La seguridad web rara vez entra en la conversación cuando un despacho contrata su sitio: se discute el diseño, los textos y el precio, y ahí se cierra el tema. Pero un WordPress sin actualizar es hoy la vía de entrada más habitual para acceder a los datos de los clientes, no un correo fraudulento elaborado. Este artículo repasa qué revisar, con qué frecuencia, y qué exige la normativa española cuando, a pesar de todo, algo falla.
La seguridad web de un despacho consiste en mantener actualizados el gestor de contenidos y sus plugins, hacer copias de seguridad automáticas y cifrar los formularios que recogen datos de clientes. En 2025, el 91% de las vulnerabilidades detectadas en WordPress estaban en plugins, no en el núcleo del gestor.
Alcance real de la seguridad web en un despacho
Un despacho no necesita un departamento de sistemas para tener una web segura, pero sí necesita que alguien —el propio gestor de contenidos, la agencia que la mantiene o quien lleva el marketing— revise tres frentes con regularidad: el software que la hace funcionar, las copias de lo que hay publicado y el cifrado de los datos que entran por el formulario de contacto.
La mayoría de los despachos que sufren un incidente no han sido objetivo de un ataque dirigido. WordPress mueve una parte muy amplia de las webs profesionales en España, y quien busca vulnerabilidades no elige un despacho por su nombre: rastrea de forma automática miles de dominios en busca de un plugin sin parchear. El despacho entra en esa lista por descuido, no por ser un objetivo elegido.
La consecuencia no es solo perder el sitio unas horas. Un despacho gestiona expedientes, datos fiscales y comunicaciones protegidas por el secreto profesional: lo que hay detrás del formulario de contacto o del área de clientes vale mucho más que la propia web.
Actualizar WordPress, plugins y plantillas
El núcleo de WordPress rara vez es el problema: en 2025 solo 20 de las más de 11.000 vulnerabilidades registradas en el ecosistema aparecieron en el propio gestor, según Patchstack. El resto se repartió entre plugins (91%) y plantillas (9%). La superficie de riesgo real de un despacho está en las piezas de terceros que ha instalado con el tiempo: el formulario de contacto, el generador de tablas, el plugin de caché, el que conecta con el CRM.
Revisar eso no es tarea de una vez al año. Además de abrir una puerta a un ataque, un plugin mal mantenido suele ser el mismo que dispara los tiempos de carga: la velocidad de carga decide cuántos leads pierde tu despacho, así que revisar plugins cumple una función doble. Conviene además desinstalar —no solo desactivar— los que ya no se usan y mantener PHP y el propio WordPress en una versión con soporte.
Plugins que ponen en riesgo la web
Dos preguntas conviene hacerse sobre cada plugin: cuántas vulnerabilidades ha tenido y qué pasa si su desarrollador lo abandona.
Plugins con más vulnerabilidades detectadas en 2025
Patchstack identificó más de 10.200 vulnerabilidades en plugins de WordPress durante 2025, con 883 clasificadas como críticas. Entre los afectados hubo piezas muy extendidas: cachés, herramientas de seguridad y calendarios de eventos, no plugins exóticos de nicho.
El dato que más debería preocupar es otro: el 57% de las vulnerabilidades publicadas en 2025 seguía sin parche meses después. Si un plugin lleva tiempo sin actualizarse y gestiona datos —formularios, citas, pagos—, sustituirlo es más seguro que confiar en que se corrija.
Una vulnerabilidad crítica es un fallo con puntuación CVSS de 9 o más sobre 10: un atacante puede aprovecharlo sin contraseña ni interacción del usuario, y por eso se corrige antes que cualquier otro.
Qué hacer cuando un plugin deja de tener soporte
Un plugin sin actualizaciones desde hace más de un año no avisa de que ha dejado de mantenerse: sigue activo en el panel hasta que un escáner o una auditoría lo señalan. La comprobación es manual: entrar en su ficha del repositorio oficial y mirar la fecha de la última versión.
Si gestiona datos de clientes —formulario, reserva de cita, chat— y lleva un año sin tocarse, lo razonable es sustituirlo por una alternativa mantenida. Migrar un formulario cuesta una tarde; recuperarse de una filtración cuesta mucho más, y no solo en dinero.
Copias de seguridad antes de cualquier cambio
Una copia de seguridad no evita un ataque, pero decide si sus consecuencias duran una hora o una semana. INCIBE recomienda automatizar la copia con una periodicidad fija, guardarla fuera del propio servidor —si el servidor se ve comprometido, una copia alojada en él se compromete también— y probar la restauración de vez en cuando: una copia que nunca se ha restaurado es una copia de la que no se sabe si funciona.
Para un despacho, la pauta práctica es sencilla:
- Copia diaria de la base de datos, donde viven las entradas y los formularios recibidos.
- Copia semanal completa de archivos, incluidas imágenes y plugins instalados.
- Copia puntual antes de instalar o actualizar cualquier plugin, que es el momento en el que más incompatibilidades aparecen.
Deshacer un cambio sin una copia reciente implica reconstruir a mano lo que se ha roto, con el sitio caído mientras tanto.
Cifrado del formulario que recibe datos de clientes
El formulario de contacto es la pieza de la web que más datos personales recoge sin que el cliente lo piense dos veces: nombre, teléfono, y a menudo un resumen del caso. Que viaje cifrado con HTTPS es un mínimo, no una garantía: el certificado protege el trayecto entre el navegador y el servidor, no lo que pasa con esos datos una vez guardados.
Conviene revisar dónde acaban esas consultas: si el plugin del formulario las envía por correo sin cifrar, quedan además en la bandeja de entrada de quien las reciba, fuera de cualquier control de acceso. Un despacho que además complica el propio formulario —demasiados campos, validaciones agresivas— pierde consultas antes de que lleguen a guardarse, así que conviene revisar seguridad y usabilidad juntas, no por separado.
Obligaciones del RGPD ante una brecha de seguridad
Si la web de un despacho sufre una brecha que pueda suponer un riesgo para los datos de sus clientes, el RGPD obliga a notificarlo a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que se tiene constancia del incidente, no desde que termina la investigación. Si en ese plazo no hay toda la información, se notifica por fases: primero lo que se sabe, después el resto.
Cuando el riesgo es alto, la obligación no termina en la AEPD: hay que avisar también a los clientes afectados, en lenguaje claro, sin tecnicismos. Para un despacho eso significa, en el peor caso, comunicar a sus propios clientes que sus datos han quedado expuestos, justo el tipo de noticia que un profesional que vive de la confianza querría evitar a toda costa.
La web de un despacho ya acumula obligaciones normativas por su propia naturaleza —basta pensar en la ley de accesibilidad web que ya obliga a muchos despachos— y la seguridad de los datos que recoge es una más, con su propio plazo de reacción. La AEPD no sanciona solo por sufrir el incidente: valora la diligencia previa, y una web con plugins actualizados y copias recientes la demuestra mejor que cualquier alegación posterior.
Preguntas frecuentes sobre seguridad web
¿Cada cuánto hay que actualizar los plugins?
Lo razonable es comprobar actualizaciones pendientes cada semana y aplicarlas cuanto antes, sobre todo si el plugin gestiona formularios o pagos. Las de seguridad no deberían esperar al mantenimiento mensual: un plugin con una vulnerabilidad crítica publicada es un objetivo activo desde el primer día del aviso.
¿Quién debe encargarse del mantenimiento si no hay departamento técnico?
Puede llevarlo la misma agencia que mantiene la web, con un contrato que incluya explícitamente actualizaciones y copias de seguridad, no solo cambios de contenido. Lo importante es que quede claro por escrito quién revisa qué y con qué frecuencia: sin esa asignación, el mantenimiento no se hace nunca.
¿Qué pasa si la web de mi despacho es hackeada?
Depende de si hay datos de clientes en riesgo. Si los hay, el RGPD obliga a notificarlo a la AEPD en 72 horas y, si el riesgo es alto, también a los afectados. Además de restaurar la web desde una copia limpia, hay que cambiar todas las contraseñas y revisar qué información llegó a exponerse.