Firmar un contrato con tu hosting, agencia o proveedor de mantenimiento WordPress no demuestra que hayas elegido bien. Si ese tercero accede a datos de clientes, copias de seguridad, pagos o credenciales, un fallo suyo puede convertirse en un problema operativo, económico y de protección de datos para tu negocio.
La evaluación de terceros y due diligence permite decidir si un proveedor puede acceder a tu WordPress, datos de clientes o procesos críticos con un riesgo aceptable.
Índice
Anuncio
El contrato no basta para aprobar un tercero
Un contrato no es una comprobación técnica.
El Responsable del tratamiento, es decir, la empresa que decide para qué usa los datos de sus clientes, debe elegir encargados que ofrezcan garantías suficientes. El artículo 28 del RGPD no convierte una firma en una prueba de que existan copias de seguridad, autenticación multifactor o un plan ante incidentes. La Agencia Española de Protección de Datos recuerda que la responsabilidad de elegir y controlar al encargado sigue siendo del responsable.
Tres fases con objetivos distintos
La evaluación inicial clasifica el riesgo antes de pedir papeles; la due diligence comprueba evidencias antes de aprobar, y la monitorización continua vigila cambios durante la relación.
Un acceso admin cambia el riesgo
Un Administrador de WordPress puede instalar código, crear usuarios, leer pedidos o alterar redirecciones, además de acceder a claves guardadas en configuraciones. Compartir un único usuario administrador permanente con una agencia o freelance impide saber quién actuó, no permite aplicar permisos mínimos y dificulta revocar el acceso al terminar el servicio.
La gestión de proveedores necesita reglas claras después de aprobarlos. Asigna un propietario interno para cada proveedor crítico, define quién acepta riesgos residuales y registra un plan de remediación cuando falte un control, como la autenticación multifactor o una prueba reciente de restauración. También conviene establecer alertas por cambios materiales: nuevos subencargados, cambio de país de alojamiento, ampliación de permisos, incidentes, deterioro financiero o modificaciones relevantes del servicio.
Al terminar la relación, verifica la revocación del acceso de administrador de WordPress, la devolución o eliminación de datos y la rotación de credenciales compartidas. Este cierre aplica el principio de mínimo privilegio y deja evidencia útil para auditorías.
Clasifica el riesgo antes de pedir pruebas
No todos los proveedores requieren la misma revisión.
La criticidad se calcula por acceso a datos personales, privilegios técnicos, dependencia operativa, subcontratación e impacto regulatorio. Un diseñador que solo entrega archivos no merece el mismo cuestionario que quien controla DNS, Cloudflare, base de datos, restauraciones y actualizaciones de WordPress.
Matriz útil para una pyme
| Proveedor | Acceso habitual | Nivel | Revisión |
|---|---|---|---|
| Creador de contenidos sin panel | Ninguno | Bajo | Cada 24 meses |
| Plugin comercial o SaaS | Datos limitados o API | Medio | Cada 12 meses |
| Hosting o mantenimiento | Admin, backups, base de datos | Alto | Cada 3 a 6 meses |
Cinco señales de riesgo alto
Marca riesgo alto cuando el tercero pueda leer formularios, exportar clientes, modificar DNS, restaurar una copia o detener la tienda. También se considera riesgo alto si dependes de él para una incidencia grave, si administra certificados SSL/TLS o si tiene una integración con permisos amplios.
La evaluación de proveedores debe ir más allá de comprobar controles técnicos y cumplimiento RGPD. Para cada tercero conviene valorar el riesgo en varias dimensiones: ciberseguridad, protección de datos, solvencia financiera, reputación, sanciones internacionales, fraude, criterios ESG y continuidad de negocio. Por ejemplo, un hosting puede tener MFA y copias de seguridad correctas, pero seguir siendo un proveedor crítico si no puede acreditar un plan de recuperación, depende de un único centro de datos o presenta señales de inestabilidad financiera.
Puntuar probabilidad e impacto en cada dimensión permite priorizar medidas, comparar proveedores de forma objetiva y justificar la decisión de aceptación.
Anuncio
Revisa pruebas antes de dar accesos
La aprobación debe basarse en evidencias.
Para riesgo alto, revisa el acuerdo de tratamiento de datos, la lista de subencargados, dónde se alojan los datos y el proceso de notificación de incidentes. Si intervienen Google, Automattic, Cloudflare u otros servicios fuera de la Unión Europea, confirma el mecanismo aplicable para transferencias internacionales.
Preguntas para WordPress y plugins
El cuestionario debe preguntar cómo se aplican parches de seguridad, cada cuánto se actualizan plugins y temas, quién recibe alertas de vulnerabilidades y cómo se prueba una restauración. También debe exigir cuentas nominativas, MFA y acceso temporal, normalmente entre 1 y 7 días cuando se trata de una intervención puntual.
Una llave FIDO2 ayuda a proteger cuentas de administrador frente al robo de contraseñas. Es útil para quien gestiona WordPress, hosting o paneles con acceso sensible.
- Reduce el riesgo de acceso con contraseñas filtradas o reutilizadas
- Permite exigir un segundo factor físico en cuentas administrativas
- Facilita retirar un medio de acceso al terminar una colaboración
Deja una decisión defendible
Archiva un informe breve con proveedor, servicio, nivel de riesgo, pruebas revisadas, riesgos pendientes, condiciones, aprobador y próxima fecha. Si aceptas una excepción, escribe el motivo, la medida compensatoria y un plazo para corregirla.
Un checklist documental evita aprobar a un tercero solo porque ha respondido bien a un cuestionario. Para servicios con acceso a datos o sistemas, la debida diligencia puede comprobar la vigencia del acuerdo de tratamiento de datos, la lista de subencargados, la ubicación de los datos, las condiciones de transferencia internacional, el procedimiento de notificación de incidentes, las políticas de acceso, las pruebas de restauración y las evidencias de formación o revisiones de seguridad.
El informe final debe distinguir entre documentos recibidos, documentos validados, riesgos no resueltos y compromisos con fecha. Una política genérica o un certificado antiguo no sustituyen una evidencia aplicable al servicio contratado.
Preguntas comunes
¿Qué es la debida diligencia de terceros?
La debida diligencia de terceros verifica si un proveedor ofrece garantías suficientes antes de acceder a datos, sistemas o procesos críticos. Incluye riesgos, evidencias, subencargados y capacidad de respuesta, no solo un contrato.
¿Qué se revisa en un proveedor de WordPress?
Se revisan accesos, MFA, actualizaciones, backups, restauración, hosting, subencargados y respuesta ante incidentes. Si administra WooCommerce o la base de datos, el nivel suele ser alto.
¿Cada cuánto se reevalúa un proveedor?
Un proveedor crítico debe revisarse cada 3 a 6 meses y ante cualquier cambio material. Los proveedores medios suelen revisarse cada 12 meses, si su alcance no cambia.
¿El contrato RGPD es suficiente?
No, el contrato RGPD no prueba por sí solo las medidas de seguridad del proveedor. Debe acompañarse de cuestionario, evidencias y una decisión documentada del Responsable del tratamiento.
¿Qué pasa si hay una brecha de seguridad?
El responsable puede tener 72 horas para notificar una brecha a la autoridad competente cuando exista riesgo para las personas. El proveedor debe avisar sin demora para permitir analizar el incidente y actuar.
- Lo esencial: clasifica por acceso e impacto, no por el importe de la factura.
- Lo esencial: exige pruebas ajustadas al riesgo antes de dar permisos.
- Lo esencial: registra aprobación, excepciones y próxima revisión.
- Lo esencial: revoca accesos y reevalúa ante cambios relevantes.
Fuentes de interés
Otros artículos que pueden complementar lo que acabas de leer:
- Mantenimiento web Wordpress, ¿Cómo hacerlo tu mismo? — vicentemerino.com
- Los ABC de Mantenimiento de Sitios Web WordPress — aioseo.com
- Cómo auditar la seguridad de un sitio WordPress — wpsecurityninja.com
- Mantenimiento de sitios web en WordPress: una guía práctica — onenine.com
- Dar acceso de administrador a proveedores expone WordPress
- Pedir accesos antes de pactar el soporte es un error
Josu Barrios
Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.