Seguridad web básica para tu negocio en 2026 (HTTPS, formularios e IA)
Candado SSL, formularios que funcionan, contraseñas y permisos mínimos para IA: lo que todo dueño de PyME debería revisar en su sitio — sin ser experto en ciberseguridad.
Ayer en LinkedIn hablamos de un agente de OpenAI que, en una prueba controlada, accedió a sistemas de otra empresa. Hoy bajamos eso a tierra: qué revisar en tu sitio web para que clientes confíen — y para que no regales acceso a herramientas de IA sin querer.
No necesitas un equipo de ciberseguridad. Sí necesitas lo básico bien hecho.
1. HTTPS: el candado que tus clientes buscan
Si tu sitio muestra «No seguro» en Chrome, muchos visitantes cierran la pestaña antes de leer nada.
HTTPS cifra la conexión entre el navegador del visitante y tu servidor. El icono del candado indica que la comunicación va encriptada — importante cuando hay formularios, pagos o datos personales.
| Sin HTTPS | Con HTTPS |
|---|---|
| Chrome avisa «No seguro» | Candado visible |
| Google puede penalizar ranking | Señal de confianza + SEO |
| Datos del formulario viajan expuestos | Datos cifrados en tránsito |
En Hostinger y la mayoría de hosts actuales, Let’s Encrypt ofrece certificado SSL gratis. Si tu sitio aún va en http://, pedir activarlo es prioridad #1.
Acción: abre tu sitio en incógnito. ¿Aparece el candado? ¿Redirige automáticamente de http a https?
2. Formularios: que envíen y que no filtren datos
Un formulario de contacto o cotización que «no llega» es frustración. Uno mal configurado puede filtrar información o ser spam magnet.
Checklist mínimo:
- El formulario envía a tu correo (prueba con un mensaje real hoy)
- Hay página de confirmación o mensaje claro («Gracias, te respondemos en X horas»)
- No expones claves API en el código visible del navegador (F12 → Sources)
- Tienes CAPTCHA o honeypot si recibes mucho spam
- Los campos piden solo lo necesario — menos datos = menos riesgo
En HM Web Studio usamos servicios como Web3Forms con clave en servidor — nunca hardcodeada en el front sin protección.
3. Contraseñas y accesos (hosting, dominio, CMS)
El vector de ataque más común en PyME sigue siendo contraseña débil o reutilizada.
| Cuenta | Buena práctica |
|---|---|
| Hosting / panel | Contraseña única + MFA (autenticación en dos pasos) |
| Correo del negocio | MFA obligatorio |
| WordPress / CMS | Usuario admin no se llama admin; MFA si existe |
| WiFi oficina | No compartir con invitados la red donde entras al panel |
Regla: quien diseña o desarrolla tu sitio debería entregarte tus credenciales — no quedarse con todo a su nombre.
4. IA y agentes: permisos mínimos (lo de la noticia OpenAI)
La noticia del agente que salió de un sandbox no significa que ChatGPT vaya a hackearte el lunes. Significa que los agentes con permisos amplios son poderosos — y hay que tratarlos como empleados con llaves, no como un bloc de notas.
Qué no pegar en IA sin revisar:
- Contraseñas, tokens, claves API
- Datos completos de clientes (RFC, CURP, tarjetas)
- Contratos confidenciales sin anonimizar
- Acceso total a correo o CRM «para que lo organice solo»
Qué sí puedes hacer:
- Borradores de texto que tú revisas antes de publicar
- Preguntas generales sobre marketing o copy
- Código de ejemplo sin credenciales reales
- Conectar herramientas con alcance limitado (solo lectura, solo una carpeta)
Si contratas «automatización con IA», pregunta: ¿Qué puede tocar el agente? ¿Cómo se apaga? ¿Quién audita?
5. Actualizaciones y copias de respaldo
Un sitio abandonado — plugins desactualizados, CMS sin parches — es puerta de entrada.
- Sitios estáticos (como Astro/SSG) tienen superficie de ataque menor que CMS con 40 plugins
- Si usas WordPress: actualizaciones automáticas de seguridad, backups semanales
- Guarda copia del sitio y base de datos antes de cambios grandes
6. Privacidad visible = confianza
Tu sitio debería tener aviso de privacidad claro si recopilas datos (formularios, cookies, analytics). En México importa para confianza del cliente y cumplimiento básico.
Enlace visible en el footer → /legal/privacidad (o equivalente). Explica qué guardas, por cuánto tiempo y para qué.
Checklist rápido (imprimible mental)
- ¿Candado HTTPS activo en todas las páginas?
- ¿Formulario probado esta semana?
- ¿MFA en hosting y correo?
- ¿Credenciales del sitio a tu nombre?
- ¿IA con acceso mínimo — sin secretos en prompts?
- ¿Aviso de privacidad accesible?
- ¿Sitio se ve bien en móvil y carga rápido? (seguridad percibida también)
Cómo se conecta con ser encontrado en IA
Un sitio seguro, claro e indexable refuerza lo que comentamos en ¿Tu negocio aparece en ChatGPT?: las IAs y Google citan negocios que existen en la web con señales coherentes. HTTPS y contenido confiable son parte de esa señal.
¿Quieres que revise si tu sitio cumple lo básico? Cotiza una auditoría sin compromiso — te digo prioridades en lenguaje claro. También puedes escribirme por LinkedIn.