Checklist de seguridad para dueños de e-commerce en México

Por qué la seguridad en e-commerce no es opcional

En 2025, el e-commerce en México generó más de $658,000 millones de pesos MXN según la AMVO. Con ese volumen de transacciones, los ciberataques dirigidos a tiendas en línea mexicanas aumentaron un 340% respecto a 2023. La mayoría de las víctimas son PYMES que asumieron que su plataforma "ya incluía" la seguridad necesaria.

La realidad: la seguridad es una responsabilidad compartida entre el proveedor de hosting, la plataforma de e-commerce y el dueño del negocio. Y la parte que más se ignora es precisamente la responsabilidad del dueño.

El Checklist Completo 2026

🔒 Capa 1: Seguridad de la Conexión

• SSL/TLS activo y vigente — El candado en el navegador no es opcional. Verifica que tu certificado no está vencido usando SSL Labs.
• HSTS activado — HTTP Strict Transport Security fuerza conexiones seguras incluso si el usuario escribe "http://".
• Cabeceras de seguridad — Content-Security-Policy, X-Frame-Options, X-Content-Type-Options configuradas en el servidor.
• TLS 1.2 o superior — Versiones anteriores tienen vulnerabilidades conocidas. Deshabilita TLS 1.0 y 1.1.

💳 Capa 2: Seguridad en Pagos (PCI-DSS)

• Nunca almacenes datos de tarjetas — Usa pasarelas certificadas (Stripe, Conekta, MercadoPago). Ellos son PCI-DSS compliant.
• Tokenización de pagos — Los datos sensibles nunca deben pasar por tu servidor.
• 3D Secure activado — Capa adicional de autenticación que reduce chargebacks.
• Detección de fraude — Configura reglas de velocidad (máximo de intentos), bloqueo geográfico y validación de CVV.

⚖️ Capa 3: Cumplimiento Legal Mexicano (LFPDPPP)

• Aviso de Privacidad completo — Obligatorio según la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
• Consentimiento explícito — Checkbox de aceptación de términos y política de privacidad en el checkout.
• Derecho ARCO implementado — Mecanismo para que clientes puedan Acceder, Rectificar, Cancelar u Oponerse al uso de sus datos.
• Política de cookies — Si usas Google Analytics, Meta Pixel u otras cookies de seguimiento, es requerida por ley.

🛡️ Capa 4: Seguridad del Servidor y Aplicación

• Protección contra SQL Injection — Todas las consultas a la base de datos deben usar prepared statements.
• Protección XSS — Sanitización de todos los inputs y outputs del sistema.
• Protección CSRF — Tokens únicos en todos los formularios.
• Autenticación de dos factores — En el panel de administración, obligatorio.
• Actualizaciones automáticas — El software desactualizado es la causa #1 de hackeos.

💾 Capa 5: Backups y Recuperación

• Backup diario automatizado — Base de datos y archivos, en ubicación separada al servidor principal.
• Prueba de restauración — Un backup que nunca has probado restaurar puede no funcionar cuando lo necesitas.
• Retención de 30 días — Algunos ataques pasan desapercibidos días o semanas.
• Plan de respuesta a incidentes — ¿Qué haces si tu tienda es hackeada mañana? Tenlo documentado.

"El 60% de las PYMES que sufren un ciberataque significativo cierran en los 6 meses siguientes."

— National Cyber Security Alliance, 2024

Lo que LEXATEK implementa en cada proyecto

Todos los sitios de e-commerce que desarrollamos incluyen por defecto: HTTPS forzado, cabeceras de seguridad completas, sanitización de inputs, protección CSRF/XSS, backups automatizados y documentación del aviso de privacidad conforme a la LFPDPPP.