Montamos seguroydigital.com, nuestra marca de ciberseguridad para pymes, sobre un kit de plantillas comercial: doce páginas, cabecera, pie y formulario. Montarlo fue lo rápido. Lo lento fue quitar lo que el kit traía de serie (clientes que no existen, precios en dólares, un mapa de Londres) y medir la web que se sirve, no la que se edita.
LO ESENCIAL, EN CORTO
- Un kit de plantillas te da el diseño en horas. No te da una web publicable: el nuestro traía clientes inventados, contadores de demo y un formulario incapaz de registrar un consentimiento.
- El editor te enseña lo que escribiste; el visitante recibe otra cosa. La web sirvió «Lorem ipsum» en doce sitios sin que ese texto existiera en ningún fichero.
- Lo que frenó la publicación no fue técnico. Correo propio, datos registrales y testimonios reales son decisiones del dueño, y sin ellas la web sigue fuera de Google a propósito.
El encargo: una marca de ciberseguridad para pymes, desde cero
Seguro y Digital es una marca propia de la cooperativa, con personalidad aparte: ciberseguridad y cumplimiento digital para pymes y despachos que no viven de la informática. El encargo cabía en una frase. WordPress limpio, un kit de plantillas comercial del sector, los textos traducidos y reescritos, y «que todo funcione»: páginas, menús, cabecera, pie, textos legales y un formulario que envíe de verdad.
Lo primero fue borrar. El dominio llevaba tiempo sirviendo una copia de otra web que usábamos como banco de pruebas: 19 páginas, 21 notas de prensa y 1,8 GB de ficheros que no tenían nada que ver con seguridad. Antes de arrasarla hicimos una copia verificada de la base de datos y de los 28.912 ficheros, y rescatamos las licencias de los complementos de pago. Parece un trámite. No lo es: es lo único que te deja deshacer una decisión tomada a las once y media de la noche.
Un kit de plantillas es un juego de páginas ya maquetadas para un constructor visual como Elementor, con sus colores, iconos, bloques y textos de ejemplo, que se compra en un mercado de plantillas y se importa sobre un WordPress vacío. Lo que se compra es el diseño. Lo que no se compra, y hay que hacer, es todo lo que convierte ese diseño en la web de una empresa concreta.
De las empresas con conexión a internet, tiene página web el 37,0 % de las de menos de diez empleados y el 84,5 % de las de diez o más. Fuente: INE, Encuesta sobre el uso de TIC y del comercio electrónico en las empresas, nota de prensa del 22 de octubre de 2025 con datos del primer trimestre de 2025. Casi dos de cada tres empresas pequeñas no tienen web, y un kit es una de las formas más rápidas de salir de ese grupo. Este artículo cuenta qué pasa después de importarlo.
Por qué un kit de plantillas y no un diseño desde cero
Había tres caminos. Diseñar la marca y la web desde cero, que es lo que hacemos cuando el cliente ya tiene una identidad que respetar. Clonar la estructura de otra web nuestra y vestirla, que sale rápido y se nota. O comprar un kit del sector, importarlo y reescribirlo. Elegimos el tercero, con un kit llamado SentraSec que se vende en ThemeForest, por dos motivos que conviene decir enteros.
El primero es el tiempo. Una marca nueva sin identidad cerrada no justifica semanas de diseño antes de tener una sola página publicable; el kit trae un sistema visual coherente —paleta, iconos, bloques, tipografía— que se puede afinar después. El segundo es el propio sector: un kit de ciberseguridad ya resuelve cómo se explica una auditoría de seguridad o un plan de vigilancia sin que la página parezca la de una tienda de zapatos.
El coste de esa decisión también hay que decirlo. Todo lo que trae un kit está pensado para una demo, y en este caso la demo vendía otra cosa: un programa como servicio, con prueba gratuita de 30 días, panel de control y planes mensuales. Seguro y Digital presta servicios a empresas. Así que no se tradujo el kit: se reescribió el ángulo entero, página a página. Si tu negocio vende algo distinto de lo que vende la demo del kit, te va a pasar lo mismo, y es mejor saberlo antes de pagarlo.
Lo que el kit traía de serie y qué hicimos con ello
Esta tabla es la parte del proyecto que más sirve a quien se plantea una web así. No es una lista de defectos del kit; es lo que trae cualquier kit, porque una demo tiene que parecer una empresa en marcha. El problema empieza cuando se publica tal cual.
| Venía en el kit | Qué hicimos | Por qué |
|---|---|---|
| Un programa como servicio con prueba gratuita de 30 días, panel y planes mensuales | Reescribir el ángulo entero: servicios, no software | Traducirlo literal habría vendido algo que no existe |
| Doce contadores de demo («1.200 amenazas bloqueadas» y similares) | A cero y marcados como pendientes | No hay cifra propia que ponerles todavía; una cifra de demo es una mentira con formato |
| Diez precios en dólares | «A medida» | No hay tarifa decidida, y un precio inventado es peor que ninguno |
| Testimonios, equipo y logotipos de clientes | Retirados o marcados como pendientes: 71 datos en total | Son personas y empresas que no existen |
| Un mapa de Google con una dirección de Londres | Fuera | Sin local abierto al público no hay dirección que publicar |
| Un boletín de suscripción sin lista detrás | Fuera | Un formulario que no lleva a nada recoge datos para nada |
| Veinticuatro perfiles sociales genéricos | Fuera | Enlaces a redes que no tenemos |
| Un teléfono y un correo de ejemplo | Sustituidos por llamadas al formulario | No inventamos un dato de contacto: se pone el real o no se pone |
| El logotipo del kit | Un logotipo propio provisional | La marca es nuestra, no del kit |
Los 71 huecos no se rellenaron con algo plausible: se marcaron con la palabra «pendiente» entre corchetes, visible, para que no se publiquen por descuido y para que cualquiera pueda contarlos. Es una decisión incómoda, porque una web con huecos marcados parece menos terminada que una web con testimonios falsos. Preferimos la incómoda, porque mostrar como clientes a empresas que no existen es mentir. Si encargas una web sobre un kit, pide que te enseñen esa lista de huecos antes de publicar: es la prueba de que alguien se ha leído la demo entera.
Cómo se construyó: doce páginas y un formulario que registra el consentimiento
El orden importa más que la herramienta. Esto es lo que hicimos, en el orden en que lo hicimos, con lo que salió mal en cada paso, que es lo que de verdad enseña.
- WordPress limpio y el tema base del constructor. Nada heredado de la web anterior: ni complementos, ni tablas, ni ajustes. Solo el constructor, el gestor de SEO y el kit.
- Importar el kit y contar. El importador dijo «13 de 13 plantillas importadas» y por el camino había perdido 19 widgets: seis botones, ocho titulares, cuatro contadores y un acordeón. Sin un aviso. Desde entonces contamos los widgets por tipo antes y después de importar, y si no cuadran, se para.
- Traducir y reescribir. Cada texto del kit pasó por un comparador entre original y traducido. La primera versión del comparador descartaba las palabras sueltas de menos de doce letras como si fueran código, y dejó pasar 178 textos sin traducir con el control en verde: «Home», «Service», las etiquetas del formulario. Un control que aprueba demasiado deprisa es peor que no tenerlo.
- Cabecera, pie y menús. Cabecera y pie globales, menú de siete entradas, pie con doce enlaces y tres textos legales, con el NIF de la cooperativa en el aviso legal y en la política de privacidad.
- Formulario con consentimiento registrado. Es la única pieza del diseño que cambiamos a sabiendas, y está explicada abajo.
- Sitio fuera del índice. Con todo funcionando, la web se dejó en «noindex» hasta que las decisiones que no son técnicas estén tomadas.
Doce cajas de texto del kit venían vacías. Ni el fichero del kit ni la base de datos tenían una palabra dentro, y el control que lee esos dos sitios daba verde. La web, en cambio, servía «Lorem ipsum» en doce lugares: cuando un campo está vacío, el constructor pinta su texto de ejemplo, y ese texto solo existe en la página que recibe el visitante. Desde ese día el control lee el HTML servido, no lo guardado. Es nuestra propia web, septiembre de 2026, y lo tuvimos delante hasta que un control nuevo lo cazó.
El formulario: la única desviación declarada del diseño
El kit trae su propio widget de formulario. Es bonito y no sirve: no admite una casilla de aceptación ni un campo de texto libre, y sin casilla no hay consentimiento que registrar. El Reglamento General de Protección de Datos (artículo 7.1) exige que el responsable pueda demostrar que la persona consintió; un formulario que no guarda ese «sí» no lo puede demostrar. Se sustituyó por el formulario del propio constructor, que guarda cada envío con su consentimiento. Se pierde un poco de estética. Se gana poder enseñar el registro si alguien lo pide.
Otra cosa que no hicimos: inventar un teléfono o un correo para rellenar el hueco del kit. Donde la demo tenía datos de contacto ficticios, la web lleva al formulario. Un dato de contacto falso en una web de ciberseguridad sería un chiste malo.
Los controles: medir lo que se sirve, no lo que se edita
Antes de dar la web por terminada pasó dos auditorías, y la segunda existe porque la primera salió limpia. Conviene explicar las dos, porque la diferencia entre ellas es la que separa «he revisado la web» de «la web está verificada».
La primera aplica 200 controles a cada URL —72 en total, entre las 12 páginas, los 50 artículos del blog y sus categorías— y lee el HTML tal como lo entrega el servidor, no como se ve en el editor: título, encabezados, marcado, enlaces, imágenes, canónicas y una lista larga de detalles. Salió limpia. Y ahí estaba la trampa: ese estándar lee HTML, no abre un navegador ni mira lo que se pinta. Debajo quedaba una familia entera de defectos que el HTML no cuenta.
La segunda auditoría: lo que el HTML no cuenta
La segunda abre un navegador y mide seis dimensiones que la primera no toca, entre ellas el contraste real de cada texto, la accesibilidad operable, la estabilidad visual al cargar y el consentimiento. Encontró nueve defectos reales. Todos corregidos y verificados dos veces. Este es el antes y el después:
| Qué se midió | Antes | Después |
|---|---|---|
| Textos por debajo del contraste mínimo AA | 6 (el peor, 3,28:1 en la tarjeta del plan destacado) | 0 (el peor, 5,38:1) |
| Páginas sin un elemento «main» | 8 | 0 |
| Imágenes sin ancho y alto declarados | 46 | 0 |
| Imágenes sin carga diferida | 162 | 12, el logotipo de cabecera en cada página, que debe cargar sin diferir |
| Campos de formulario sin etiqueta | 3 | 0 |
| Carruseles de logotipos de clientes inventados | 2 | 0 |
| Entradas del blog con comentarios abiertos sin capa de protección de datos | 50 | 0 |
Dos de los nueve merecen contarse aparte. El enlace «Ir al contenido», el que usan quienes navegan con teclado o lector de pantalla para saltarse el menú, apuntaba a un ancla que no existía en ninguna de las ocho páginas construidas con el constructor: el criterio 2.4.1 de las WCAG, de nivel A, el mínimo exigible, incumplido en silencio. Y los dos carruseles de «clientes» del kit, además de mostrar empresas que no existen bajo el rótulo «Acompañamos a pymes de toda España», ni siquiera se pintaban: cero píxeles claros de 74.100 medidos, con tres métodos distintos. Estaban en el código, no en la pantalla. Estar en el código no es verse.
Los comentarios del blog también se cerraron: 50 entradas aceptaban comentarios, y un comentario guarda la dirección IP de quien lo escribe sin que hubiera una base jurídica declarada para ello. No es un defecto del kit. Es la configuración por defecto de WordPress, y la hereda cualquier web que no la toque.
1.317
controles superados y 215 fallados. Los 215 son tres controles encadenados al noindex: la propia directiva, la canónica que el gestor de SEO omite en páginas no indexables y su coherencia en el marcado. Desaparecen solos al publicar.
1.511 de 1.511
controles aplicables superados. Los 21 que quedan en rojo piden marcado de artículo editorial a páginas y categorías que declaran, correctamente, otro tipo: ahí es el control el que no aplica, no la web la que falla.
Y dos mediciones más, porque un «está bien» sin número no vale: el ancho de todos los bloques se midió a 1440, 1366 y 390 píxeles de pantalla, sin bloques estrechos ni desbordes; y las tipografías se sirven desde el propio dominio, así que ninguna dirección IP viaja a Google antes de que el visitante consienta nada.
Lo que puedes comprobar tú mismo
Casi todo lo anterior se puede verificar desde fuera, sin acceso al servidor, con el código fuente de la página y las herramientas de cualquier navegador. Lo medimos por última vez el 6 de septiembre de 2026; si lees esto meses después, mídelo tú: es la gracia de publicar controles y no adjetivos.
- Responde por HTTPS con cabeceras de seguridad. HSTS a 180 días, X-Content-Type-Options, X-Frame-Options, Referrer-Policy y Permissions-Policy. Se ven en la pestaña Red del navegador, en las cabeceras de respuesta de seguroydigital.com.
- Un solo H1 por página y un elemento «main». En el código fuente de cualquier página. El título de la portada es «Ciberseguridad para pymes y despachos».
- El enlace «Ir al contenido» lleva a un ancla que existe. Pulsa el tabulador nada más cargar la página y sigue el primer enlace que aparece.
- Las imágenes declaran ancho y alto y cargan diferidas, salvo el logotipo de cabecera.
- El formulario tiene casilla de consentimiento. Y lo que se envía queda guardado con ese consentimiento.
- Las tipografías vienen del propio dominio. En la pestaña Red, filtra por font: ninguna petición sale a un servidor de Google.
- Está fuera del índice a propósito. En el código fuente, la etiqueta robots dice «noindex». Si ya no lo dice, es que la lista de la sección siguiente se cerró.
Las cifras de este artículo (páginas, controles, defectos, antes y después) salen del registro del proyecto: las dos auditorías del 4 y 5 de septiembre de 2026 y la web tal como se servía el día 6, y ninguna está estimada.
Lo que quedó pendiente al cerrar la fase técnica
El 5 de septiembre la web estaba técnicamente terminada y podríamos haberla publicado. No lo hicimos, y la lista de por qué es la parte del proyecto que más se parece a lo que le pasa a una pyme con su web nueva: lo que falta no es trabajo técnico, son datos y decisiones que solo tiene el dueño.
- Un correo de contacto propio del dominio. El aviso legal tiene que llevar una dirección de correo (artículo 10 de la Ley de Servicios de la Sociedad de la Información) y el formulario envía hoy a un buzón provisional.
- Los datos registrales de la cooperativa. El NIF ya está en el aviso legal y en la política de privacidad; el dato del registro, no.
- Testimonios reales con autorización, equipo con nombre y foto, cifras propias y precios. Son los 71 huecos marcados como pendientes. Ninguno se rellena desde el teclado de un técnico.
- Banner de cookies y analítica. No están instalados. Como las tipografías son locales, nada viaja antes de consentir; pero sin banner no se conecta la analítica, y sin analítica no hay línea base.
- Protección del formulario contra envíos automáticos. Hoy acepta envíos sin validar su origen; antes de abrirlo al público conviene un filtro.
- Search Console y Analytics, el día que se levante el noindex.
Así que la decisión fue dejarla fuera de Google. Una web con «pendiente» en el aviso legal que sale en los resultados es peor que una web terminada que aún no sale. Cuando la lista se cierre, publicar es una orden de una línea —está escrita y esperando— y el historial al pie de este artículo dirá cuándo pasó.
Qué nos llevamos para la próxima web sobre un kit
Cinco cosas, y ninguna es «elige bien el kit». El kit estaba bien. Lo que falla es lo que se da por hecho alrededor.
El kit miente dos veces. Miente en lo que trae, porque una demo tiene que parecer una empresa que factura, y miente en lo que no avisa: los widgets que el importador pierde diciendo 13 de 13 y los campos vacíos que se rellenan solos con texto de ejemplo. Ninguna de las dos mentiras aparece en el editor.
Un control que lee el fichero aprueba lo que el servidor desmiente. Se mide el HTML que recibe el visitante. Y después se abre un navegador, porque el contraste, el ancla del salto al contenido y un carrusel que no se pinta tampoco están en el HTML. Dos auditorías distintas, no una más larga.
Un control que no puede medir tiene que parar, no devolver cero. El comparador que descartaba palabras cortas aprobó 178 textos sin traducir. Un cero silencioso es la peor salida posible de un instrumento: parece un resultado.
Retirar es diseñar. El mapa, las redes, el boletín, los logotipos: cada bloque que se quita es una decisión, y la web resultante tiene menos piezas y todas verdaderas. Un kit invita a rellenar; el trabajo consiste en no hacerlo.
Lo que frena una web no es la técnica. Son el correo, el registro, las personas y los precios: datos que solo tiene el dueño y que conviene pedir el primer día, no el último. Es el mismo orden que seguimos en nuestro servicio de desarrollo web: copia previa, controles sobre lo servido y una lista de decisiones del cliente desde la primera conversación. Y si aún no sabes si WordPress es lo tuyo, tenemos escrito cuándo conviene WordPress a una empresa y cuándo no.
Preguntas frecuentes
¿Se nota que una web está hecha sobre un kit de plantillas?
Se nota si se deja como viene. Lo que delata un kit no es el diseño, es la demo: los contadores redondos, los testimonios con foto de banco de imágenes, el mapa de una ciudad en la que no estás. Si se retira todo eso y se reescribe el ángulo, queda un diseño coherente que nadie asocia a una plantilla, salvo quien haya comprado la misma.
¿Cuánto se tarda en montar una web así?
Montar, poco; publicar, lo que tarden las decisiones. Las doce páginas de seguroydigital.com se construyeron y auditaron entre el 3 y el 5 de septiembre de 2026. La publicación depende del correo propio, los datos registrales y los testimonios reales, y en nuestro caso esa parte ha durado más que el montaje. No damos un plazo porque no depende de nosotros.
¿Por qué está fuera de Google si ya funciona?
Porque tiene huecos marcados como pendientes y un aviso legal incompleto. Publicar una web con datos falsos para que parezca acabada es peor que retrasarla. El noindex es una decisión, no un olvido, y se quita con una orden cuando la lista de pendientes se cierre.
¿Un kit sirve para cualquier negocio?
No. Si vendes algo distinto de lo que vende la demo, vas a reescribir cada página. Si ya tienes una identidad de marca, el kit te la pisa. Sirve cuando la marca es nueva, el sector coincide y hay alguien dispuesto a quitar más de lo que añade.
¿Qué pasa con la protección de datos en una plantilla?
La plantilla no la resuelve; la hereda rota. El formulario del kit no podía registrar consentimiento, los comentarios guardaban direcciones IP sin base declarada y las tipografías se pedían a Google en cada visita. Las tres cosas se corrigieron, y ninguna aparece en la lista de características del kit.
¿Tu web va a nacer sobre una plantilla?
Cuéntanos qué vendes y qué kit estás mirando. Te decimos qué trae de serie que habrá que quitar y qué decisiones te va a pedir antes de publicar.
Sigue por aquí
- WordPress para empresas: cuándo conviene y cuándo no
- Cómo trabajamos: nuestro proceso en 4 fases
- Nuestro servicio de desarrollo web
Historial: 25 de septiembre de 2026 publicación original. Cifras del proyecto tomadas de los registros de las auditorías del 4 y 5 de septiembre de 2026 y de la web tal como se servía el 6 de septiembre de 2026, fuera del índice ese día. Dato externo: INE, nota de prensa del 22 de octubre de 2025. Próxima revisión prevista: cuando seguroydigital.com salga del noindex, para actualizar la sección de pendientes y anotar aquí la fecha.
Marketing digital, SEO y desarrollo WordPress en Marketing España, Sociedad Microcooperativa, desde donde trabajo con pymes de toda España. Los artículos de este blog los escribo yo, en colaboración con el equipo.