# Seguridad informática en marca blanca (white label): socio de seguridad para agencias

> Muchas webs de clientes, distintos hostings, un día de parcheo: trabajamos en segundo plano para agencias, parcheamos, limpiamos y documentamos.

Fuente: https://phpsos.de/es/branchen/agenturen-white-label/  
Actualizado: 25/10/2026  
Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6

**En resumen:** la seguridad informática en marca blanca significa para su agencia: usted conserva la relación con el cliente y nosotros hacemos en segundo plano el trabajo de seguridad. Con PHP2Shell, esto supone un inventario de todas las webs de clientes, priorización según el riesgo, parche y reinicio por servidor y un justificante por cliente que usted pueda transmitir.

## Por qué las agencias están especialmente presionadas con PHP2Shell

Una agencia con muchos clientes rara vez atiende un panorama homogéneo. Una parte de las webs está en servidores propios con Plesk, otra en los proveedores de hosting de los clientes y algunos proyectos antiguos funcionan con versiones de PHP que hace tiempo que no reciben actualizaciones oficiales. A ello se suman distintos sistemas: WordPress, TYPO3, Shopware, [Craft CMS](https://phpsos.de/es/plattformen/craft-cms/), desarrollos propios con Laravel.

Ante una vulnerabilidad en el propio PHP, afecta a todos los proyectos a la vez. Los clientes esperan una respuesta sobre si su web es segura, y el equipo de proyectos está desbordado con los encargos en curso. Muchos contratos de mantenimiento regulan el CMS, pero no el servidor que hay debajo.

A ello se suman sistemas que ya no aparecen en ninguna lista de proyectos: entornos de staging en subdominios, páginas de campaña de proyectos terminados, instalaciones de prueba de desarrolladores en VPS propios. A menudo funcionan con versiones antiguas de PHP, no se vigilan y, aun así, llevan el nombre de su agencia o de su cliente. Para los escaneos automatizados son tan visibles como la web principal.

## Qué preguntas hacen ahora sus clientes

- ¿Mi web está afectada y ya está parcheada?
- ¿Se introdujo algo antes del parche?
- ¿Vale la actualización del CMS como protección? No, una actualización del CMS no cierra la vulnerabilidad de PHP.
- ¿Tengo que desconectar mi web de la red? El BSI (Oficina Federal alemana para la Seguridad de la Información) lo recomienda para los servidores que no pueden actualizarse de inmediato.

Para cada una de estas preguntas, su agencia necesita una respuesta demostrable por cliente, no un correo masivo con afirmaciones generales.

## Cómo funciona la seguridad informática en marca blanca para agencias

Trabajamos como parte de su equipo, pero sin contacto propio con el cliente. El reparto es claro:

| Tarea | Su agencia | PHP SOS |
|---|---|---|
| Comunicación con el cliente y facturación | sí | no |
| Inventario de todas las webs de clientes con el estado de PHP | aporta los accesos | lo elabora y lo mantiene |
| Parche, reinicio y revisión por servidor | autoriza la ventana de mantenimiento | ejecuta o coordina con los proveedores de hosting |
| Revisión de compromiso | recibe el resultado | busca webshells y anomalías |
| Justificante por cliente | lo transmite | lo elabora en formato neutro o en el suyo |

En las webs alojadas en proveedores ajenos recabamos la confirmación del estado del paquete. El número de versión mostrado no basta por sí solo, porque los backports pueden dejarlo sin cambios.

> **Importante:**
> Priorice primero los servidores con Apache y mod_php, donde el equipo de PHP considera que el riesgo es el más alto; después las tiendas y las webs con inicio de sesión, y luego los proyectos con PHP 8.1 o anterior. Los proyectos antiguos estáticos que ya nadie necesita es mejor desactivarlos que parchearlos.

## Varias webs de clientes en un servidor: comprobar el aislamiento

En los servidores de agencias, muchas webs de clientes suelen compartir una máquina. Si una de ellas se ve comprometida, la separación decide si el atacante llega también a las demás. Son importantes los usuarios de sistema y los pools de PHP-FPM propios para cada web, los permisos de archivos correctos y límites como [open_basedir](https://phpsos.de/es/ratgeber/open-basedir/). En los [servidores Plesk](https://phpsos.de/es/server/plesk/) estos ajustes pueden revisarse por suscripción.

Tras el parche rige lo siguiente: reiniciar todos los pools y workers. Solo entonces dejan de funcionar procesos antiguos de PHP en memoria. Los registros desde el 20/10/2026 deberían conservarse para cada web de cliente.

## Información al cliente: lo que está demostrado y lo que no

La mayor tentación en esta situación es un correo masivo tranquilizador. Es más seguro una declaración por cliente que contenga solo lo que está demostrado: qué servidor, qué estado del paquete de PHP, cuándo se reinició, si se realizó una revisión de compromiso y con qué resultado. Lo que sigue abierto también consta en ella.

Es mejor evitar formulaciones como «su web es segura». Un parche cierra la vulnerabilidad, pero no demuestra que antes no hubiera pasado nada. Quien separa esto con honestidad no tendrá que dar explicaciones más tarde si aparece un hallazgo.

## Redactar de nuevo los contratos de mantenimiento tras PHP2Shell

Muchos contratos de agencia regulan las actualizaciones del CMS y de las extensiones, pero callan sobre el servidor. Aproveche la situación para dejar constancia, para cada cliente, de quién actualiza PHP, quién se responsabiliza de los reinicios, quién decide en caso de incidente y qué servicios se encargan por separado. También forma parte de ello un acuerdo de encargo de tratamiento con todos los prestadores de servicios implicados. La configuración contractual la aclara con su asesoramiento jurídico.

## ¿Cómo ayuda PHP SOS en concreto?

- Asumimos el inventario de todas las webs de clientes con versión de PHP, modo de ejecución, proveedor de hosting y responsable.
- Mediante nuestro [servicio de parches de PHP](https://phpsos.de/es/leistungen/php-patch-service/) parcheamos sus propios servidores, reiniciamos todos los workers y lo acreditamos por cliente.
- Revisamos las webs priorizadas en busca de compromiso y, si hay hallazgo, limpiamos hasta que el incidente quede cerrado y documentado.
- Entregamos módulos de texto para la información a sus clientes, que usted adapta y envía por sí mismo.
- Después, si lo desea, asumimos con un [contrato de mantenimiento de seguridad](https://phpsos.de/es/leistungen/security-wartungsvertrag/) la atención continua de seguridad en segundo plano.


## Preguntas frecuentes

**¿Se presentan ante nuestros clientes?**  
Solo si usted lo desea. En el modelo de marca blanca trabajamos exclusivamente en segundo plano y toda la comunicación pasa por su agencia. Entregamos nuestra documentación en formato neutro o en el suyo.

**¿Necesitamos para ello un contrato de encargado del tratamiento?**  
Si accedemos a sistemas con datos personales de sus clientes, por regla general es necesario un acuerdo de encargo de tratamiento, a menudo como subencargo. Cómo encaja en sus contratos existentes debe aclararlo con su asesoramiento jurídico. Proporcionamos los datos necesarios sobre nuestras actividades.

**¿Y las webs de clientes cuyo servidor no gestionamos?**  
Si las webs de los clientes están en proveedores de hosting ajenos, recabamos en su nombre o con sus modelos las confirmaciones sobre el estado del parche y el reinicio. Donde solo hay acceso por FTP o por el CMS, comprobamos qué es posible desde allí e indicamos con claridad lo que solo el proveedor de hosting puede acreditar.

**¿Podemos externalizar esto de forma permanente también después de PHP2Shell?**  
Sí. Muchas tareas se repiten con cada vulnerabilidad: mantener el inventario, aplicar parches, acreditar los reinicios, notificar las anomalías. Este trabajo puede organizarse como atención continua en segundo plano.

## Fuentes

- [php.net: avisos de seguridad](https://www.php.net/)
- [php.net: versiones con soporte](https://www.php.net/supported-versions.php)
- [BSI: avisos y recomendaciones](https://www.bsi.bund.de/)