La seguridad web para pymes empieza por pocos hábitos: activar la verificación en dos pasos, actualizar el software, hacer copias de seguridad que sí puedas restaurar y dar a cada persona solo el acceso que necesita. Con eso cubres buena parte de los riesgos más comunes que lista OWASP, la referencia que usa el sector.
Aquí tienes los 10 riesgos de la edición 2025 en lenguaje sencillo y 7 hábitos para empezar hoy.
¿Qué es el OWASP Top 10 y por qué importa?
Es la lista de los diez riesgos de seguridad más críticos en aplicaciones web, publicada por OWASP. La edición 2025 es la primera actualización desde 2021 (The Register). No es una norma que debas «cumplir»: es un mapa para saber dónde suelen fallar los sitios.
¿Cuáles son los 10 riesgos de OWASP 2025?
La lista oficial está en top10.owasp.org. Así se entiende cada uno:
| # | Riesgo | En palabras simples |
|---|---|---|
| A01 | Control de acceso roto | Alguien puede ver o hacer lo que no le corresponde, como un empleado que entra a la caja fuerte |
| A02 | Configuración de seguridad incorrecta | Puertas abiertas por defecto: ajustes que nadie revisó |
| A03 | Fallas en la cadena de suministro de software | El problema viene de una pieza de terceros que usas, como una librería |
| A04 | Fallos criptográficos | Datos que viajan o se guardan sin protección adecuada |
| A05 | Inyección | Texto que alguien escribe y el sistema ejecuta como una orden |
| A06 | Diseño inseguro | La seguridad no se pensó desde el principio |
| A07 | Fallos de autenticación | Inicios de sesión débiles o que se pueden saltar |
| A08 | Fallos de integridad de software o datos | Confiar en código o datos sin comprobar que no fueron alterados |
| A09 | Fallos de registro y alertas | Pasa algo malo y nadie se entera |
| A10 | Manejo incorrecto de condiciones excepcionales | Errores que el sistema no sabe manejar y abren un hueco |
El primero, el control de acceso roto, sigue en la cima de la lista (The Register). La cadena de suministro de software (A03) es una categoría nueva en esta edición.
¿Qué 7 hábitos mejoran la seguridad web para pymes?
- Verificación en dos pasos en el correo y las cuentas críticas. CISA explica que, aunque alguien robe tu contraseña, el segundo paso puede bloquear el acceso; y recomienda activarla en toda cuenta o app que la ofrezca (CISA). Empieza por el correo, porque desde ahí se recuperan las demás cuentas.
- Actualizaciones automáticas. Muchas actualizaciones corrigen fallos de seguridad, así que posponerlas deja abiertas debilidades conocidas. CISA recomienda activar las automáticas (CISA). Prioriza el navegador y el sistema.
- Copias de seguridad 3-2-1. Tres copias, en dos tipos de almacenamiento y una fuera de tu negocio. CISA agrega protegerlas con cifrado y mantener una copia sin conexión, porque el ransomware busca y borra las copias accesibles (CISA).
- Prueba restaurar. Una copia que no has restaurado es una suposición. Prueba recuperar un archivo y una carpeta completa, y confirma que puedes volver atrás al menos siete días.
- Accesos mínimos. Cada persona usa solo lo que necesita y se retira el acceso cuando alguien se va. Es la defensa contra el riesgo A01.
- Revisa lo de terceros. Plugins, librerías y proveedores son parte de tu superficie de riesgo (A03). Quita lo que no uses y actualiza lo que sí.
- Que te avisen cuando algo falla. Un registro de errores y alertas (A09) te deja enterarte antes que tus clientes.
¿Cómo lo hacemos en Mokev?
Algunos ejemplos de nuestro propio sitio, sin que esto sea una auditoría completa:
- Acceso (A01 y A07). Los permisos se leen de datos del servidor que la persona no puede modificar. Y nuestro inicio de sesión único entre sitios usa códigos de un solo uso, de 256 bits, que caducan a los 60 segundos y se guardan solo como hash.
- Alertas (A09). Usamos Sentry para recibir los errores de producción. En octubre de 2026 nos sirvió para detectar que la versión de un navegador de iPhone no podía abrir una tarjeta digital.
- Terceros (A03). Los scripts de terceros (analítica, píxeles) esperan a que alguien interactúe con la página y no se cargan solos.
Si quieres revisar la seguridad de tu sitio o tienda, mira nuestro servicio de consultoría y desarrollo web, o escríbenos.
Preguntas frecuentes
¿Qué es OWASP?
Es la organización que publica el OWASP Top 10, la lista de los riesgos de seguridad más críticos en aplicaciones web. La edición vigente es la de 2025.
¿Por dónde empiezo si no sé de seguridad?
Con tres cosas: verificación en dos pasos en tu correo, actualizaciones automáticas y copias de seguridad probadas. Son de bajo costo y las recomienda CISA.
¿Qué es la verificación en dos pasos?
Es pedir un segundo dato además de la contraseña, como un código del teléfono o una app autenticadora. Según CISA, si roban tu contraseña, no podrán completar el segundo paso.
¿Con qué frecuencia debo hacer copias de seguridad?
CISA recomienda una solución que se ejecute de forma automática y regular, y probar las restauraciones. Lo adecuado depende de cuánto trabajo puedes permitirte perder.
¿Es lo mismo tener HTTPS que ser seguro?
No. HTTPS protege lo que viaja entre tu sitio y el visitante ([web.dev](https://web.dev/articles/why-https-matters)), pero no cubre los otros riesgos de la lista, como los accesos mal configurados.
