Dónde vive tu sitio web: lo que el auge de centros de datos en México enseña a tu pyme

México está construyendo centros de datos a un ritmo que no se veía, pero casi todo ocurre en un solo estado. Y la mayoría de las pymes no sabe en qué lugar, ni con qué proveedor, vive su sitio web. La pregunta parece técnica; decide qué pasa el día que algo falla.

Lo que dicen los números

La MEXDC reporta 279 megawatts (MW) operativos en el país, frente a 235 MW en 2025 y 115 MW a inicios de 2024. Otros 205 MW están en construcción, y la asociación proyecta una inversión de 82,500 millones de dólares entre 2026 y 2031.

La distribución es muy concentrada: Querétaro tiene 72%, Ciudad de México y su zona metropolitana 10%, Nuevo León 9%, Jalisco 5%, Guanajuato 3% y Yucatán 1%.

El freno no es el dinero, sino la electricidad. Entre 2025 y 2026 la capacidad operativa creció 44 MW, un avance que la propia asociación reconoce corto para lo que espera el mercado. Hay centros de datos construidos que esperan conexión a la red.

«Sí nos está deteniendo el crecimiento el tema eléctrico como tal.» — Amet Novillo, presidente de la MEXDC, a El Economista

Para dimensionarlo, la asociación cita a Brasil con unos 900 MW operativos y a Chile con cerca de 258 MW.

Lo que esas cifras no dicen de tu sitio

Son datos de infraestructura a gran escala, la que usan nubes, bancos y proyectos de inteligencia artificial. No dicen dónde está tu sitio. El hosting de una pyme puede vivir en un servidor en Querétaro, en otro país o en la nube de un tercero, y muchas veces el cliente no lo sabe.

Lo que sí muestran es que la infraestructura digital tiene lugar físico, depende de la energía y tiende a concentrarse. De ahí tres razones para preguntar.

Por qué importa dónde vive

Velocidad. Es lectura de Bit Farm, sin una cifra detrás: mientras más lejos o más saturado esté el servidor de tus visitantes, más tarda en cargar, y en el celular se nota. Si tus clientes están en México, conviene saber a dónde apunta tu sitio.

Datos y ley. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada como nueva ley el 20 de marzo de 2025, exige medidas de seguridad administrativas, técnicas y físicas contra pérdida, alteración o acceso no autorizado (art. 18), e informar de inmediato a las personas cuando una vulneración afecte de forma significativa sus derechos (art. 19). Si pasas datos a terceros, nacionales o extranjeros, distintos de quien los trata por tu cuenta, debes comunicarles tu aviso de privacidad (art. 35).

En el texto que leímos no encontramos una obligación de alojar los datos en territorio mexicano. Lo que pide es que sepas quién los trata y que tu aviso diga la verdad. Para un caso concreto, consulta a tu abogado.

Continuidad. Si el sitio, la base de datos y los respaldos viven en el mismo lugar, una falla los alcanza a todos. Esto también es criterio nuestro.

Un ejemplo de esta semana: PHP2Shell

El 21 de octubre el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación (CVE-2026-109618 y CVE-2026-109619), conocidas como PHP2Shell. Cloudflare, con datos de W3Techs, calcula que PHP está en casi 70% de los sitios web.

La falla está en PHP, no en tu tema ni en tus plugins, así que actualizarlos no basta. Cloudflare lo resume así: si un proveedor de hosting administra PHP, pídele que aplique la actualización. El proyecto PHP añade que las versiones 8.1 y anteriores ya no reciben actualizaciones de su parte, aunque algunos proveedores ofrecen parches propios. Quién parcha, y qué tan rápido, forma parte del servicio.

Seis preguntas para tu proveedor de hosting

• ¿Dónde están mis datos y mis respaldos? País y ciudad o región, y si los respaldos viven en un sitio distinto al del servidor principal.
• ¿Cada cuánto se respalda y cuándo se probó una restauración? Pide el tiempo estimado para restaurar y haz la prueba, como recomendábamos tras el premio a Pymes Ciberseguras.
• ¿Quién aplica los parches y en cuánto tiempo? Pregunta qué versión de PHP corre tu sitio y si ya está al día.
• ¿Quién responde si se cae y por qué canal? Horario, tiempo de respuesta, una persona real al otro lado y soporte en español.
• ¿Qué dice el contrato sobre mis datos? Qué medidas aplican, cómo te avisarían de una vulneración, si subcontratan a terceros o a otros países, y si tu aviso de privacidad coincide con eso.
• ¿A nombre de quién está el dominio y quién tiene acceso? Dominio y cuentas a tu nombre, con claves fuertes y verificación en dos pasos, y una forma de llevarte tu sitio si cambias de proveedor.

Si alguna respuesta es «no sé», ya tienes la primera tarea.

Cómo podemos ayudar

En Bit Farm acompañamos a pymes mexicanas con su presencia digital y su infraestructura. Podemos ayudarte a revisar dónde vive tu sitio, qué versión de PHP corre, cómo están tus respaldos y qué dice tu contrato actual, y a llevar esta lista a tu proveedor con las preguntas ya armadas.

Fuentes: El Economista, 23 de junio (capacidad, construcción, inversión y distribución por estado, con datos de la MEXDC); El Economista vía Yahoo Noticias (235 MW, 115 MW, Brasil, Chile y cita de Amet Novillo); Cámara de Diputados, texto vigente de la LFPDPPP (artículos 18, 19 y 35); PHP.net, aviso de seguridad del 21 de octubre (versiones corregidas); Cloudflare (alcance de PHP2Shell y recomendación a usuarios de hosting).