El sitio del cliente está desfigurado. El cliente llama al anfitrión. El anfitrión refiere la agencia. La agencia dice que el contrato de mantenimiento no incluye seguridad. El cliente paga a tres proveedores y nadie tiene el runbook. Este caos no es técnico: es la ausencia de límites escritos.
Están involucrados tres actores: hoster (infraestructura, red, a veces sistema operativo), agencia o integrador (sitio, código, a veces operación), cliente (contenido, datos comerciales, cumplimiento sectorial). Los T&C del alojamiento limitan la responsabilidad del anfitrión; Su contrato de agencia debe complementar, no asumir.
Matriz RACI simplificada
| Dominio | Anfitrión | Agencia | Cliente |
|---|---|---|---|
| Disponibilidad del centro de datos/hipervisor | R | Yo | Yo |
| SO / parches (VPS administrado) | R/A según oferta | C | Yo |
| CMS, complementos, tema | Yo | R/A | C |
| Copias de seguridad probadas por empresas | C | R/A | Un |
| Certificado SSL (Let's Encrypt auto) | R | C | Yo |
| Contenido publicado (texto, imágenes) | Yo | C | R/A |
| Registro RGPD/DPA | Yo | C | R/A |
| Comunicación de incidentes | C | R | Un |
| Denuncia de abuso | R técnico | C | Editorial R |
R = responsable, A = aprobador, C = consultado, I = informado: adáptese a su contrato real.
Ofertas gestionadas: lea en profundidad
- Compartido — host: plataforma, PHP, mensajería limitada. Tú: sitio, actualizaciones, copias de seguridad comerciales.
- VPS no administrado: usted o la agencia: todo excepto el hipervisor.
- VPS o servidor administrado: correcciones del sistema, monitoreo de infraestructura, no necesariamente código de WordPress.
- WordPress administrado: a veces se incluyen actualizaciones principales; a menudo se excluyen los complementos de terceros.
Comparar en el directorio cruzando el tipo de oferta y las competencias internas. Para acceso compartido, consulte Acceso SFTP del equipo.
Evite las áreas grises
- Documento escrito: una página de "quién hace qué incidente".
- Acceso: no se comparte ninguna cuenta entre la agencia y el cliente.
- Catering probado trimestralmente: gerente designado.
- Escalamiento: números de host, agencia y cliente en un solo archivo.
Cada zona gris se convierte en una disputa posterior al incidente. Los tribunales no deciden filosóficamente: leen los términos y condiciones del alojamiento y el formulario de pedido de la agencia.
Un cliente que firma "alojamiento con todo incluido" sin leer los términos y condiciones a menudo descubre, después de piratear, que las actualizaciones de WordPress no estaban cubiertas. La agencia que promete “entrega llave en mano en el sitio” sin una cláusula de mantenimiento posterior al lanzamiento se encuentra en primera línea, sin remuneración por la intervención.
La cumbre: "todo incluido" no existe, sólo "todo vago"
Esto es lo que realmente esconde la palabra “todo incluido”.
Decide y avanza sin puntos ciegos
Durante medio día, podrás aclarar los límites:
- Escriba una matriz RACI de una página.
- Alinear los términos y condiciones de alojamiento, el contrato de agencia y las expectativas del cliente.
- Probar una restauración y comunicación de incidente.
- Revisa cada vez que cambies tu oferta (compartida → VPS).
Comience con una reunión tripartita (cliente, agencia y anfitrión, si es posible) para validar quién aplica los parches, quién restaura y quién se comunica. Sin esta página escrita, cada incidente se convierte en un ping-pong de responsabilidad. Consulte también el plan de reanudación para formalizar las copias de seguridad.
Preguntas frecuentes
¿Es el host responsable del hackeo de WordPress?
Generalmente no para el código de la aplicación y las actualizaciones de CMS, a menos que exista una falla comprobada de infraestructura en el lado del host. El cliente o agencia mantiene la aplicación; el host proporciona el sistema operativo o el hipervisor según la oferta suscrita.
¿Quién debería hacer las copias de seguridad?
Doble vigilancia: la copia de seguridad del “mejor esfuerzo” del host no equivale a la continuidad del negocio. El responsable del tratamiento o el cliente deberán disponer de una copia comprobada periódicamente.
Agencia web: ¿qué alcance actual?
Implementación, temas, complementos y, a veces, mantenimiento: rara vez se completa la subcontratación de la infraestructura, excepto un contrato MSP explícito. Aclarar el alcance en la orden de compra, no después del incidente.
Contenido ilícito denunciado: ¿quién responde?
El editor del sitio (cliente) primero; el anfitrión actúa como intermediario técnico (baja, suspensión) según la LCEN y las Condiciones Generales. Consulte la guía sobre denunciar abusos.
Antes de la próxima interrupción, una pregunta triple: ¿quién actualiza, quién restaura, quién se comunica? Si todos miran a los demás, no tienes tres proveedores de servicios: no tienes a nadie.