Mantenimiento y soporte
Gestión de vulnerabilidades y actualizaciones de seguridad
Cuando aparece una vulnerabilidad, necesitas saber si te afecta y qué hacer. Revisamos las instalaciones acordadas, priorizamos medidas y comprobamos las correcciones sin convertir cada alerta en una emergencia indiscriminada.
El problema
Qué conviene aclarar antes de cambiar nada
Un aviso puede afectar a PHP, un plugin, una biblioteca o una imagen Docker que utiliza tu aplicación. Sin inventario de versiones, exposición y responsables, es difícil distinguir una noticia general de un riesgo que requiere actuar en tu negocio.
Ofrecemos seguimiento de vulnerabilidades conocidas sobre un alcance definido. Evaluamos los avisos relevantes y coordinamos protección provisional, parches y pruebas. No es un servicio de detección continua de ataques, descubrimiento de fallos desconocidos ni una garantía de ausencia de intrusiones.
Qué podemos hacer
Trabajo concreto dentro de este servicio
Contraste de avisos oficiales con versión efectiva, condiciones de exposición y evidencia de explotación conocida.
Propuesta de restricciones o mitigaciones documentadas cuando sean adecuadas, con revisión de su impacto operativo.
Aplicación de parches, reconstrucción de imágenes o coordinación con el hosting tras la autorización correspondiente.
Pruebas funcionales y registro de correcciones, medidas provisionales, excepciones y próximos pasos.
Casos de uso
Situaciones en las que suele encajar
Una empresa recibe avisos de PHP, WordPress o dependencias y necesita un responsable que valore su relevancia.
Una agencia quiere coordinar la revisión de varias instalaciones sin asumir que todos sus clientes usan la misma versión.
Una aplicación Linux o Docker necesita incorporar correcciones sin perderlas en el siguiente despliegue.
El hosting administra el intérprete, pero falta confirmar qué instalaciones corrigió y comprobar la aplicación después.
Contratación
Revisión inicial, seguimiento y correcciones con límites claros
El presupuesto depende de instalaciones, dependencias, accesos y criticidad. Antes de iniciar el servicio dejamos por escrito qué se revisa y qué capacidad de intervención se contrata.
Entrada técnica por alcance
La revisión inicial identifica componentes y pendientes. Puede contratarse por separado; no activa automáticamente un seguimiento posterior.
Seguimiento recurrente definido
Se acuerdan fuentes, frecuencia, horario, canal de comunicación y plazos de evaluación. Revisar avisos no equivale a vigilar ataques en tiempo real.
Intervenciones presupuestadas
El acuerdo especifica la capacidad incluida o la aprobación por intervención. Adaptaciones de código, migraciones y licencias no se consideran ilimitadas.
Control de cambios
Proteger una instalación también puede afectar su operación
Una regla de tráfico puede bloquear clientes y desactivar una función puede interrumpir trabajo. La urgencia no sustituye la autorización ni la comprobación del impacto.
Permisos antes de actuar
Se distingue qué cambios están preautorizados, quién aprueba los demás y qué hacer si esa persona no está disponible. No se asume permiso para cortar un servicio.
Medidas temporales revisables
Una mitigación tiene alcance y limitaciones propios. Se revisa su necesidad y se retira o ajusta tras validar la corrección cuando corresponda.
Coordinación con terceros
Si el hosting controla la capa afectada, solicitamos confirmación y coordinamos pruebas. No prometemos plazos que dependan de proveedores externos.
Exclusiones
Qué no incluye este seguimiento preventivo
La cobertura se centra en riesgos publicados de los componentes acordados. Una alerta revisada no demuestra que el sistema esté libre de otros problemas.
Sin SOC ni atención 24/7
No incluye vigilancia continua, respuesta inmediata a cualquier hora ni detección garantizada de ataques. La comunicación sigue el horario contratado.
Sin pentesting ni auditoría integral
No se realizan pruebas ofensivas, explotación de vulnerabilidades ni certificaciones de seguridad como parte automática de este servicio.
Incidentes con tratamiento separado
Ante indicios de intrusión se delimita el trabajo y se recomienda investigación especializada cuando proceda. Aplicar un parche no acredita que no hubiera compromiso previo.
Encaje y límites
Este servicio es adecuado cuando...
Puedes identificar las instalaciones que deben revisarse y facilitar accesos limitados o coordinación con sus administradores.
Buscas una revisión inicial o seguimiento recurrente de riesgos conocidos, con horario y capacidad pactados, no una guardia permanente.
Si tu necesidad es distinta, consulta:
Actualización de PHPSi solo necesitas corregir o cambiar el intérprete de una instalación, una intervención puntual de PHP puede ser suficiente.Mantenimiento de aplicacionesSi también buscas corrección de errores, evolución funcional y continuidad del código, acuerda mantenimiento general además de la revisión de vulnerabilidades.Cómo funciona
Un proceso por etapas y con decisiones visibles
- 01
Acordamos activos, horario y permisos
Inventariamos los entornos incluidos, sus responsables y criticidad. Definimos frecuencia de revisión, canal, capacidad y cambios que necesitan aprobación antes de comenzar el seguimiento.
- 02
Contrastamos cada aviso con la instalación
Comparamos componentes, revisiones de paquetes y requisitos del aviso. Priorizamos por exposición e impacto, distinguiendo afectación confirmada, descartada o pendiente de comprobar.
- 03
Elegimos mitigación o parche autorizado
Si el parche puede aplicarse de forma controlada, no añadimos una medida provisional innecesaria. Si hace falta una mitigación, registramos sus límites, posibles interrupciones y criterio de retirada.
- 04
Validamos el despliegue y cerramos pendientes
Comprobamos procesos activos y recorridos críticos. Entregamos evidencia del cambio y mantenemos separados los riesgos corregidos, excepciones aceptadas y tareas todavía abiertas.
Entregables
Qué recibe el cliente
Inventario inicial con instalaciones cubiertas, dependencias conocidas y responsabilidades del cliente y proveedores.
Registro de avisos evaluados con afectación, prioridad, evidencia disponible y decisión de intervención.
Plan de cambio con autorizaciones, pruebas, recuperación y límites de cualquier protección provisional.
Informe de paquetes o imágenes aplicados y validación del entorno que atiende la aplicación.
Resumen del periodo acordado con pendientes, excepciones, responsables y revisión de mitigaciones temporales.
Recursos relacionados
Lecturas para entender mejor la decisión
Preguntas frecuentes
Antes de valorar el proyecto
¿Tengo que actualizar cada vez que aparece una CVE?
No toda alerta afecta a tu instalación. Primero comprobamos componente, revisión del proveedor, configuración y exposición. La decisión se registra; una puntuación aislada no sustituye ese análisis.
¿Aplican siempre una protección provisional antes del parche?
No. Si existe una corrección aplicable y puede desplegarse con las pruebas necesarias, puede ser la primera actuación. Las mitigaciones se valoran cuando aportan reducción de exposición y sus efectos son aceptables.
¿Pueden revisar una aplicación que mantiene otro proveedor?
Sí, con alcance y responsabilidades acordados. Podemos identificar avisos relevantes y coordinar el cambio con quien controla el código o el alojamiento, sin atribuirnos acceso o control que no tenemos.
¿Qué ocurre con software sin soporte o imposible de parchear?
Se documentan exposición y alternativas: restringir acceso, sustituir un componente o planificar una migración. Una medida temporal no convierte una dependencia abandonada en software mantenido ni elimina todo el riesgo.
¿Usan IA para decidir automáticamente qué bloquear?
No delegamos la autorización ni la validación en un modelo. Las herramientas pueden ayudar a ordenar información, pero las decisiones se contrastan con avisos del proveedor y el entorno real.
¿Una cuota cubre cualquier emergencia y desarrollo necesario?
No. El acuerdo define número de instalaciones, frecuencia, horario y capacidad incluida. Cambios fuera del alcance requieren presupuesto y aprobación; no hay garantía de corrección inmediata ni de ausencia de ataques.
Servicios relacionados
El problema puede cruzar varias capas
Siguiente paso