Lo que me preguntan
las gestorías y las pymes.

Sí. Son cuatro módulos mensuales que se contratan sueltos o juntos: la web, los contenidos y las redes, el informe de tus anuncios de Google y los informes de quién envía correo en tu nombre. El de la web cuesta 65 € al mes. Ver qué hace cada módulo →

Sí, y sin WordPress: sin gestor de contenidos, sin complementos y sin código de terceros, que es menos que puede fallar y menos que mantener. El dominio, el alojamiento y las cuentas quedan a tu nombre, y con la web te entrego un gestor de contraseñas con las claves y una hoja de traspaso. Van a presupuesto, y la web que te hago yo no la audito yo. Cómo las hago →

Puedes empezar por un módulo y sumar otros cuando quieras. Las condiciones de baja van por escrito en tu propuesta.

Tú. Para mantener tu web entro con un usuario propio, creado para mí, con los permisos justos para el trabajo, y lo hago desde un equipo con el disco cifrado. Se acuerda por escrito antes de empezar.

Para eso entro yo. Antes de empezar hago copia de seguridad. Actualizo de tres en tres y pruebo la web después de cada tanda, así que si algo falla sé qué lo ha roto. Lo arreglo antes de dar la revisión por cerrada, y va dentro de la cuota.

El dominio, el alojamiento y las cuentas están a tu nombre. Si vienes de otra empresa, lo primero es recuperar los accesos, hacer inventario de lo que hay y dejarlo documentado a tu nombre: es el «Cambio de empresa de mantenimiento», desde 120 €, una sola vez. Con ese documento, quien venga detrás puede seguir sin llamarme.

Va aparte, con su presupuesto: crear campañas nuevas, fotos y vídeo, cambiar de proveedor de correo, recuperar buzones o correo borrado, una web nueva o un rediseño, y los cambios que pidas fuera de las revisiones del mes. Si alguien entra en una de tus cuentas, cortarle el paso va dentro de la cuota; lo que venga después, aparte.

Es un examen de todo lo que tu negocio deja ver desde fuera, sin tocar tus sistemas. Se revisan siete capas: dominio, correo, web, credenciales filtradas, marca, analítica y continuidad. El resultado es un documento que dice qué hay expuesto, con qué evidencia se sostiene cada afirmación y qué conviene arreglar primero.

La diferencia con un escáner automático es que un escáner produce hallazgos sueltos, y aquí se lee cómo encajan entre sí. El riesgo casi nunca vive en una sola capa.

Para una auditoría, no. Se hace únicamente con información de acceso público, sin entrar en ningún sistema, sin probar contraseñas y sin ninguna acción intrusiva.

Para mantener tu web sí hace falta entrar, y eso se acuerda por escrito antes de empezar. Está explicado más arriba, en «¿Quién tiene las contraseñas?».

Sobre todo para ti. Una gestoría maneja datos fiscales, laborales y de identidad de decenas de empresas: es un objetivo concentrado, y sus clientes empiezan a preguntarle por escrito cómo protege esa información.

El problema habitual es que la gestoría no tiene forma de demostrar cómo protege esos datos cuando alguien se lo pide.

La exprés revisa dominio, correo y web pública, y da un primer diagnóstico en menos de una semana. La completa cubre las siete capas y entrega un informe con cada hallazgo y su prueba, evidencias selladas y un plan de arreglos por orden de prioridad.

La exprés está pensada como primer paso: su importe se descuenta íntegramente de la completa si la contratas dentro de los treinta días siguientes.

Depende de qué te pida exactamente, y esa es la primera pregunta que hago. Si tu cliente exige una certificación acreditada —ISO 27001, ENS o similar—, eso lo emite una entidad de certificación acreditada, y yo no lo soy. Te lo diré desde el principio.

Si lo que te piden es acreditar que has revisado tu exposición, quién lo hizo, cuándo y con qué resultado, entonces sí: el informe está pensado exactamente para eso, con la metodología declarada y cada hallazgo trazable a la comprobación que lo sostiene.

Lo que vale un informe ante un tribunal lo decide el tribunal, que es quien valora la prueba. Lo que depende de mí es cómo está construido.

Los informes periciales se elaboran conforme a los criterios de UNE 197001 y UNE 197010, con cadena de custodia documentada, evidencias selladas mediante hash SHA-256 y sellado de tiempo, y separación explícita entre hecho probado, inferencia razonable y lo que no se puede sostener. Y sí, comparezco a ratificar el informe en sala si hace falta.

Cualquiera que te prometa que su informe «resiste en juicio» te está prometiendo algo que no controla.

Sí. El informe es tuyo y puedes usarlo como quieras: enseñarlo a un cliente que te lo exige, aportarlo en una negociación, remitirlo a tu correduría o llevarlo a tu asesoría jurídica.

Por eso el entregable incluye siempre un resumen ejecutivo en lenguaje llano además de la parte técnica: para que quien lo lea no necesite un traductor.

Entonces el informe dice que no se ha identificado exposición relevante en las capas revisadas, y explica cómo se ha comprobado cada una. Es precisamente el documento que necesitas cuando alguien te pide acreditar que estás en orden.

Lo que no voy a hacer es inflar hallazgos menores para que el informe parezca más valioso.

No es el objetivo, y el vocabulario del informe está pensado para evitarlo: se habla de hallazgos, discrepancias y posibles desviaciones, sin señalar a nadie.

La mayor parte de lo que aparece son cosas que se configuran una vez, al montar la web, y que nadie vuelve a mirar en cinco años porque quedan fuera del mantenimiento habitual. Para una agencia, el informe es una lista concreta de trabajo.

El antivirus protege tus equipos y las copias te permiten recuperarte. Ninguno de los dos ve lo que tu negocio enseña desde fuera.

Un antivirus no detecta que tu dominio permite que cualquiera envíe correo en tu nombre, ni que hay un dominio parecido al tuyo registrado por otra persona, ni que las credenciales de un empleado aparecen en una filtración pública. Son cosas distintas que se comprueban de forma distinta.

Y sobre las copias, la pregunta útil es si has probado alguna vez a restaurar una. Hasta que se restaura, una copia es solo una suposición.

El Kit Digital financió la implantación de soluciones, y su justificación acredita que se entregaron. No acredita que estén bien configuradas ni que sigan funcionando, y quien presenta esa justificación es el mismo proveedor que cobró.

Para eso existe una revisión específica, más acotada y más barata que la auditoría completa. Ver la revisión post-Kit Digital →

La exprés, menos de una semana. La completa, entre dos y tres semanas según el tamaño del negocio.

Recibes un informe técnico con cada hallazgo trazado a la comprobación que lo acredita, un resumen ejecutivo en lenguaje llano, y un plan de arreglos por orden de prioridad, que distingue lo que puedes hacer tú, lo que debe hacer tu proveedor y lo que conviene delegar.

Puedo, pero nunca en el mismo encargo y nunca sobre lo que yo mismo haya construido. Es la regla que no negocio: puedo construir, y puedo subsanar lo que he auditado, pero no audito lo que he construido yo.

La evidencia exige distancia. Un informe firmado por quien hizo el trabajo no tiene valor defensivo si algún día alguien lo discute, y eso te perjudica a ti más que a mí.