Cómo elegir hosting para tu empresa sin que te engañen

Estás comparando dos ofertas de alojamiento y las dos dicen lo mismo: ilimitado, rápido, seguro, soporte 24/7. Una cuesta 3 euros al mes y la otra 25. Y no hay forma de saber en qué se diferencian hasta que tienes un problema, que es justo el peor momento para descubrirlo.

Este artículo es la lista de comprobaciones que puedes hacer antes de pagar, con las preguntas concretas y las respuestas que deberías recibir. No hace falta que entiendas de servidores: hace falta que sepas qué preguntar y qué contestación es una señal de alarma.

Qué estás comprando de verdad: recursos, no adjetivos

«Ilimitado» nunca significa ilimitado. Significa que el límite no está en la ficha de producto, está en las condiciones de uso, y que lo descubrirás el día que tu web crezca. Los límites que de verdad determinan si tu web va bien o se cae los martes por la tarde son estos, y tienen nombre técnico:

CPU y memoria RAM asignadas a tu cuenta. Si no aparece un número, pregunta por él.
Procesos de entrada (entry processes): cuántas visitas simultáneas puede atender tu cuenta antes de empezar a devolver errores. Es la causa más habitual del error 503 en horas punta.
Inodos: número máximo de ficheros. Una tienda con muchas imágenes y varios plugins llega antes de lo que parece.
Operaciones de disco (I/O): lo que hace que una web «vaya lenta sin motivo» cuando el vecino está haciendo una copia de seguridad.

Un proveedor serio te da estos números sin que insistas. Uno que responde «no se preocupe, es ilimitado» te está diciendo que el límite lo pondrá él, cuando quiera y sin avisar.

Hay un segundo factor, invisible en las comparativas y decisivo en seguridad: el aislamiento entre cuentas. En un servidor compartido mal configurado, si le comprometen la web a otro cliente, el atacante puede llegar a la tuya sin tocar tu contraseña. Pregunta literalmente: «¿las cuentas están aisladas entre sí a nivel de sistema de ficheros?». Es la pregunta que más incomoda a los proveedores baratos y la que más te protege.

Compartido, VPS o gestionado: cuál encaja con lo que facturas

No hay una opción correcta, hay una proporcionada al daño que te hace estar caído un día.

Alojamiento compartido

Compartes servidor con otros clientes. Es la opción sensata para una web corporativa de escaparate, un blog o una tienda pequeña: si tu web no factura directamente, pagar 20 euros al mes por un VPS que nadie administra es tirar el dinero y añadir riesgo. Su punto débil no es la potencia, son los vecinos y la reputación compartida de la IP.

VPS o servidor dedicado

Tienes tu propia máquina virtual. Más control, más rendimiento… y toda la responsabilidad de mantenerla: parches del sistema, cortafuegos, copias, certificados. Si nadie de tu empresa va a entrar por SSH cada mes, un VPS sin administración es objetivamente menos seguro que un compartido bien llevado. Es el error más caro que vemos: empresas con un VPS de hace cuatro años que nadie ha actualizado nunca.

Alojamiento gestionado

Cuesta más y el proveedor se encarga del sistema, las actualizaciones del entorno, las copias y a menudo una capa de protección delante. Compensa cuando tu web genera pedidos o citas, cuando tienes WooCommerce, o simplemente cuando no hay nadie técnico en plantilla. Regla práctica: si un día de web caída te cuesta más que un año de diferencia de precio, no lo dudes.

Las diez preguntas que hay que hacer antes de pagar

Mándalas por correo, tal cual, antes de contratar. Guarda la respuesta: es tu contrato de facto.

¿Qué CPU, memoria y procesos de entrada tiene el plan, en números?
¿Las cuentas del servidor están aisladas entre sí?
¿Con qué frecuencia se hacen copias de seguridad, cuánto tiempo se guardan y en qué ubicación física?
¿Puedo restaurar yo mismo desde el panel? ¿Cobráis por restaurar?
¿Puedo descargarme una copia completa (ficheros y base de datos) cuando quiera?
¿Qué versiones de PHP ofrecéis y quién decide cuándo se actualizan?
¿Incluye entorno de pruebas (staging) y acceso SSH?
¿Cuál es el precio de renovación al segundo año?
¿Qué hacéis exactamente si detectáis malware en mi cuenta: avisáis, limpiáis o suspendéis?
¿Firmáis contrato de encargado del tratamiento y dónde están ubicados los servidores?

Las respuestas a la 3, la 4 y la 9 valen más que todo lo demás junto.

Copias de seguridad: qué incluyen y qué cobran por restaurar

Casi todos los proveedores dicen que hacen copias. Muy pocos dicen tres cosas que importan más: cuánto tiempo las guardan, si las guardan en otra máquina y cuánto cuesta restaurarlas. Hay planes en los que la copia es diaria con siete días de retención y una restauración cuesta un extra por cada petición.

Siete días de histórico suenan bien hasta que te encuentras con el escenario real: una web comprometida hace tres semanas y descubierta hoy. Todas tus copias contienen el problema. Por eso, un mínimo defendible para una empresa es tener copias diarias recientes y alguna copia semanal o mensual más antigua, además de una copia propia fuera del proveedor, que es la única que sigue existiendo si el problema es el proveedor. Lo que debe llevar dentro una copia útil y cada cuánto conviene hacerla lo tienes desarrollado en qué debe incluir una copia de seguridad de una web.

Y la comprobación que casi nadie hace: pide restaurar una vez, en frío, cuando no pasa nada. Una copia que nunca se ha restaurado no es una copia, es una carpeta.

Versiones de PHP, límites y quién actualiza qué

Aquí se produce el malentendido más habitual entre cliente, agencia y hosting: cada uno cree que actualiza el otro. Conviene dejarlo por escrito desde el primer día, porque el reparto real es este:

El hosting mantiene el sistema operativo, el servidor web y las versiones de PHP disponibles.
Tú o tu agencia mantenéis WordPress, los plugins, el tema y el contenido. El hosting no lo hace, aunque el comercial te haya dado a entender que sí.

Comprobación práctica antes de contratar: mira qué versiones de PHP ofrece el panel. Si la más nueva lleva años sin renovarse, el proveedor tiene el servidor abandonado y eso te afectará. Y si tu web actual funciona con una versión de PHP que ya no recibe soporte, ese es un motivo de peso para cambiar, no un detalle menor: es software sin parches de seguridad ejecutándose de cara a internet.

Mira también qué trae de serie: certificado SSL gratuito con renovación automática (a estas alturas no debería costarte un céntimo, y qué tipo necesitas realmente lo explicamos en qué certificado SSL necesita tu web), gestión de DNS, cortafuegos de aplicación y algún tipo de análisis de malware.

Soporte: horario real, idioma y qué hacen si te hackean

«Soporte 24/7» puede significar un chat con respuestas de plantilla a las tres de la mañana. Antes de contratar, haz esta prueba que cuesta cinco minutos: abre un ticket de preventa con una pregunta técnica de las diez de arriba y cronometra. La respuesta te dice el idioma real, el nivel técnico de quien atiende y cuánto tardan cuando quieren venderte. Cuando ya seas cliente no van a ir más rápido.

La pregunta 9 merece atención especial, porque define un día muy malo. Hay tres comportamientos posibles ante una infección y son muy distintos:

Te avisan con el listado de ficheros detectados y te dan un plazo para limpiar. Es lo correcto.
Te suspenden la cuenta sin previo aviso y sin decirte qué han encontrado. Legal, habitual y desesperante: te quedas sin web y sin datos para arreglarla.
Te ofrecen limpiarla ellos por un extra. Puede estar bien, pero pregunta si eso incluye buscar cómo entraron o solo borrar los ficheros marcados. Borrar sin investigar es garantía de reinfección.

Letra pequeña: precio de renovación, migración y salida

El truco comercial más extendido del sector: el primer año a precio de escaparate y la renovación al doble o al triple. No es ilegal si está publicado, pero rara vez está en la comparativa. Pregunta el precio del segundo año y calcula con ese.

Revisa también:

Migración de entrada: si es gratuita, cuántas webs incluye y si la hacen ellos.
Salida: si puedes descargarte una copia completa por tu cuenta y si te entregan la base de datos. Un proveedor que te lo pone difícil para irte te lo pondrá difícil en todo.
Dominio: que esté a nombre de tu empresa, no del proveedor ni de tu agencia. Comprueba quién figura como titular; es tu activo, no el suyo.
Ubicación de los datos y contrato de encargado del tratamiento, que es obligación tuya tener firmado, no un capricho.

Si además la web te la lleva una agencia, la conversación es doble y conviene tenerla ordenada: en qué exigirle a la agencia que te lleva la web tienes qué debe cubrir cada uno para que no quede tierra de nadie.

Señales de que ya toca cambiar de proveedor

Cambiar de alojamiento da pereza y por eso se aguanta demasiado. Estas señales, sobre todo si se juntan dos o más, justifican el cambio sin más análisis:

La versión de PHP más alta disponible lleva años sin renovarse.
No puedes restaurar una copia tú mismo, o te cobran por hacerlo.
El soporte tarda más de un día laborable en responder algo urgente.
La web se cae en horas punta y la respuesta siempre es «contrate un plan superior».
Tus correos van a spam desde esa IP y no piensan hacer nada.
Te han suspendido la cuenta por malware sin darte el listado de ficheros detectados.
No hay forma de conseguir un contrato de encargado del tratamiento firmado.

Y sé justo con el proveedor en un punto: cambiar de hosting no arregla una web mal mantenida. Si tu WordPress lleva dos años sin actualizar, la vas a migrar con los mismos problemas y con la misma puerta trasera si la hay. El alojamiento es la base; encima hay que poner el resto, y ese recorrido completo —HTTPS, accesos, correo, DNS y vigilancia— está ordenado en la guía de configuración segura de una web.

Si tienes la renovación encima de la mesa y quieres decidir con datos en vez de con folletos, pide un informe gratuito antes de firmar la renovación: verás desde fuera qué está exponiendo tu alojamiento actual —cabeceras, certificado, versiones visibles y estado del correo del dominio— y tendrás argumentos concretos para negociar o para irte.

Seguir leyendo en esta sección

Ver todo en Hosting, certificados y copias → · Mapa completo del sitio