Una web sin copias de seguridad no es un activo digital: es una cuenta atrás. Basta un error al desplegar, un plugin comprometido o un borrado accidental en el panel de hosting para dejar sin servicio la página que genera consultas. Las copias de seguridad en tu web de empresa convierten un drama de horas en un incidente gestionable, siempre que sepas qué respaldar, con qué frecuencia y cómo restaurar sin improvisar.
En noviembre, cuando muchas pymes refuerzan campañas y actualizan landings de temporada alta, el riesgo sube: más cambios en producción, más usuarios con acceso al CMS y menos tiempo para probar bien cada despliegue. Esta guía resume una estrategia práctica para webs corporativas y tiendas online sin equipo de infraestructura dedicado.
Por qué el hosting «ya hace backups» no basta
La mayoría de alojamientos ofrecen copias automáticas, pero suelen ser semanales, compartidas con otros clientes del mismo nodo y pensadas para su propia continuidad, no para recuperar tu última versión de ayer a las 18:00.
Las condiciones del contrato marcan retención (7, 14 o 30 días), alcance (¿solo base de datos? ¿también ficheros?) y tiempo de restauración. Si no lo has leído, asumes cobertura que quizá no existe. Una política propia —aunque sea simple— cierra ese hueco y te permite demostrar diligencia si hay auditoría o reclamación RGPD.
Qué debes respaldar en una web de empresa
- Base de datos. Contenidos, pedidos, formularios guardados, usuarios y configuración del CMS.
- Código y plantillas. Tema, plugins personalizados, y el repositorio Git si desarrollas a medida.
- Medios subidos. Imágenes, PDFs, catálogos y ficheros que no están en Git.
- Variables de entorno y secretos. Cópia cifrada de
.env, claves API, certificados y credenciales SMTP (nunca en el mismo sitio que la web pública). - Configuración DNS y correo. Registros SPF, DKIM, MX; si pierdes el dominio o el correo corporativo, recuperar la web no restaura el negocio.
Si tu sitio depende de integraciones, documenta también webhooks y automatizaciones externas. En otro artículo vimos cómo conectar el formulario web con el CRM: sin backup de esa configuración, un restore deja leads huérfanos.
Regla 3-2-1 adaptada a pymes
El principio clásico —tres copias, dos soportes distintos, una off-site— sigue vigente aunque lo simplifiques:
- Copia en el servidor (rápida, para errores menores).
- Copia diaria en almacenamiento externo (S3, Backblaze, otro datacenter).
- Copia mensual inmutable (protección ante ransomware que cifra también los backups recientes).
No necesitas hardware caro: un bucket con versionado y una alerta si falla el job ya te separa del 80 % de empresas que nunca han restaurado nada.
Con qué frecuencia programar cada copia
- Base de datos: diaria como mínimo; cada hora si hay tienda online con stock y pedidos frecuentes.
- Ficheros: diaria si el equipo sube contenido a menudo; semanal si el catálogo es estable.
- Copia completa (full): semanal, con incrementales entre medias.
- Antes de cada despliegue relevante: snapshot manual con nombre y ticket (Black Friday, nuevo blog, migración).
Combina esto con monitorización y uptime: saber que la web está caída es útil; tener a qué versión volver lo es aún más.
Dónde guardar las copias (y qué evitar)
Guardar el backup solo en el mismo VPS que la web es como guardar la llave de casa debajo del felpudo. Prioriza destinos separados: object storage con cifrado en reposo, otra región geográfica y acceso con credenciales distintas al panel de hosting.
Evita backups solo en el email del fundador, en un único disco externo sin cifrar o en carpetas sincronizadas sin control de versiones (Dropbox/Drive pueden propagar borrados o malware).
Prueba de restauración: el paso que casi nadie hace
Un backup que nunca has restaurado es una promesa sin verificar. Programa, al menos trimestralmente, una prueba en entorno aislado:
- Restaurar base de datos y comprobar que el login del CMS funciona.
- Verificar enlaces internos, imágenes y formularios de contacto.
- Medir tiempo real de recuperación (RTO) y cuántos datos perderías (RPO).
Documenta el proceso en una checklist interna. Si dependes de una agencia, exige informe de prueba al año. El artículo sobre la checklist para lanzar tu web de empresa encaja con este hábito: lanzar sin plan de vuelta atrás multiplica el coste del incidente.
Ransomware, hackeos y borrados maliciosos
Un atacante con acceso al panel suele eliminar backups accesibles desde el mismo login. Mitigaciones básicas:
- Cuentas de administrador con MFA obligatorio.
- Backups con credenciales dedicadas y permisos de solo escritura desde el servidor.
- Retención inmutable o «air gap» para copias semanales.
- Revisar integridad de ficheros y logs tras incidentes.
Refuerza la superficie con cabeceras de seguridad HTTP y control de accesos. La recuperación post-hackeo casi siempre implica restore limpio + rotación de claves, no «parchear y seguir».
Copias y RGPD
Las copias contienen datos personales si tu web guarda formularios, pedidos o cuentas. Eres responsable también del backup: cifrado, acceso limitado, plazo de conservación y borrado cuando ya no proceda.
Si restauras en un servidor de pruebas, anonimiza o usa datos ficticios. No copies producción a un portátil sin cifrar. Alinea la política de backups con tu política de privacidad publicada.
Errores frecuentes
- Confiar solo en el backup del hosting sin comprobar retención.
- Restaurar encima de producción sin aislar primero el fallo (pierdes evidencia forense).
- Olvidar medios subidos: la base de datos vuelve, las imágenes no.
- No versionar código: el backup de ficheros no sustituye Git.
- Programar backups a la misma hora que mantenimiento pesado del servidor.
Checklist rápida para noviembre
- Confirmar que existe backup externo diario de BD y ficheros.
- Snapshot manual antes de cambios de campaña de temporada alta.
- Probar un restore en staging o local en menos de 60 minutos.
- Verificar que el equipo sabe a quién llamar y qué datos hacen falta.
- Revisar que los backups no caducan antes del fin de año.
Siguiente paso
Si hoy no sabes cuánto tardarías en recuperar la web ni qué perderías desde el último backup válido, prioriza una prueba de restauración esta semana. Menos presentaciones y más certeza: esa es la diferencia entre «tenemos hosting» y «tenemos continuidad de negocio».
