Red.es avisa de fallos críticos en webs en PHP financiadas con el Kit Digital. Parchearlas es cosa del beneficiario: si no, incumple las condiciones de la ayuda.
La entidad pública que gestiona el bono digital ha lanzado una advertencia que muchos beneficiarios no esperaban. La seguridad de la web subvencionada no caduca con la entrega del proyecto. Si el sitio se construyó sobre una versión de PHP sin soporte o arrastra plugins desactualizados, las brechas siguen abiertas meses después de que el agente digitalizador haya cobrado.
Vamos por partes. PHP es el lenguaje de programación del servidor con el que funcionan WordPress, PrestaShop y buena parte de las webs que se contratan con el bono. Cuando esa rama deja de recibir parches oficiales, cualquier fallo que se descubra se queda sin arreglar. Y ahí empieza el problema, no en el diseño.
El aviso se dirige a pymes y autónomos que hayan contratado la categoría de sitio web o de ciberseguridad con cargo a la subvención. No es una cuestión de marca ni de proveedor: es mantenimiento puro. Una web con el PHP sin actualizar es una puerta abierta a cualquiera, aunque la tienda funcione y la imagen sea impecable.
Conviene recordar qué es el Kit Digital. Hablamos de una subvención a fondo perdido, es decir, dinero que no se devuelve siempre que se cumplan las condiciones. No es un préstamo ni una línea de crédito. El beneficiario no recibe el importe en cuenta: Red.es abona al agente digitalizador y la pyme se queda con la solución contratada más una obligación de mantenimiento que fija la convocatoria.
La subvención se cobra una vez, pero la web sigue expuesta todos los días. Ahí no hay bono que cubra el descuido.
Qué ha avisado Red.es y a qué webs afecta
El foco está en los sitios levantados con PHP antiguo y en las instalaciones que nadie ha tocado desde la entrega. También en los proyectos que incluyeron ciberseguridad como categoría pero se quedaron en el antivirus y el certificado. El aviso no persigue al proveedor: persigue al propietario del dominio, que es quien responde ante la Administración.
La razón es sencilla. El Kit Digital no es un pago único y a correr. El beneficiario firma que mantendrá la solución durante el periodo que marcan las bases (dos años en las últimas convocatorias) y que la usará para su actividad. Una web vulnerable, caída o sin actualizar difícilmente cumple ese compromiso.
Cómo saber si tu web tiene el problema
Tres comprobaciones rápidas. Primero, pregunta al agente digitalizador qué versión de PHP corre en el servidor y si sigue recibiendo soporte. Segundo, pide el listado de plugins, temas y librerías con sus versiones: un sitio que no se ha tocado en un año casi seguro arrastra parches pendientes. Tercero, exige por escrito quién asume las actualizaciones y con qué frecuencia.
Aquí está el error que sale más caro: dar por hecho que el mantenimiento estaba incluido en el contrato y en el pago del bono. La mayoría de las propuestas cubren el desarrollo y la puesta en marcha, no la vigilancia continua. Si nadie lo pone negro sobre blanco, el parche no llega.
Si el proveedor no responde o cobra aparte, quedan dos vías. Una, contratar el mantenimiento con otro agente adherido y dejarlo documentado. Dos, asumir la actualización con la propia herramienta del gestor de contenidos, algo viable en WordPress pero arriesgado sin copia de seguridad previa. Antes de tocar nada, duplica el sitio y comprueba la compatibilidad de cada extensión.
La letra pequeña que Red.es pone ahora sobre la mesa
No es la primera vez que el programa enseña su cara menos amable. Convocatoria tras convocatoria, el Kit Digital ha repetido el mismo esquema: acuerdo de subvención, agente adherido y compromiso de mantener la solución. Lo que cambia ahora es el foco. La seguridad deja de ser un extra del catálogo y pasa a formar parte de la obligación que el beneficiario asumió al firmar.
Y hay una asimetría que conviene decir en voz alta. Al pequeño negocio se le exige un conocimiento técnico que no tiene mientras el proveedor, que sí lo tiene, puede desaparecer del mapa tras la entrega. La salida razonable no es que el autónomo aprenda a auditar código: es que exija por contrato mantenimiento, actualizaciones y un informe periódico. Si el agente digitalizador no lo ofrece, hay margen para buscar otro antes de que llegue la revisión.
Queda una pregunta abierta para las próximas semanas: si Red.es convierte la seguridad en criterio de comprobación, ¿bastará con el aviso o habrá requerimiento formal? Mientras se aclara, la jugada sensata es documentar. Guarda los correos, pide el informe de versiones y deja constancia de cada actualización. Ese papel vale más que cualquier promesa verbal si un día hay que justificar la subvención.
Guía rápida del trámite
- 📅 Plazos: Sin fecha límite fija: la revisión debe hacerse mientras la solución siga dentro del periodo de mantenimiento que marca la convocatoria.
- ✅ Requisitos clave: Haber contratado la categoría de sitio web o ciberseguridad con un agente digitalizador adherido y mantener la solución en uso.
- 🌐 Dónde solicitarlo: La revisión se pide al agente que ejecutó el proyecto; las condiciones del programa están en la web de Red.es y en el portal Acelera Pyme.
- 💰 Importe o coste: Subvención a fondo perdido por segmento; el mantenimiento y los parches no van incluidos salvo que se contraten aparte.
- ⚠️ Error a evitar: Dar por hecho que el proveedor actualiza la web solo. Sin contrato de mantenimiento por escrito, el parche no llega.
