Seguridad
Seguridad en comercio electrónico para pequeños negocios
Un ataque no se nota cuando ocurre: se nota cuando un cliente denuncia un cobro doble o tu cuenta queda bloqueada. La prevención es más barata que la recuperación.
Un negocio en línea administra tres cosas que un negocio de barrio no: datos personales de terceros, dinero que pasa por pasarelas ajenas y acceso remoto a un sistema abierto al mundo. La buena noticia es que la mayoría de los incidentes se previene con pocas medidas, bien aplicadas.
El panorama de riesgos
| Riesgo | Cómo se ve | Prevención principal |
|---|---|---|
| Robo de credenciales | Un correo que pide «confirmar tu clave» y termina con la tienda bloqueada | Verificación en dos pasos y nunca abrir enlaces arriving del pedido |
| Sitio sin HTTPS | Aviso del navegador, pérdida de confianza y riesgo para los datos | Certificado válido y renovación automática |
| Fuga de datos de clientes | Una lista de correos o teléfonos usada para spam o fraude | Minimizar datos, acceso restringido y respaldo cifrado |
| Cobro duplicado o no entregado | Reclamo de «me cobraron dos veces» o «pagué y no llegó» | Comprobantes, historial de pedidos y respuesta rápida |
| Pérdida del catálogo y los pedidos | Sitio caído, productos borrados, lista de clientes perdida | Copias de seguridad automáticas fuera del servidor |
| Extensiones o temas vulnerables | Cambios extraños en el panel o consultas extrañas en el servidor | Actualizar todo, usar fuentes oficiales y revisar los permisos |
HTTPS y certificates
El candado del navegador es hoy una condición de existencia. Si tu sitio no lo tiene:
- Los navegadores marcan la página como «no segura» y las admoniciones afectan la conversión.
- Los datos de contacto viajan cifrados; sin HTTPS, la información que el cliente escribe en el formulario o en el chat puede ser interceptada.
- Las pasarelas de pago y las plataformas de advertising exigen HTTPS para funcionar correctamente.
La solución es un certificado gratuito y su renovación automática (Let's Encrypt
sirve para la mayoría de los casos); casi todos los hostings lo incluyen en un clic.
Después de instalarlo, comprueba que http redirige a https y
que todas las imágenes y formularios usan la dirección segura.
Phishing: el robo por correo
Es la forma más común de robar el acceso a una tienda. El atacante escribe en nombre de la plataforma de pagos, del hosting o del propio marketplace y pide «actualizar los datos de la tarjeta» o «confirmar la contraseña». La señal está en el detalle: enlace que no lleva al dominio oficial, urgencia repentina, error de escritura, dirección de remitente rara.
- Nunca entres a enlaces recibidos por correo: entra escribiendo tú la dirección en el navegador.
- Activa la verificación en dos pasos con una app de códigos, no solo por mensaje de texto.
- Configura una dirección de recuperación distinta de la del administrador.
- Usa contraseñas únicas para cada servicio, gestionadas con un gestor de contraseñas.
- Verifica los cambios del panel: si aparece un cobro, una fila nueva o un usuario desconocido, actúa de inmediato.
Cuentas, contraseñas y verificación en dos pasos
La tienda no debería depender de una sola persona ni de un solo dispositivo. Un esquema mínimo y razonable:
- Una cuenta de administrador con correo institucional (no el correo personal) y verificación en dos pasos.
- Una cuenta de trabajo separada para quien atiende: acceso limitado, sin permisos de plugin ni de facturación.
- Copias de seguridad automáticas y guardadas fuera del servidor principal, en otro servicio.
- Actualizaciones de plataforma, temas y plugins, con periodicidad definida y sin posponerlas.
- Revisión de accesos cada pocos meses: quién tiene cuenta, qué permisos tiene y qué usuarios respaldan.
Datos personales y la Ley 1581 de 2012
La Ley 1581 de 2012, reglamentada por el Decreto 1377 de 2013, protege los datos personales en Colombia. Para una tienda online, esto significa que:
- Recoger solo lo necesario. Nombre, contacto, dirección de entrega y datos de pago (que procesa la pasarela, no tú) suelen bastar. No pidas fecha de nacimiento, documentos de identidad ni datos de salud si no son imprescindibles.
- Informar antes de recoger. Una política de privacidad visible, con finalidades, tiempo de conservación y con quién se comparten datos (transportadora y pasarela)).
- Tener autorización expresa para el tratamiento y, cuando corresponda, para el uso comercial de los datos. Si quieres hacer publicidad, esa autorización debe ser separada, opcional y revocable.
- Atender los derechos del titular: acceso, rectificación, supresión y presentar una queja.
- Custodiar. Acceso restringido, contraseñas fuertes, copias cifradas y un procedimiento para eliminar datos cuando corresponde.
Atención al dato y a las tarjetas
Si un cliente te pide borrar sus datos, la respuesta debe ser posible en un plazo razonable y explicar qué se elimina y qué se conserva (por ejemplo, los registros contables que la norma exige conservar). Y un principio simple con las tarjetas: jamás guardes el número completo, el código de seguridad ni la fecha de vencimiento. La pasarela de pago se encarga de eso; tu tienda solo recibe un identificador de la operación.
Pagos y tarjetas
- Procesa los pagos en la pasarela, nunca en tu propio formulario.
- Activa el bloqueo de pagos que la pasarela ofrece para compras con características inusuales.
- Revisa la cuenta bancaria con frecuencia y avisa a la pasarela si ves cobros que no reconoces.
- Guarda el comprobante de cada orden y el registro de la conversación con el cliente: es la evidencia que resuelve los reclamos.
- Concilia periódicamente lo que dice tu panel con lo que dice el banco. Las diferencias aparecen por retiros, contracargos y comisiones.
Respaldo y plan de contingencia
Un respaldo que no se ha restaurado nunca es un respaldo. El plan mínimo:
-
Copias automáticas
Del catálogo, los pedidos, la lista de clientes y la configuración del sitio. Con periodicidad diaria.
-
Copia fuera del servidor
En otro servicio o en tu equipo. Si el servidor falla y la copia estaba adentro, no tienes nada.
-
Prueba de restauración
Una vez cada pocos meses, restaura una copia en un entorno de pruebas. Es la única forma de saber que sirve.
-
Documento de contingencia
Un archivo con tus accesos, tus proveedores de pago y envío, y el procedimiento para reaccionar si un canal se cae.
Lista de verificación de seguridad
- HTTPS con renovación automática y redirección desde http
- Verificación en dos pasos activada en todas las cuentas críticas
- Contraseñas únicas guardadas en un gestor, con permiso mínimo por persona
- Plugins, temas y plataforma actualizados, todos de origen confiable
- Copias de seguridad automáticas y una copia fuera del servidor, probada
- Política de privacidad publicada y acorde con lo que realmente haces
- Listado de Consentimientos y forma deronic para los titulares
- Canal de reporte de incidentes y procedimiento de respuesta
Siguiente paso
Quién escribe y mantiene este sitio
Gina Luz Royet Jiménez
Cédula de Ciudadanía 1.129.502.388 · Bogotá, D. C., Colombia
Correo: yudypena891@gmail.com ·
Consultas gratuitas: 324 686 8281
Sitio informativo y educativo de carácter personal. No es una empresa, no acepta pedidos, no cobra por el contenido y no recibe comisiones de ninguna plataforma. Todo el material es de elaboración propia y se apoya en referencias oficiales y públicas.