La frase «proteger web con SSL y backups» suena a checklist de agencia, pero en la práctica se aprende a golpes. Hace unos años llevaba la web de una pequeña gestoría familiar. Todo iba bien hasta que un viernes por la tarde el hosting renovó el certificado y lo instaló mal. El navegador empezó a mostrar el aviso de conexión no privada. Nadie lo notó hasta el lunes.
Para entonces, Google había marcado el dominio como no seguro en los resultados, Chrome bloqueaba el formulario de contacto y dos clientes potenciales habían llamado por teléfono porque «la web estaba rota». El dueño me pidió explicaciones. Yo tenía backups, sí. Pero el backup más reciente era de hacía once días.
Qué falla cuando solo piensas en el candado verde
El primer error fue creer que tener SSL era sinónimo de estar protegido. Un certificado cifra la conexión, no arregla una configuración mal aplicada ni evita que el sitio se caiga. Cuando el hosting falló al renovar, el SSL caducó sin que nadie recibiera un aviso claro. La protección real pasa por monitorizar la fecha de expiración y probar la cadena completa, no solo el candado del navegador.
El segundo error fue más caro: los backups estaban en el mismo servidor que la web. Cuando el host tuvo un problema de disco, el backup se corrompió junto con la base de datos. Un backup que vive en el mismo sitio que el original no es un backup, es una copia de seguridad con fecha de caducidad.
Lo que aprendí sobre backups que sí sirven
Después de ese episodio, cambié el enfoque. Ahora cualquier proyecto que toco tiene tres capas: copia automática diaria en el hosting, copia externa en un almacenamiento distinto (S3, un NAS o incluso un disco cifrado) y una copia manual antes de cada actualización grande. Esa tercera capa es la que salva el día cuando un plugin rompe la base de datos.
También descubrí un detalle que mucha gente ignora: un backup de archivos sin la base de datos no sirve para WordPress, y una base de datos sin los uploads tampoco. Hay que restaurar ambos y probarlo. Hice una restauración completa en un entorno de staging y descubrí que el backup automático del hosting excluía la carpeta de imágenes por tamaño. Nunca lo habría sabido sin probar.
SSL: no basta con instalarlo
El certificado SSL protege la transmisión de datos entre el usuario y el servidor, pero no evita ataques al propio servidor ni errores de configuración. Un caso típico: instalar el certificado pero dejar recursos cargados por HTTP. El navegador sigue marcando el sitio como mixto y el candado aparece tachado. La solución es forzar HTTPS con una redirección 301 y revisar que todas las imágenes y scripts usen rutas relativas o protocolo seguro.
Otro escenario que veo a menudo en webs domésticas o de autónomos: certificados gratuitos de Let’s Encrypt que se renuevan cada 90 días y que fallan si el cron del servidor se detiene. La renovación automática no es magia; si el servidor no ejecuta la tarea, el certificado caduca. Un monitor externo que avise con antelación es la diferencia entre un susto y una caída de días.
Un caso profesional donde el backup salvó el proyecto
En una tienda online de artesanía, el cliente insistió en instalar un plugin de caché muy agresivo. La web voló en velocidad, pero al tercer día el carrito dejó de funcionar. El plugin había corrompido la tabla de sesiones. Restauramos el backup de la base de datos de esa misma mañana y desactivamos el plugin. Perdimos dos horas de pedidos, no dos semanas.
La lección: proteger web con SSL y backups no es un trámite de instalación, es un proceso continuo de verificación. Y no funciona igual para todos. En una web estática sin base de datos, el backup es trivial y el SSL se gestiona en el CDN. En un WordPress con woocommerce, la cosa cambia: necesitas backups incrementales, pruebas de restauración y un plan para no perder pedidos.
Limitaciones que conviene asumir
Ningún sistema de backups evita un borrado accidental si el backup se ejecuta después del error y sobrescribe la copia buena. Por eso conviene mantener versiones rotativas y no solo la última. Tampoco el SSL evita un defacement ni un malware inyectado en el servidor. Son capas distintas de un mismo problema.
Si tu presupuesto es cero, puedes empezar con Let’s Encrypt y un backup manual semanal descargado a tu ordenador. No es lo ideal, pero es infinitamente mejor que confiar en que el hosting lo hace todo. Y si el proyecto es crítico, invierte en un servicio externo de backups y en un monitor de disponibilidad. La tranquilidad no se mide en euros, se mide en no recibir la llamada del cliente un lunes por la mañana.
Perfiles verificables: Sitio web
Publicado el 31 de October de 2026. Última revisión: 31 de October de 2026.