Copias de seguridad de la web y de los datos de reservas de un hotel (2026)

Actualizada: 10 de noviembre de 2026

Un hackeo, un ransomware, un fallo del proveedor o una actualización que sale mal: si ese día no hay una copia que funcione, el hotel se queda sin web, sin reservas y sin los datos que la ley le obliga a guardar. Esta guía resume lo que pudimos comprobar el 10 de noviembre de 2026 en INCIBE, en el RGPD, en el BOE y en la documentación de WordPress, y marca lo que no pudimos confirmar. No recomendamos ningún servicio de pago. Si tu web ya está hackeada, mira nuestra guía /web-hotel-hackeada-que-hacer-aviso-google-2026.

La respuesta corta

Lo esencial:

Copia la web (ficheros y base de datos), el correo, las fichas de huéspedes, las reservas y el registro de viajeros.
INCIBE recomienda la estrategia 3-2-1, basada en diversificar las copias; la formulación habitual es tres copias, en dos soportes distintos y una fuera del hotel.
El RGPD (art. 32.1.c) pide poder restaurar la disponibilidad y el acceso a los datos personales de forma rápida tras un incidente físico o técnico, y el art. 32.1.d, probar regularmente las medidas.
En España, los datos del registro de viajeros se conservan 3 años desde el fin del servicio (Real Decreto 933/2021, art. 5.3).
Una copia que nunca has restaurado es una copia que no sabes si funciona: prueba la restauración.

Qué copiar

Lista práctica para un hotel:

Web: según la documentación de WordPress, necesitas la base de datos y los ficheros (núcleo, temas, plugins, imágenes subidas, wp-config.php y .htaccess) para restaurarla del todo.
Motor de reservas y PMS: pregunta a tu proveedor qué copias hace, con qué frecuencia, dónde las guarda y cómo puedes exportar tus datos. Consejo nuestro.
Correo electrónico: las conversaciones con huéspedes y proveedores suelen ser la memoria del hotel.
Fichas de huéspedes, facturas y contratos con agencias y plataformas.
Registro de viajeros (España): el RD 933/2021 exige un registro informático y conservar sus datos 3 años desde que termina el servicio; quien hospeda de forma no profesional está exento de esa conservación (art. 5.4). Comprueba tu caso con tu asesor.

La regla 3-2-1, explicada

Cómo aplicarla en un hotel pequeño:

INCIBE recomienda la estrategia 3-2-1 «cuya base es la diversificación de las copias», para que siempre quede una copia que el malware no haya cifrado.
Tres copias: los datos originales y dos copias más.
Dos soportes distintos: por ejemplo, el servidor del hosting y un disco externo. WordPress aconseja guardar al menos tres copias en soportes distintos y en lugares diferentes.
Una copia fuera: fuera del hotel y, si puede ser, desconectada del ordenador o de la red cuando no se usa, para que un ransomware no la alcance. Consejo nuestro.
INCIBE incluye entre las medidas para proteger las copias la ubicación, el control de los soportes, el cifrado, el registro de copias, las pruebas de restauración y el borrado seguro.

Frecuencia y copias de la web WordPress

Sin plugins ni servicios de pago concretos:

WordPress recomienda una copia semanal en webs pequeñas y diaria en webs con mucha actividad, y una copia de la base de datos siempre antes de actualizar.
Guarda entre 3 y 5 copias recientes en lugares distintos (por ejemplo, hosting, nube y un ordenador local).
Si tu hosting hace copias automáticas, haz de vez en cuando una manual: WordPress lo aconseja para comprobar que el proceso funciona.
Para restaurar, WordPress indica: primero los ficheros y luego la base de datos, y actualizar wp-config.php si cambiaron las credenciales.

Probar la restauración

Lo que pide el RGPD y lo que recomendamos:

El art. 32.1.d del RGPD pide un proceso para probar, evaluar y valorar regularmente la eficacia de las medidas de seguridad.
INCIBE incluye las «pruebas de restauración» entre las medidas para proteger las copias.
Una vez al trimestre, restaura la web en un subdominio de pruebas o en local y abre una reserva antigua para ver que los datos están completos. Consejo nuestro, no un plazo legal.
Apunta la fecha de cada prueba y lo que falló: te servirá para demostrar diligencia.

Ransomware, brechas y el 017

Si ocurre lo peor:

INCIBE dice que «En ningún caso el pago del rescate es una opción aconsejada»: desinfecta los equipos y restaura las copias.
Ante dudas, INCIBE indica llamar al 017, su Línea de Ayuda en Ciberseguridad.
Si se han visto afectados datos personales, el RGPD fija notificar a la autoridad (en España, la AEPD) a más tardar 72 horas después de tener constancia (art. 33). Información general, no asesoramiento jurídico.
Si la web ya está hackeada, sigue los pasos de nuestra guía /web-hotel-hackeada-que-hacer-aviso-google-2026.

Si tienes un alojamiento: qué preguntan los viajeros a la IA

Por qué la web importa también en los asistentes:

Los viajeros preguntan a los asistentes de IA por precio, disponibilidad, condiciones de cancelación o si se puede reservar directo.
Si tu web cae o muestra datos antiguos tras una restauración incompleta, esas respuestas pueden quedarse sin tu información o con información desfasada.
Tras restaurar, revisa precios, políticas y enlaces de reserva antes de dar la web por recuperada. Consejo nuestro.

Cómo ayuda iQuota

iQuota pone alojamientos independientes a disposición de los asistentes de IA con reserva directa, pago en el alojamiento y 0 % de comisión, con el precio y las condiciones que fija cada alojamiento. No podemos garantizar que un asistente de IA te recomiende.

¿Quieres que las IA den tus datos reales, con reserva directa y sin comisión? Los primeros 30 hoteles entran gratis hasta el 30 de junio de 2027.

Ver el programa Hoteles Fundadores

Preguntas frecuentes

¿Qué es la regla 3-2-1?

INCIBE la recomienda como estrategia basada en diversificar las copias. La formulación habitual: tres copias, en dos soportes distintos y una fuera de las instalaciones.

¿Cuánto tiempo hay que guardar el registro de viajeros en España?

Tres años desde la finalización del servicio, según el art. 5.3 del Real Decreto 933/2021 (salvo hospedaje no profesional, art. 5.4).

¿El RGPD obliga a tener copias de seguridad?

No usa esa palabra, pero el art. 32.1.c pide poder restaurar la disponibilidad y el acceso a los datos personales de forma rápida tras un incidente. Información general, no asesoramiento jurídico.

¿Cada cuánto copio la web?

WordPress recomienda semanal en webs pequeñas, diaria en webs con mucha actividad y siempre antes de actualizar.

¿Pago el rescate de un ransomware?

INCIBE lo desaconseja en todos los casos. Restaura desde copias limpias y, si tienes dudas, llama al 017.

Fuentes

Más guías para hoteles

Más guías para hoteles →

English · Italiano · Português · Ελληνικά