En resumen: Un contrato de mantenimiento web con enfoque de seguridad hace que las actualizaciones, las copias de seguridad y la vigilancia no dependan del azar. Atendemos sus sitios web y servidores PHP de forma continua, mantenemos el estado al día, probamos la restauración y reaccionamos según un procedimiento acordado cuando se conoce una vulnerabilidad nueva. Recibirá periódicamente un informe comprensible.
Por qué la seguridad debe formar parte del contrato de mantenimiento web
Muchos contratos de mantenimiento cubren las actualizaciones del CMS y terminan ahí. PHP2Shell ha mostrado que eso no basta: las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 están en el propio PHP, no en el CMS. Una actualización de WordPress o de Shopware no las cierra. Quien solo cuida el CMS no tiene a la vista el verdadero peligro.
A esto se suma el factor tiempo. Entre el preaviso de php.net, el 20/10/2026, y la publicación de los parches, el 21/10, pasó un día, y según informes de los medios ya hubo un primer intento de ataque observado el 17/10. En situaciones así solo ayuda un procedimiento establecido de antemano y alguien que tenga acceso y sepa qué sistemas están afectados. Quien busca credenciales en plena emergencia, llama a proveedores y aclara responsabilidades pierde justo el tiempo que aprovechan los atacantes.
Otro punto se subestima a menudo: las copias de seguridad que nunca se han restaurado son una promesa sin prueba. Solo una prueba de restauración muestra si una copia está completa y cuánto tarda realmente la vuelta al funcionamiento.
Para quién merece la pena un contrato de mantenimiento de seguridad
Un contrato de mantenimiento con enfoque de seguridad encaja sobre todo con empresas cuyo sitio web o tienda es crítico para el negocio, pero que no tienen administración propia de servidores y PHP. Son típicos los comerciantes online, las consultas, los despachos y las empresas medianas con portales de clientes, pero también los organismos públicos con varias presencias web.
También es razonable cuando hoy la responsabilidad está repartida entre muchos: una agencia construyó el sitio web, un proveedor de hosting facilita el servidor, un antiguo empleado conocía los accesos. En constelaciones así, en situaciones como PHP2Shell se ve enseguida que nadie es claramente responsable. El contrato crea un punto fijo que está al tanto y tiene capacidad de actuar.
Para un único sitio web pequeño, sin formularios ni datos de clientes, puede bastar un alcance más ligero. Eso lo aclaramos en el inventario.
Qué incluye el contrato de mantenimiento de seguridad
- Actualizaciones: sistema operativo, servidor web, PHP, CMS, extensiones y dependencias, con un ritmo fijo y además cuando haya vulnerabilidades críticas
- Reinicio y justificante: tras las actualizaciones de PHP, reinicio de todos los workers con comprobación de que no hay procesos antiguos en ejecución
- Copias de seguridad: según la regla 3-2-1, con prueba de restauración periódica. Los fundamentos figuran en Copias de seguridad según la regla 3-2-1.
- Vigilancia: integridad de archivos, inicios de sesión, procesos y registros, como se describe en Monitorización de seguridad para servidores web
- Ciclo de vida: planificación anticipada antes de que una versión de PHP llegue al fin del soporte, por ejemplo PHP 8.2 el 31/12/2026
- Protocolo de emergencia: pasos acordados para el caso grave, accesos y personas de contacto que se conocen de inmediato en el incidente
- Informe: resumen periódico con las actualizaciones instaladas, los eventos y las recomendaciones
¿Quién es responsable de qué?
Muchas vulnerabilidades de seguridad no surgen por motivos técnicos, sino organizativos: todos piensan que otro se ocupa. Por eso dejamos las responsabilidades por escrito. Un ejemplo típico:
| Tarea | Proveedor de hosting | Agencia | PHP SOS | Usted |
|---|---|---|---|---|
| Hardware, red, centro de datos | sí | |||
| Actualizaciones del sistema operativo y de PHP | según contrato | sí | ||
| CMS y extensiones | sí | según acuerdo | ||
| Contenidos y cuentas de usuario | sí | |||
| Vigilancia y protocolo de emergencia | sí | autorizaciones |
El reparto real depende de sus contratos. Sobre todo en los servidores gestionados merece la pena fijarse bien en lo que el proveedor asume realmente; véase Servidor gestionado: aclarar la responsabilidad. Las agencias con muchos sitios de clientes encontrarán un modelo adecuado en Socio de seguridad para agencias.
¿Cómo ayuda PHP SOS en concreto?
- Inventario: registramos todos los sitios web, servidores, versiones, accesos, copias de seguridad y contratos existentes.
- Aseguramiento inicial: primero se cierran las actualizaciones pendientes y las vulnerabilidades conocidas, antes de que empiece el seguimiento continuo.
- Acuerdo: dejamos por escrito el alcance, el ritmo, las responsabilidades y el protocolo de emergencia, también cuándo se le consulta antes de hacer cambios.
- Seguimiento continuo: actualizaciones, copias de seguridad, vigilancia e informes según el plan y, ante vulnerabilidades críticas, además según el protocolo de emergencia acordado.
- Revisión anual: comprobamos juntos si el contrato sigue ajustándose a su panorama de sistemas.
Lo que necesitamos y lo que no prometemos
Necesitamos accesos administrativos permanentes, una persona de contacto con capacidad de decisión, contacto con el proveedor de hosting y la agencia e información sobre los cambios previstos en sus aplicaciones. Gestionamos los accesos por separado para cada cliente y documentamos quién tiene acceso. Si planea cambios en sus sistemas, por ejemplo una tienda nueva, otro sitio web o un cambio de proveedor de hosting, avísenos pronto para que las actualizaciones, las copias de seguridad y la vigilancia crezcan con ellos.
No prometemos que sus sistemas nunca sean atacados. Un contrato de mantenimiento reduce el riesgo y hace que en caso grave se actúe con rapidez y de forma ordenada. No indicamos precios ni tiempos de reacción de forma generalizada, sino que los fijamos en la oferta tras el inventario. Cómo preparar además organizativamente el caso grave se describe en Crear un plan de emergencia informático para servidores web.
Preguntas frecuentes
¿Qué debe incluir un contrato de mantenimiento web con enfoque de seguridad?
Como mínimo, actualizaciones del servidor, de PHP, del CMS y de las extensiones, copias de seguridad periódicas con prueba de restauración, una vigilancia de seguridad y una regulación clara para las emergencias. También es importante dejar por escrito quién es responsable de qué.
¿Sustituye el contrato de mantenimiento a mi agencia o a mi proveedor de hosting?
No necesariamente. A menudo trabajamos junto con la agencia y el proveedor de hosting y asumimos la parte de seguridad. Lo decisivo es que las responsabilidades estén repartidas sin lagunas y que nada quede sin atender entre los implicados.
¿Qué ocurre cuando se conoce una vulnerabilidad crítica como PHP2Shell?
Entonces comprobamos cuáles de sus sistemas están afectados, instalamos las actualizaciones según el proceso acordado o aplicamos medidas provisionales y le informamos del estado. La rapidez con que se haga la fijamos juntos en el contrato.
¿Hay un precio fijo?
El alcance depende del número y el tipo de sus sistemas. Tras un inventario elaboramos una oferta que describe exactamente lo que incluye.