Tu tienda online, tu portal de clientes o la plataforma que desarrollasteis hace unos años sigue funcionando. Factura, los usuarios entran cada día y nadie se queja. Así que nadie la ha vuelto a revisar a fondo desde que se puso en marcha.
El problema es que "funciona" no significa "es segura". Una plataforma que lleva años en producción sin auditarse acumula riesgos que no se ven desde fuera: librerías con vulnerabilidades descubiertas después, versiones que ya no reciben parches, accesos que nadie recuerda haber dado. Y los atacantes no esperan a que tengas tiempo de mirarlo.
En este artículo te explicamos por qué una plataforma se vuelve insegura aunque nadie la toque, qué agujeros aparecen con más frecuencia y por qué una auditoría preventiva de 4 horas puede darte una foto real de cómo está tu código en producción.
En resumen: el software envejece aunque no se modifique. Revisar periódicamente la seguridad de tus plataformas online y analizar su código fuente es la forma más barata de encontrar los agujeros antes que un atacante.
Por qué una plataforma se vuelve insegura sin que nadie la toque
Es habitual pensar que si nadie ha cambiado el código, la plataforma sigue igual de segura que el día que se lanzó. No es así: lo que cambia es todo lo que la rodea.
- Se descubren vulnerabilidades nuevas en código antiguo. Las librerías, frameworks y plugins que usa tu plataforma eran seguros cuando se instalaron, pero cada mes se publican fallos nuevos que afectan a versiones ya existentes. El código que estaba bien en 2021 puede tener hoy una vulnerabilidad pública con instrucciones para explotarla.
- Las versiones dejan de recibir parches. Todo software tiene fecha de caducidad. PHP, por ejemplo, da cuatro años de soporte a cada versión: las versiones 7.4, 8.0 y 8.1 ya no reciben ninguna corrección de seguridad, y la 8.2 dejará de recibirlas el 31 de diciembre de 2026. Lo mismo ocurre con frameworks, CMS, bases de datos y sistemas operativos.
- Las personas cambian, los accesos se quedan. Antiguos empleados, proveedores que ya no trabajan contigo o cuentas de prueba que nadie borró pueden seguir teniendo acceso al panel, al servidor o al repositorio.
- Los ataques se han automatizado. Hay bots que rastrean internet sin descanso buscando plataformas con versiones vulnerables conocidas. No necesitas ser un objetivo interesante: basta con ser un objetivo fácil.
Los datos lo confirman. Según el Data Breach Investigations Report 2026 de Verizon, el 31 % de las brechas de seguridad ya empieza con la explotación de una vulnerabilidad de software, que por primera vez supera al robo de contraseñas como principal vía de entrada. Y las empresas tardan cada vez más en corregir: la mediana para parchear por completo una vulnerabilidad ha pasado de 32 a 43 días, y solo el 26 % de las vulnerabilidades que se sabe que están siendo explotadas acaba totalmente corregida.
Los agujeros de seguridad más habituales en plataformas sin auditar
Cuando una plataforma lleva años sin revisarse, estos son los problemas que aparecen con más frecuencia:
- Dependencias y plugins con vulnerabilidades conocidas: librerías desactualizadas o plugins abandonados por sus autores que siguen instalados en producción.
- Versiones sin soporte: del lenguaje, del framework, del CMS o del propio servidor, que ya no reciben parches de seguridad.
- Control de acceso defectuoso: usuarios que pueden ver o modificar datos que no les corresponden. Es el riesgo número uno del OWASP Top 10:2025, la referencia del sector en seguridad de aplicaciones web.
- Credenciales en el código fuente: contraseñas, claves de API o tokens escritos directamente en el código o en el historial del repositorio, como explicamos en nuestra guía sobre la auditoría de Git y la auditoría de código.
- Configuración insegura: paneles de administración expuestos, modos de depuración activados en producción, mensajes de error que revelan información interna o cabeceras de seguridad ausentes.
- Cuentas y accesos olvidados: usuarios con permisos de administrador que ya no deberían existir.
- Copias de seguridad que nunca se han probado: existen, pero nadie sabe si se pueden restaurar cuando hacen falta.
Ninguno de estos problemas se ve usando la plataforma con normalidad. Por eso pasan años sin que nadie los detecte.
Señales de que tu plataforma necesita una revisión ya
Si te reconoces en alguna de estas situaciones, es buen momento para auditar:
- No sabes cuándo se actualizó por última vez el framework, el CMS o las librerías de la plataforma.
- El desarrollador o el proveedor original ya no está. Si has heredado el proyecto, también puede interesarte nuestra auditoría de proveedor de software y segunda opinión.
- La plataforma trata datos personales o pagos de clientes.
- En el equipo se aplica el "si funciona, no lo toques" y nadie se atreve a actualizar nada.
- Has notado comportamientos extraños: picos de tráfico sin explicación, usuarios desconocidos o lentitud repentina.
Revisar la seguridad periódicamente también es una obligación
Además de ser una buena práctica, la revisión periódica tiene respaldo legal. Si tu plataforma trata datos personales, el artículo 32 del Reglamento General de Protección de Datos (RGPD) pide contar con un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas de seguridad. Y si se produce una brecha, el artículo 33 obliga a notificarla a la autoridad de control, en España la AEPD, en un máximo de 72 horas desde que se tiene constancia de ella.
Dicho de otra forma: tu empresa necesita poder demostrar que revisa la seguridad de sus sistemas, no solo que la tuvo en cuenta cuando los construyó.
Prevenir antes de reaccionar
La diferencia entre auditar antes y descubrir el problema después es enorme:
| Auditoría preventiva | Después de un incidente | |
|---|---|---|
| Quién encuentra el fallo | Tu equipo o un experto de confianza | Un atacante, un cliente o un tercero |
| Plazos | Los decides tú y planificas la corrección | Urgentes, con la plataforma comprometida y 72 horas para notificar si hay datos personales afectados |
| Coste | Acotado y previsible | Recuperación, horas extra, posibles sanciones y pérdida de ventas |
| Impacto en clientes | Ninguno | Datos expuestos, servicio caído y confianza dañada |
| Reputación | Demuestra diligencia | Puede acabar en los titulares |
Qué puede destapar una auditoría preventiva de 4 horas
No hace falta empezar con un proyecto largo para saber cómo está tu plataforma. En una auditoría preventiva de 4 horas, un desarrollador senior analiza tu código fuente y tu plataforma en producción, sin interrumpir su funcionamiento, y se centra en los puntos donde suelen esconderse los riesgos más graves.
El objetivo es que veas el alcance real de los riesgos y el nivel de protección de tu código en producción. Es habitual que en esa primera revisión aparezcan agujeros de seguridad que nadie sabía que existían. Al terminar, sabrás qué es urgente, qué puede esperar y si tu plataforma necesita un análisis más profundo.
En MiTSoftware auditamos y mantenemos plataformas de clientes dentro de nuestros servicios de ciberseguridad para empresas y de revisión y consultoría de software. Si parte del código de tu plataforma se ha generado con IA, también te recomendamos leer nuestra guía sobre la auditoría técnica del código generado por IA.
Cada cuánto conviene revisar la seguridad de una plataforma online
No hay una frecuencia única, pero estas pautas funcionan para la mayoría de empresas:
- Al menos una vez al año, aunque la plataforma no haya cambiado.
- Después de cambios importantes: nuevas funcionalidades, integraciones con terceros o migraciones de servidor.
- Al heredar un proyecto de otro proveedor o equipo.
- Antes de un hito de negocio: una ronda de inversión, un lanzamiento o un cliente grande que pida garantías.
Entre auditoría y auditoría, lo recomendable es mantener actualizadas las dependencias y vigilar los avisos de seguridad del software que usas.
Preguntas frecuentes sobre auditorías de seguridad preventivas
Si mi plataforma funciona bien, ¿para qué auditarla?
Porque que funcione no significa que sea segura. Las vulnerabilidades no suelen afectar al funcionamiento normal: se descubren cuando alguien las explota. Una auditoría preventiva las busca antes.
¿La auditoría afecta a mi plataforma en producción?
No. La revisión se hace sin interrumpir el servicio y siempre con tu autorización. Si algún hallazgo requiere una prueba más profunda, se planifica contigo.
¿Qué pasa si se encuentra un problema grave?
Te lo comunicamos de inmediato, con una explicación clara del riesgo y de cómo corregirlo. Si lo necesitas, podemos encargarnos también de la corrección.
¿En qué se diferencia de una auditoría de código completa?
La auditoría preventiva es un primer diagnóstico centrado en los riesgos de seguridad más graves de tu plataforma en producción. Una auditoría completa revisa en profundidad el código, el repositorio y la arquitectura; te lo explicamos en nuestra guía sobre la auditoría de Git y la auditoría de código.
¿Cada cuánto debo repetirla?
Lo recomendable es al menos una vez al año y siempre que la plataforma cambie de forma importante o cambie el equipo que la mantiene.
No esperes a que un atacante audite tu plataforma por ti
Si tu plataforma online lleva años sin revisarse, lo más probable no es que esté perfecta, sino que nadie ha mirado. Las vulnerabilidades se acumulan con el tiempo aunque el código no cambie, y hoy son la principal vía de entrada de los atacantes. Revisar la seguridad de forma periódica y analizar el código fuente es la manera de encontrar esos agujeros cuando todavía son baratos de cerrar.
¿Quieres saber cómo está realmente tu plataforma? Contacta con nosotros y te haremos una auditoría preventiva de 4 horas para que veas el alcance real de los riesgos y el nivel de protección de tu código fuente en producción.
