Pagas un mantenimiento web todos los meses y, si te preguntan qué cubre exactamente, no sabrías responder. O peor: te han hackeado la web, se la has mandado a tu proveedor y te ha llegado un presupuesto aparte por limpiarla. La discusión de «esto entraba o no entraba» siempre se pierde por el mismo motivo: no hay nada por escrito, y donde no hay letra manda quien factura.
n
Este artículo es la lista de cláusulas concretas que debe llevar ese contrato, escritas en un idioma que puedes copiar y pegar en un correo. No es asesoramiento jurídico: es lo que puedes exigir hoy aunque lleves años con el mismo proveedor y una relación estupenda. Precisamente porque es buena conviene ponerlo por escrito ahora, y no el día del incidente.
nn
Qué incluye de verdad un mantenimiento web de 30 euros al mes
n
Hagamos la cuenta sin dramatismos. Treinta euros al mes compran, con suerte, unos minutos de atención humana: pulsar el botón de actualizar en la pantalla de Plugins, dejar activa la copia automática del hosting y contestar si la web se cae del todo.
n
Lo que casi nunca cabe, y la gente da por hecho que sí:
n
- n
- Comprobar que la actualización no ha roto nada (el formulario, el carrito, la maquetación de una plantilla).
- Verificar que la copia de seguridad se restaura, que no es lo mismo que verificar que existe.
- Mirar los registros del servidor de vez en cuando para detectar algo raro antes de que reviente.
- Limpiar la web si te entran.
- Avisarte de un incidente en un plazo que te permita cumplir con tus propias obligaciones.
n
n
n
n
n
n
No es un timo: es un precio que compra vigilancia mínima. El problema aparece cuando el cliente cree que ha comprado un seguro y lo que tiene es un recordatorio mensual.
n
Hay una pregunta que te da la respuesta en treinta segundos: pregúntale a tu proveedor cuándo fue la última vez que restauró una copia tuya para comprobar que funcionaba. Si te contesta con una fecha y en qué entorno lo hizo, tienes un buen proveedor. Si te contesta «las copias se hacen todos los días», ya sabes qué compraste.
nn
Contrato de encargo del tratamiento: cláusulas mínimas del artículo 28
n
Antes de las cláusulas técnicas hay una base legal que falta en la mayoría de los contratos de mantenimiento del mercado. Quien entra en tu panel y ve los datos de tus clientes es un encargado del tratamiento, igual que tu hosting, y el RGPD exige un contrato escrito con un contenido mínimo: instrucciones documentadas, deber de confidencialidad, medidas de seguridad, régimen de subcontratación, asistencia en los derechos de los interesados y en las brechas, devolución o supresión de los datos al terminar y obligación de facilitarte información para demostrar que cumple.
n
Lo habitual es que el contrato de mantenimiento sea un presupuesto de una página y que ese anexo no exista. Pedirlo no es desconfianza: es un requisito, y un proveedor profesional lo tiene hecho. Si no tienes claro qué más te obliga a ti como empresa más allá de este contrato, empieza por el mapa general de normativa de protección de datos y ciberseguridad para pymes en España.
nn
Copias de seguridad: frecuencia, retención, ubicación y prueba de restauración
n
«Hacemos copias de seguridad» no significa nada. Una cláusula útil fija cuatro parámetros:
n
- n
- Frecuencia. Según lo que cambie tu web. Una tienda con pedidos necesita copia diaria como mínimo; una web corporativa que se toca dos veces al mes puede vivir con copia semanal más una copia previa a cada cambio.
- Retención. El fallo más caro. Muchos hostings guardan siete días, y una infección puede tardar semanas en dar la cara: cuando quieres tirar de copia limpia, todas las que tienes ya están infectadas. El criterio no es un número mágico: la retención tiene que ser más larga que lo que tardarías en detectar un problema.
- Ubicación. Fuera del mismo servidor y fuera de la misma cuenta de hosting. Una copia que vive dentro de la máquina comprometida no es una copia, es un archivo más que el atacante puede borrar o cifrar.
- Prueba de restauración. Al menos una al año, documentada: fecha, quién la hizo, en qué entorno y cuánto se tardó. Ese último dato es el que te dice cuántas horas estarías parado el día malo.
n
n
n
n
n
Redactado cabe en una frase: el proveedor realizará copia completa de ficheros y base de datos con frecuencia X, con retención de Y días, almacenada fuera de la infraestructura del alojamiento principal, y ejecutará al menos una restauración de prueba documentada cada N meses. Las copias son, además, la medida técnica que más se invoca cuando hay un expediente de por medio; el porqué lo explico al hablar de qué son las medidas de seguridad apropiadas del RGPD traducidas a una pyme.
nn
Actualizaciones y ventana de parcheo: el plazo debe estar por escrito
n
Hay dos cosas distintas y conviene separarlas en el contrato. La rutina periódica: revisar núcleo, plugins y tema una vez al mes y comprobar que la web sigue funcionando. Y el parche urgente: sale una vulnerabilidad grave en un plugin que tú tienes instalado y se está explotando. Esa segunda no puede esperar a la revisión mensual, porque los ataques automatizados empiezan a los pocos días del aviso.
n
La cláusula debe decir tres cosas:
n
- n
- El plazo máximo para aplicar un parche crítico desde que se publica el aviso.
- Qué se hace si no se puede actualizar (porque el plugin viene dentro del tema, porque rompe la maquetación o porque la licencia está caducada): medida de contención temporal y aviso al cliente por escrito explicando el riesgo que se asume.
- Quién responde si la actualización rompe la web, y en cuánto tiempo se revierte.
n
n
n
n
Aquí toca ser honesto: exigir un parcheo en 24 horas a un proveedor de 30 euros al mes es irreal, y si te lo firma no lo va a cumplir. Ajusta el plazo a lo que pagas, pero que exista un plazo por escrito.
nn
Si te atacan: quién limpia, quién paga y en cuánto tiempo
n
Este es el apartado que nadie mira hasta que lo necesita, y entonces ya es tarde. Tres preguntas que deben tener respuesta escrita:
n
- n
- ¿La limpieza está incluida o se factura aparte? Y si se factura aparte, a qué tarifa por hora y con qué tope aproximado.
- ¿En cuánto tiempo se empieza a trabajar desde que se reporta el incidente? Incluyendo fines de semana, que es cuando pasan estas cosas.
- ¿Qué pasa si el ataque entró por algo que el proveedor tenía que haber actualizado? Esa es la cláusula clave: si el incidente deriva del incumplimiento de la ventana de parcheo pactada, la limpieza corre de su cuenta.
n
n
n
n
Y una nota de realidad sobre dinero. Limpiar bien una web comprometida es trabajo de horas: localizar el punto de entrada, buscar las puertas traseras (que casi nunca son una sola), revisar la base de datos, cambiar todas las credenciales y verificar el resultado desde fuera. En nuestro caso una limpieza completa con informe se mueve en el entorno de los 500 euros. Ningún mantenimiento de 30 euros al mes absorbe eso sin condiciones, así que si tu contrato dice que la limpieza está incluida sin más matices, léelo dos veces: probablemente incluya «restaurar la última copia», que no es limpiar, es tapar. Lo que hay que hacer de verdad después de un ataque, y en qué orden, está en el artículo sobre qué obligaciones legales tienes cuando te atacan la web.
nn
Notificación de incidentes al cliente: el plazo que te permite cumplir las 72 horas
n
El RGPD dice que el encargado debe avisar al responsable «sin dilación indebida». Eso no es un número, y sin número no se puede reclamar. Pon tú el número.
n
Una cláusula que funciona fija: un plazo máximo de 24 horas desde la detección o desde la sospecha razonable, un canal concreto (llamada telefónica más correo a una persona nombrada, no un formulario de soporte genérico) y un contenido mínimo del aviso: qué ha ocurrido, cuándo se detectó, qué sistemas están implicados, qué datos pueden estar afectados y qué se ha hecho hasta ese momento.
n
Añade además dos frases que evitan el problema más frecuente del sector: la prohibición expresa de «arreglarlo en silencio» y la obligación de conservar las evidencias (registros del servidor, ficheros sospechosos, copia del estado comprometido) antes de restaurar nada. Es muy habitual que el proveedor detecte el problema, restaure una copia y borre por el camino las únicas pruebas de a qué datos se accedió. Sin ellas no puedes decidir si tienes que notificar ni demostrar lo que ocurrió.
nn
Salida del contrato: entrega de accesos, copias y borrado
n
El día que quieras cambiar de proveedor descubrirás si el contrato estaba bien hecho. Lo que debe estar escrito:
n
- n
- Entrega completa de accesos en un plazo determinado: panel del hosting, registrador del dominio, DNS, correo, usuario administrador de WordPress, licencias de plugins y temas.
- Copia completa exportable en formato estándar (ficheros y volcado de la base de datos), no un formato propietario que solo abra su herramienta.
- Colaboración en la migración a una tarifa pactada de antemano, para que no te la inventen en el peor momento.
- Supresión de los datos que el proveedor conserve cuando acabe la relación, con confirmación por escrito.
- Una cláusula que impida retener los accesos por facturas en disputa. Si te deben o les debes, eso se reclama por la vía que corresponda, no secuestrando la web de un negocio.
n
n
n
n
n
n
Y una comprobación que puedes hacer hoy sin esperar a nada: entra en el registrador de tu dominio y mira quién figura como titular. Si aparece tu agencia y no tu empresa, ese es el problema más urgente que tienes, por encima de todo lo anterior.
nn
Diez preguntas para hacerle hoy a tu proveedor actual
n
- n
- ¿Tenemos firmado un contrato de encargado del tratamiento?
- ¿Cada cuánto se hacen copias, cuánto tiempo se guardan y dónde?
- ¿Cuándo se restauró por última vez una copia nuestra para comprobar que funciona?
- ¿En cuánto tiempo aplicáis un parche crítico de un plugin?
- ¿Qué plugins tenemos que no se pueden actualizar y por qué?
- ¿En cuánto tiempo y por qué canal nos avisaríais de un incidente?
- Si nos hackean, ¿la limpieza está incluida? ¿Y si el fallo era de algo que teníais que actualizar?
- ¿Quién de vuestro equipo tiene acceso y con qué usuario? ¿Compartís cuenta?
- ¿Tenéis verificación en dos pasos activada en los accesos a nuestra web y a nuestro hosting?
- Si mañana nos vamos, ¿qué nos entregáis y en cuánto tiempo?
n
n
n
n
n
n
n
n
n
n
n
Manda las diez en un correo. La calidad de la respuesta te dirá más de tu proveedor que cualquier auditoría, y te costará cinco minutos.
nn
Si al hacer este repaso te das cuenta de que lo que te falta no es un contrato mejor sino que alguien mire la web de forma continua y avise antes de que el problema sea visible, mira qué incluye una vigilancia continua desde 19 euros al mes. No sustituye al contrato con tu proveedor, pero sí evita que la primera noticia de un incidente te llegue por un cliente.