una suposición en un hábito práctico de trabajo.
Practica la primera hora de un incidente: quién llama al proveedor, quién bloquea el acceso, quién revisa las copias y quién comunica. La preparación reduce el pánico y evita que varias personas hagan cambios contradictorios.
Fuentes
Preguntas frecuentes
- ¿El proveedor de la web es responsable de toda la seguridad?
- No. El proveedor protege las partes del servicio que controla. El propietario sigue siendo responsable de las cuentas, los ajustes, el contenido, los datos, las integraciones y las decisiones de su propio flujo de trabajo.
- ¿Un certificado SSL hace segura una web?
- No. Cifra conexiones, pero no protege frente a contraseñas débiles, software desactualizado, permisos inseguros o integraciones comprometidas.
- ¿Qué debe revisar primero el propietario?
- Empieza por propiedad y acceso: cuentas, administradores, proveedores, integraciones y recuperación. Después revisa actualizaciones, copias, tratamiento de datos y contactos para incidentes.
Sjors Hooijen Builds ChatBuild and writes about getting a business online without turning it into a project. ¿Dudas sobre este artículo? Escribe a hi@chatbuild.com.