La copia de seguridad web es lo primero que falta cuando un despacho la necesita: casi nadie la revisa hasta el día en que su WordPress deja de cargar o aparece cifrado por un ataque de ransomware. No hace falta ser una gran firma para ser objetivo, los ataques a pymes españolas se han disparado en el último año, y la diferencia entre perder un fin de semana de trabajo o perder el sitio entero está en si existe una copia reciente, guardada fuera del propio servidor y probada de verdad. Esto es lo que un despacho necesita tener resuelto antes de que haga falta.
Una copia de seguridad web es una réplica completa del sitio —base de datos, archivos, imágenes y configuración— guardada fuera del servidor original y lista para restaurar el despacho en minutos si un ataque, un fallo del hosting o un error humano borra la versión activa.
El coste de no tener copia de seguridad
INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el año anterior, y el 60% afectó a pymes y autónomos. Dentro de esa cifra, los ataques de ransomware pasaron de 176 a 392 en solo doce meses: un despacho que hasta ahora se sentía fuera del radar ya no lo está.
El impacto económico no es simbólico. Un ataque de ransomware cuesta de media entre 80.000 y 150.000 euros a una empresa mediana española, sumando el rescate si se paga, la pérdida de actividad mientras la web está caída y la reconstrucción posterior. Pagar tampoco garantiza nada: solo el 57% de las pymes que abonan el rescate recuperan sus datos, y un 31% recibe claves que no funcionan.
Con una copia de seguridad reciente ese cálculo cambia por completo. Restaurar el sitio deja de depender de negociar con un atacante y pasa a ser una tarea técnica de minutos u horas, sin coste añadido ni exposición de los datos de clientes del despacho.
La regla 3-2-1 aplicada al WordPress del despacho
INCIBE recomienda a las empresas la regla 3-2-1 de copias de seguridad: tres copias de los datos, en dos soportes distintos, con una de ellas fuera de las instalaciones. Aplicada al WordPress de un despacho significa no conformarse con la copia que hace automáticamente el hosting, porque esa copia vive en el mismo sitio que se quiere proteger.
Dos soportes distintos no es opcional
El hosting suele ofrecer una copia diaria dentro de su propio panel, y ahí está el problema: si el ataque compromete la cuenta de hosting completa, o el servidor sufre un fallo de hardware, esa copia desaparece con el resto. Guardar un segundo soporte distinto —un plugin que exporte a Google Drive, Amazon S3 o Dropbox— evita depender de un único proveedor para las dos cosas a la vez.
No hace falta multiplicar herramientas. Basta con que el segundo soporte sea de verdad independiente del primero: distinta cuenta, distinto proveedor y, a ser posible, distintas credenciales de acceso. Un despacho que usa el mismo usuario y contraseña para el hosting y para el almacenamiento de las copias no ha duplicado nada, solo ha copiado el archivo dos veces en el mismo cajón.
La copia que vive fuera del servidor
Un atacante con acceso de administrador a WordPress puede borrar o cifrar también los plugins de copia de seguridad y sus archivos locales, así que la copia que de verdad salva al despacho es la que vive fuera de su alcance: un almacenamiento en la nube con sus propias credenciales, o un servicio de backup gestionado que el atacante nunca llega a ver desde el panel de WordPress.
Esa separación es la que marca la diferencia entre restaurar en una hora y no poder restaurar en absoluto. Conviene revisar quién tiene acceso a esa copia externa y aplicar el mismo criterio que a cualquier acceso sensible del despacho, empezando por activar el doble factor de autenticación en el WordPress del despacho en todas las cuentas implicadas.
Cuatro formas de hacer copia de seguridad web
No todas las copias de seguridad web sirven igual, ni cuestan igual, ni fallan de la misma forma. Antes de elegir una —y antes de revisar cuándo compensa cambiar de hosting— conviene comparar qué falla si el despacho se queda solo con esa opción.
| Método | Frecuencia habitual | Dónde se guarda | Tiempo de restauración | Qué falla si es la única copia |
|---|---|---|---|---|
| Backup del panel de hosting | Diaria, automática | Mismo servidor que la web | Minutos, si el hosting funciona | Desaparece si el ataque o el fallo afecta al servidor completo |
| Plugin de WordPress con copia en la nube | Diaria o semanal, configurable | Google Drive, Dropbox o S3, fuera del servidor | 15-30 minutos | Depende de que el plugin siga activo tras el ataque |
| Exportación manual desde WordPress | Esporádica, cuando alguien se acuerda | Ordenador de quien la hizo | Horas, y solo cubre contenido, no toda la web | Queda desactualizada y no incluye plugins ni configuración |
| Backup gestionado externo | Continua o varias veces al día | Servidor cifrado de un proveedor especializado | Minutos, con soporte técnico incluido | Coste mensual adicional sobre el hosting |
Frecuencia recomendada para la copia de seguridad web
La frecuencia no es la misma para todos los despachos: depende de cuánto contenido nuevo se publica y de cuántos cambios técnicos recibe el WordPress. Como referencia general:
- Copia automática diaria de base de datos y archivos, sin intervención manual.
- Copia adicional antes de actualizar el tema, un plugin importante o la versión de WordPress.
- Copia adicional antes de una jornada con varias publicaciones nuevas, como las que genera un plan de contenido activo.
- Retención mínima de 30 días, para poder volver atrás si un problema tarda en detectarse.
Un despacho que publica varias piezas a la semana y cambia de plugin de vez en cuando no puede conformarse con la copia semanal por defecto de muchos hostings: entre una copia y la siguiente puede haber perdido días de contenido que no existen en ningún otro sitio.
Restaurar la web tras un ataque de ransomware
Tener copias no basta si nunca se han probado. Restaurar por primera vez el mismo día de un ataque, con el despacho parado y clientes llamando, es el peor momento para descubrir que el archivo está corrupto o que falta la base de datos.
Conviene simular una restauración completa al menos una vez, en un entorno de pruebas o en un subdominio, y cronometrar cuánto se tarda de verdad. Ese tiempo es el que determina cuántas horas puede estar la web caída antes de que sea un problema serio, y conviene tenerlo escrito, no calculado de memoria el día que hace falta.
Si el ataque ya se ha producido y hay indicios de acceso no autorizado a datos de clientes, restaurar la web es solo una parte del protocolo: el despacho tiene además un plazo legal que cumplir, detallado en el protocolo de 72 horas para actuar tras una brecha de seguridad en la web del despacho.
Preguntas frecuentes sobre copia de seguridad web
¿Cada cuánto hay que hacer una copia de seguridad web?
Como mínimo, una copia automática diaria de base de datos y archivos. Si el despacho publica contenido nuevo con frecuencia o cambia plugins a menudo, conviene añadir una copia adicional antes de cada cambio importante, para no depender de la ventana de 24 horas por defecto.
¿Dónde debe guardarse la copia de seguridad para que sirva de algo?
Fuera del servidor donde vive la web, en un soporte distinto al del hosting y con credenciales propias. Una copia guardada en el mismo servidor que se ataca desaparece con él; una copia en la nube, con acceso separado, sobrevive aunque el WordPress quede comprometido por completo.
¿Qué pasa si el despacho paga el rescate de un ransomware sin tener copia?
Solo el 57% de quienes pagan recuperan sus datos, y un 31% recibe claves que no funcionan. Pagar no es una alternativa fiable a tener una copia de seguridad propia y probada, y además financia al atacante para el siguiente ataque.
¿Quién debe encargarse de las copias de seguridad del WordPress del despacho?
Lo habitual es que lo gestione el hosting o la agencia que mantiene la web, no el despacho directamente. Aun así, conviene que alguien del despacho sepa dónde están, cómo se restauran y cuándo se hizo la última, sin depender de un único proveedor externo.