«Compartido, VPS o gestionado» suele plantearse como una decisión de rendimiento y precio. Casi nadie la plantea como lo que también es: una decisión sobre quién responde cuando algo va mal y sobre cuánto te afecta lo que hagan los demás.
Esta es la comparación desde el punto de vista de la seguridad, con los matices que no suelen aparecer en las tablas comerciales.
Qué es cada cosa, en una línea
- Compartido: tu web vive en un servidor con decenas o cientos de webs de otros clientes. El proveedor administra todo.
- VPS: tienes tu propia máquina virtual. Nadie más está dentro, pero la administras tú (o quien contrates).
- Gestionado (WordPress gestionado): máquina propia o aislada, pero el proveedor se encarga del sistema, las actualizaciones y las copias.
La comparación que importa
| Compartido | VPS | Gestionado | |
|---|---|---|---|
| Aislamiento entre webs | Depende del proveedor: es la pregunta clave | Total frente a otros clientes | Alto |
| Quién actualiza el sistema | El proveedor | Tú | El proveedor |
| Quién responde de una intrusión | Compartido: ellos del servidor, tú de tu web | Tú, de casi todo | Mixto, con soporte real |
| Riesgo de «vecino infectado» | Existe si el aislamiento es flojo | No | No |
| Coste mensual típico | Bajo | Medio (+ administración) | Medio-alto |
| Para quién | Webs informativas y presupuestos ajustados | Quien tiene perfil técnico o contrata mantenimiento | Tiendas y webs que facturan |
El punto crítico del compartido: el aislamiento
En un servidor compartido bien montado, cada cliente corre con su propio usuario de sistema, su propio proceso de PHP y sus ficheros fuera del alcance de los demás. Si el vecino se infecta, es su problema.
En uno mal montado, todas las webs corren con el mismo usuario. Ahí, un fichero malicioso subido a través de la web de al lado puede leer y escribir en la tuya. No es teoría: es el mecanismo por el que una infección se extiende a docenas de sitios de un mismo servidor en una sola noche.
Cómo saber en cuál estás
Pregunta a tu proveedor estas tres cosas, por escrito:
- ¿Cada cuenta corre con un usuario de sistema propio y un pool de PHP separado?
- ¿Está limitado el acceso a ficheros fuera del directorio de la cuenta?
- Si una cuenta del servidor se ve comprometida, ¿qué impide que afecte a las demás?
Una respuesta clara y concreta es buena señal. Una respuesta comercial y vaga también te dice algo. Es exactamente el tipo de criterio que planteamos en cómo elegir hosting sin que te den gato por liebre.
El punto crítico del VPS: eres el administrador
Un VPS da aislamiento, pero te entrega también todas las obligaciones: parches del sistema, versión de PHP, cortafuegos, acceso remoto, copias y vigilancia. Si nadie hace ese trabajo, un VPS abandonado es menos seguro que un compartido decente, porque el compartido al menos tiene a alguien parcheando el sistema.
La pregunta honesta antes de contratar uno: ¿quién va a aplicar las actualizaciones del sistema el mes que viene? Si la respuesta es «ya lo miraremos», no es la opción correcta.
Lo mínimo en un VPS
- Actualizaciones de seguridad del sistema automáticas o revisadas cada mes.
- Acceso remoto por clave, nunca por contraseña, y sin usuario administrador directo.
- Cortafuegos con lo mínimo abierto: web, correo si toca, y poco más.
- Copias fuera de la propia máquina. Una copia dentro del servidor que has perdido no es una copia: qué debe incluir de verdad.
- Vigilancia de disco y de carga, para enterarte antes que tus clientes.
Señales de que te has quedado corto con tu plan actual
- La web se cae en cuanto entra una campaña de publicidad o sales en prensa.
- Tu proveedor no te deja cambiar la versión de PHP, o sigues en una sin soporte.
- No puedes ver los registros de acceso, o los borran cada 24 horas: sin ellos no hay forma de investigar nada (por qué importan).
- Te han suspendido la cuenta alguna vez por «consumo» sin explicación detallada.
- No hay forma de restaurar una copia tú mismo, sin abrir un ticket y esperar dos días.
- Ya has tenido una infección y no fuiste capaz de saber por dónde entró.
Importante: cambiar de plan no limpia una web que ya está comprometida. Si te llevas la infección en la migración, la tendrás igual en un servidor más caro. Primero se resuelve el incidente, después se migra.
Lo que no cambia, elijas lo que elijas
El tipo de alojamiento no te exime de lo básico, porque la mayoría de las intrusiones que limpiamos no entran por el servidor: entran por la web.
- Plugins y tema al día: cómo actualizar sin romper nada.
- Menos plugins: cuántos deberías tener.
- Accesos con segundo factor y roles ajustados: roles y permisos.
- Permisos de ficheros correctos: los números que tocan.
Y una consideración legal
Tu proveedor de alojamiento es encargado del tratamiento de los datos personales que hay en tu web. Eso implica contrato firmado, garantías suficientes y saber dónde están alojados los datos. Cuando compares proveedores, pide también ese contrato: forma parte de la diligencia que se te exige, no es papeleo opcional.
Si quieres contrastar el planteamiento con una fuente pública, las guías de INCIBE para empresas desarrollan los criterios de contratación de servicios en la nube.
Seguir leyendo en esta sección
- Migrar de hosting sin romper la web ni el correo: checklist
- Cómo elegir hosting para tu empresa sin que te den gato por liebre
- Errores de certificado SSL más comunes y cómo solucionarlos
- Copias de seguridad de una web: qué deben incluir y cada cuánto hacerlas
- Certificado SSL: cuál necesita tu web y cuánto deberías pagar por él
- Cuánto cuesta un hosting seguro para una pyme (y qué estás pagando)
Ver todo en Hosting, certificados y copias → · Mapa completo del sitio