Cuestionario de seguridad para creadores de sitios web: 50 preguntas para proveedores

Un cuestionario de seguridad escrito para creadores de sitios web y plataformas web, no para SaaS genérico: separación entre sitios de clientes, control de la publicación, dominios y DNS huérfanos, scripts de terceros, datos de formularios, funciones de IA, correo enviado en tu nombre, registros, incidentes y salida. Con cómo es una buena respuesta, cómo ponderar la evidencia y nuestras propias respuestas cuando son ciertas.

La mayoría de los cuestionarios de seguridad se escribieron para software que guarda tus registros: nóminas, CRM, gestión de incidencias. Una plataforma web es otra cosa. Su función principal es publicar cosas para todo internet en tu nombre, a menudo en dominios de tu propiedad, a menudo editadas por personas ajenas a tu organización y, cada vez más, con IA escribiendo el primer borrador. Los riesgos que importan tienen que ver con quién puede poner qué delante del público y qué hace la plataforma con los datos que los visitantes escriben en tus formularios. Este cuestionario cubre esos riesgos. Úsalo junto con tu cuestionario habitual, no en su lugar.

Empieza por los cuestionarios estándar y añade este

Ya existen varios cuestionarios gratuitos o muy utilizados, y un proveedor serio habrá respondido al menos uno de ellos:

Ninguno pregunta qué pasa cuando la subcuenta de un cliente publica una página en tu dominio sin aprobación, o cuando un dominio que retiraste sigue apuntando al proveedor. Las preguntas siguientes sí. Están numeradas para que puedas citarlas en un contrato o en una hoja de puntuación.

Decide cuánto preguntar antes de enviar nada

Cincuenta preguntas para un sitio folleto hacen perder la semana a todos; cinco para un sitio que recibe consultas de salud es una negligencia. Elige las secciones según lo que de verdad contendrán los sitios:

Qué harán los sitiosSecciones que enviar
Solo información pública, sin formularios ni inicios de sesiónA, C, D, E, J, K
Formularios de contacto o consultaAñade F y H
Terceros (clientes, franquiciados, departamentos) editan sus propios sitiosAñade B e I
La IA genera o edita contenidoAñade G
Los formularios recogen datos sensibles (salud, finanzas, datos de menores)Todas las secciones, más tu cuestionario estándar completo y una revisión legal de si la plataforma debería guardar esos datos

El cuestionario

Bajo cada sección, una nota sobre cómo es una buena respuesta. Copia las preguntas; guarda las notas para quien puntúe las respuestas.

A. Separación entre sitios y entre clientes

  1. ¿Nuestros sitios y datos están separados lógicamente de los de otros clientes en la infraestructura compartida? ¿Cómo se aplica esa separación: en la aplicación, en la base de datos o en ambas?
  2. Si gestionamos varias cuentas de clientes o departamentos dentro de nuestra organización, ¿puede una de ellas ver o cambiar los sitios, los envíos de formularios o los ajustes de otra?
  3. ¿Puede su personal de soporte ver o editar nuestros sitios? ¿En qué condiciones, y queda registrado ese acceso?
  4. ¿Los sitios publicados comparten dominio o cookies con la aplicación de edición?

Buena respuesta: concreta sobre el mecanismo (por ejemplo, reglas de acceso por fila en la base de datos además de comprobaciones en la aplicación) y honesta en que el acceso de soporte existe con límites, en lugar de afirmar que nadie puede ver nada nunca.

B. Cuentas, roles y personas que se van

  1. ¿Qué roles existen y qué puede hacer cada uno? Envíennos la lista en lugar de describirla.
  2. ¿Podemos restringir lo que puede hacer cada cliente o subcuenta (publicar, conectar un dominio, añadir scripts, ver el código)?
  3. ¿Qué métodos de inicio de sesión se admiten para nuestro personal y para nuestros clientes? ¿Hay autenticación multifactor y podemos exigirla?
  4. Cuando alguien se va, ¿con qué rapidez se retira su acceso y se retira de todos los sitios a la vez?
  5. ¿Se cierran las sesiones cuando se cambia una contraseña o se elimina una cuenta?

Buena respuesta: una lista corta y fija de roles que puedas comprobar en una demo. Desconfía de los «permisos totalmente personalizables» que nadie puede enseñarte.

C. El camino de publicación

  1. ¿Quién puede publicar un cambio en internet? ¿Podemos exigir aprobación antes de que se publique un sitio o un cambio?
  2. ¿Hay un registro de quién publicó qué y cuándo?
  3. ¿Podemos volver a una versión anterior de un sitio, y hasta qué punto?
  4. ¿Puede una subcuenta publicar en un dominio nuestro sin que intervengamos?
  5. ¿Qué impide que alguien publique una página que suplanta a otra organización, o un formulario de acceso que recoge contraseñas?

Buena respuesta: describe el control real, incluidos sus límites. «Una sola aprobación del titular de la cuenta» es una respuesta perfectamente válida si es cierta; los «flujos configurables de varias etapas» hay que verlos en funcionamiento, no aceptarlos de palabra.

D. Dominios, certificados y DNS

  1. ¿Cómo se verifica que los dominios personalizados son nuestros antes de asociarles un sitio?
  2. ¿Cómo se emiten y renuevan los certificados TLS, y qué pasa si falla la renovación?
  3. Cuando eliminamos un dominio o cerramos un sitio, ¿qué pasa con los registros DNS que siguen apuntando a ustedes? ¿Podría otra persona reclamar ese dominio en su plataforma?
  4. ¿A nombre de quién se registra el dominio cuando lo registran ustedes por nosotros?

Buena respuesta: la pregunta 17 es la que la mayoría de los proveedores no se han planteado. Un dominio que sigue apuntando a una plataforma cuando el sitio ya no existe puede ser tomado por otro cliente de esa plataforma si la plataforma no comprueba la titularidad. Quieres oír cómo se vuelve a comprobar la titularidad, no solo que se comprueba una vez.

E. Scripts e integraciones de terceros

  1. ¿Quién puede añadir scripts, etiquetas de seguimiento o widgets integrados a un sitio? ¿Podemos restringirlo por cuenta?
  2. ¿La propia plataforma añade scripts de terceros a los sitios publicados? ¿Cuáles, y podemos quitarlos?
  3. ¿Admiten una Content Security Policy en los sitios publicados, y podemos definir la nuestra?
  4. Si un script de terceros de un sitio se ve comprometido, ¿podría afectar a otros sitios de nuestra organización?

Buena respuesta: una lista. Los scripts que la plataforma añade a tu sitio público son tanto un problema tuyo de accesibilidad, privacidad y rendimiento como suyo.

F. Formularios y lo que envían los visitantes

  1. ¿Dónde se guardan los envíos de formularios y durante cuánto tiempo?
  2. ¿Quién puede ver los envíos: nuestro personal, nuestros clientes, su personal?
  3. ¿Se pueden enviar los envíos directamente a nuestros propios sistemas en lugar de guardarse con ustedes?
  4. ¿Podemos exportar y eliminar los envíos nosotros mismos?
  5. ¿Qué protección contra spam y abuso tienen los formularios, y participa otro tercero?
  6. ¿Impiden o advierten contra la recogida de categorías sensibles de datos en formularios normales?

G. Funciones de IA

  1. ¿Qué proveedor o proveedores de IA procesan nuestras instrucciones, contenido y archivos subidos?
  2. ¿Se usa alguno de nuestros contenidos, o los datos de nuestros visitantes, para entrenar modelos? Indíquennos las condiciones del proveedor que lo dicen.
  3. ¿Los envíos de formularios u otros datos de visitantes llegan alguna vez al proveedor de IA?
  4. ¿Se pueden publicar cambios hechos por la IA sin que los vea una persona? ¿Podemos exigir aprobación?
  5. ¿Podemos desactivar las funciones de IA en algunas cuentas?

Buena respuesta: nombra al proveedor y remite a sus condiciones. «Nuestra IA propia» sin modelo ni condiciones con nombre es motivo para volver a preguntar.

H. Correo enviado en nuestro nombre

  1. ¿Qué correos envía la plataforma a nuestros clientes o usuarios, y desde qué dirección?
  2. ¿Podemos enviar desde nuestro propio dominio? ¿Qué registros DNS añadimos, y cubren SPF, DKIM y la alineación DMARC?
  3. Si no configuramos nuestro propio dominio, ¿qué verán los destinatarios en el remitente y adónde irán las respuestas?
  4. ¿Los correos de tipo comercial incluyen un enlace para darse de baja que funcione, y se respeta automáticamente?

I. Registros y trazabilidad

  1. ¿Qué acciones se guardan en un registro de auditoría y quién puede leerlo?
  2. ¿Cuánto tiempo se conservan los registros? ¿Podemos exportarlos?
  3. ¿Registran el acceso de su propio personal a nuestros datos?
  4. Si recibimos una solicitud de acceso a información pública o una orden de conservación legal, ¿qué pueden entregar y con qué rapidez?

Buena respuesta: una pantalla real con entradas reales, más un periodo de conservación por escrito. Si el proveedor no puede indicar la conservación, planifica exportar los registros tú mismo de forma periódica.

J. Vulnerabilidades e incidentes

  1. ¿Cómo les comunican los investigadores una vulnerabilidad? ¿Publican un archivo security.txt?
  2. ¿Cómo se detectan, priorizan y corrigen las vulnerabilidades de su plataforma y sus dependencias?
  3. ¿Encargan pruebas de penetración independientes? ¿Podemos ver un resumen, su fecha y su alcance?
  4. ¿En cuánto tiempo nos informarán de un incidente que afecte a nuestros datos, por qué canal, y figura ese plazo en el contrato?
  5. ¿Quiénes son sus subencargados del tratamiento y cómo nos avisan de los cambios?

Buena respuesta: el archivo security.txt está definido en el RFC 9116. Se ubica en /.well-known/security.txt y debe contener al menos los campos Contact y Expires, así que puedes comprobar tú mismo si existe en diez segundos. Sobre los plazos de los incidentes: si eres responsable del tratamiento según el RGPD de la UE, el RGPD te da a ti, como responsable, 72 horas cuando sea posible para notificar a la autoridad, pero al encargado solo le exige avisarte «sin dilación indebida». Por eso conviene fijar un número de horas en el contrato.

K. La salida

  1. ¿Podemos exportar todos los sitios, incluidos el código, los archivos multimedia y los datos de formularios, sin su ayuda?
  2. ¿Qué pasa con nuestros sitios, dominios y datos el día en que termina el contrato, y treinta días después?
  3. ¿Confirmarán la eliminación por escrito?
  4. ¿Podría otro proveedor ejecutar los sitios exportados sin su plataforma?

Nuestra guía del plan de salida de un proveedor convierte estas preguntas en cláusulas contractuales.

Pondera la evidencia, no los adjetivos

Dos proveedores pueden responder «sí» a la pregunta 10 y querer decir cosas muy distintas. Puntúa cada respuesta según la evidencia más sólida que la respalde:

NivelEvidenciaCuánto peso
0Una afirmación en una página comercial, o un «sí» sin detalleNinguno hasta que se respalde
1Una respuesta escrita y concreta del proveedorAlgo; se le puede exigir en un contrato
2Documentación: política, nota de arquitectura, artículo de ayudaMás, si está fechada y es concreta
3Demostrado en funcionamiento en una demo en vivo a petición tuyaAlto para funciones; dice poco de los procesos internos
4Un informe o certificado independiente, vigente, con un alcance que cubre el producto que comprasEl máximo para controles internos; lee el alcance

En una plataforma web, el nivel 3 importa más de lo que esperan los compradores. La aprobación, los roles, las comprobaciones de dominio, la exportación y los registros de auditoría son cosas que puedes pedir ver en veinte minutos. Pídelo.

Señales de alarma

Cómo responde We.Inc, donde podemos

Preferimos responder menos preguntas con verdad que todas con vaguedad. Estas son las respuestas que podemos dar en esta página, cada una ligada a algo que puedes ver en el producto. Para todo lo demás, pregúntanos por escrito durante una demo y juzga la respuesta según los niveles de evidencia anteriores.

PreguntaNuestra respuesta
5. RolesUn conjunto pequeño y fijo de roles de equipo (propietario, administrador y miembro). No ofrecemos roles personalizados.
6, 13. Restricciones por cuentaPara cada cuenta de cliente eliges si puede publicar, conectar su propio dominio, ver el código y usar el blog, la tienda, los formularios y los ajustes de SEO. Se aplica un valor predeterminado para toda la marca salvo que lo modifiques.
10. Aprobación antes de publicarSí: «la publicación necesita mi aprobación» puede ser el valor predeterminado para todos los clientes o definirse por cliente. Es un único paso de aprobación por parte de tu equipo, no un flujo de varias etapas.
11, 38. Registro de auditoríaUn registro de auditoría de las acciones de la organización, con fecha, usuario, acción, el registro afectado y detalles. No publicamos un periodo de conservación ni afirmamos que sea inmutable.
15. Dominios personalizadosTu portal y el sitio de cada cliente pueden funcionar en dominios de tu propiedad.
35, 36. Correo en tu nombreLos correos a tus clientes llevan el nombre de tu marca, tu logotipo y tu dirección de soporte para las respuestas. Hasta que se verifica tu propio dominio de envío, salen desde nuestra dirección de entrega; cuando añades los registros DNS y se verifica, salen desde tu dominio.
47, 50. ExportaciónEl código de cada sitio se puede descargar como ZIP o sincronizar con un repositorio de GitHub, y funciona sin nuestra plataforma.
Certificaciones (de tu cuestionario estándar)No afirmamos tener SOC 2, ISO 27001 ni certificaciones similares, y no publicamos una cifra de disponibilidad contractual ni la opción de elegir región de datos.
AccesibilidadLos sitios se crean y editan con IA. Tu equipo debe probar las páginas publicadas; no afirmamos que cumplan ninguna norma de accesibilidad.
Panel de equipo con tres miembros con insignias de Administrador y Miembro y un formulario para invitar a un nuevo miembro por correo con un rol elegido
Roles de equipo en la marca de demostración. Las personas se invitan por correo con un rol, y el formulario explica qué puede hacer ese rol (aquí, un Diseñador abre y edita el sitio de cualquier cliente pero no tiene acceso a la facturación).
Una cuenta de cliente abierta en el gestor de clientes, con interruptores para los ajustes de SEO y la opción La publicación necesita mi aprobación, además de notas, etiquetas y controles para pausar o eliminar
Interruptores por cliente, incluida la aprobación antes de publicar, y los controles para pausar o eliminar un cliente.
Tabla del registro de auditoría con dos entradas que dicen Datos del cliente actualizados, con fecha, identificador de usuario, acción, el registro de cliente afectado y los campos cambiados
El registro de auditoría con dos entradas reales generadas al editar un cliente. La columna de usuario muestra por ahora un identificador de cuenta en lugar de un nombre.
Panel de código en el editor del sitio con el árbol de archivos del proyecto, el código fuente de un componente y un botón de descarga
El panel de código: cada sitio es código real que se puede descargar.
Cuadro de diálogo de exportación del proyecto con pestañas para GitHub, ZIP, Vercel y Domain, un campo para el nombre del repositorio y la opción de repositorio privado
Exportación de un sitio a tu propio repositorio de GitHub o como archivo ZIP.

Envíanos tu cuestionario, o este, antes de una demo de 30 minutos y te mostraremos en vivo durante la llamada los puntos anteriores. Para el proceso de compra en general, consulta la lista de comprobación para contratar una plataforma web.

Fuentes

Última comprobación: 2026-10-25.

Este cuestionario es información general, no asesoramiento legal ni de seguridad. Adáptalo con tus equipos de seguridad y legal a tus propias obligaciones.

Preguntas frecuentes

¿Necesito un cuestionario de seguridad aparte para un creador de sitios web?

Usa tu cuestionario estándar (CAIQ, HECVAT o el tuyo propio) y añade preguntas específicas de sitios web. Los cuestionarios estándar rara vez preguntan quién puede publicar en tus dominios, qué pasa con el DNS después de eliminar un sitio, qué scripts añade la plataforma a las páginas públicas o qué hacen las funciones de IA con tu contenido.

¿Cuál es la pregunta de seguridad web que más se pasa por alto?

Qué pasa con los dominios que siguen apuntando a la plataforma después de cerrar un sitio. Si la plataforma no vuelve a comprobar la titularidad, otro cliente podría asociar un sitio a ese dominio. Pregunta cómo se verifica y se vuelve a verificar la titularidad.

¿Cómo debo puntuar las respuestas de los proveedores?

Según la evidencia más sólida detrás de cada respuesta: una afirmación comercial no cuenta nada, una respuesta escrita cuenta algo, la documentación cuenta más, una demostración en vivo cuenta mucho para las funciones del producto, y un informe independiente vigente con el alcance adecuado es lo que más cuenta para los controles internos.

¿Tiene We.Inc certificaciones de seguridad?

No afirmamos tener SOC 2, ISO 27001 ni certificaciones similares. Podemos mostrar en vivo en una demo los roles, las restricciones por cliente, la aprobación antes de publicar, el registro de auditoría, los dominios personalizados y la exportación de código, y responder por escrito al resto de tu cuestionario.

Empieza gratis · Sin tarjeta de crédito

Relacionado: Guías

Producto

Para quién es

Funciones

Recursos

Empresa

Mapa del sitio