En resumen
- Revisamos 1.939 sitios web turísticos de 5 regiones, de La Araucanía a Magallanes: el 72 % saca nota D o F en seguridad y el 41 % usa plugins o temas con vulnerabilidades conocidas.
- El 84 % no enlaza una política de privacidad en su portada, y solo el 6 % cumple lo que se puede ver desde fuera de lo que pide la Ley 21.719 de datos personales.
- De 15.380 negocios turísticos del listado, solo el 16 % tiene un sitio propio que funciona; otros 1.267 tienen el sitio caído o el dominio vencido.
En octubre de 2026 revisamos, como lo haría cualquier visitante, la portada de los sitios web de las empresas turísticas de La Araucanía, Los Ríos, Los Lagos, Aysén y Magallanes. Miramos la seguridad básica del sitio y lo que se ve desde fuera de su cumplimiento de la Ley 21.719 de protección de datos personales. Estos son los resultados agregados.
Este estudio de seguridad web del turismo revisa la seguridad de sitios web turísticos del sur de Chile, de La Araucanía a Magallanes: plugins vulnerables, vulnerabilidades conocidas, cabeceras y privacidad.
Resultados: cómo están los sitios que funcionan
Porcentaje de los 1.939 sitios revisados que cumple cada condición:
Resultados por región
| Región | Sitios revisados | Nota D o F | Plugins o temas vulnerables | Sin política de privacidad | Sin cabeceras de seguridad |
|---|---|---|---|---|---|
| La Araucanía | 454 | 75 % | 44 % | 86 % | 51 % |
| Los Ríos | 235 | 76 % | 47 % | 86 % | 56 % |
| Los Lagos | 568 | 70 % | 39 % | 84 % | 51 % |
| Aysén | 266 | 73 % | 41 % | 88 % | 52 % |
| Magallanes | 416 | 69 % | 35 % | 79 % | 51 % |
| Total | 1.939 | 72 % | 41 % | 84 % | 52 % |
Algunas cadenas tienen el mismo sitio en más de una región: en total son 1.898 sitios distintos.
Resultados por destino
Comunas con al menos 20 sitios revisados, de más a menos sitios:
| Destino | Región | Sitios | Nota D o F | Plugins o temas vulnerables | Sin política de privacidad | En inglés | Reserva o pago propio |
|---|---|---|---|---|---|---|---|
| Natales | Magallanes | 214 | 68 % | 37 % | 80 % | 49 % | 28 % |
| Pucón | La Araucanía | 168 | 65 % | 37 % | 86 % | 26 % | 27 % |
| Puerto Varas | Los Lagos | 156 | 69 % | 40 % | 83 % | 46 % | 28 % |
| Punta Arenas | Magallanes | 151 | 73 % | 32 % | 77 % | 46 % | 32 % |
| Coyhaique | Aysén | 112 | 71 % | 34 % | 83 % | 37 % | 27 % |
| Valdivia | Los Ríos | 105 | 71 % | 44 % | 79 % | 14 % | 30 % |
| Puerto Montt | Los Lagos | 88 | 74 % | 39 % | 83 % | 27 % | 23 % |
| Villarrica | La Araucanía | 68 | 81 % | 47 % | 84 % | 22 % | 22 % |
| Temuco | La Araucanía | 66 | 77 % | 42 % | 88 % | 24 % | 20 % |
| Panguipulli | Los Ríos | 65 | 83 % | 48 % | 95 % | 20 % | 25 % |
| Curacautín | La Araucanía | 47 | 77 % | 49 % | 83 % | 30 % | 30 % |
| Castro | Los Lagos | 41 | 76 % | 37 % | 83 % | 32 % | 27 % |
| Río Ibáñez | Aysén | 41 | 73 % | 51 % | 85 % | 34 % | 39 % |
| Chile Chico | Aysén | 37 | 68 % | 35 % | 97 % | 62 % | 27 % |
| Futaleufú | Los Lagos | 33 | 61 % | 33 % | 91 % | 42 % | 15 % |
| Osorno | Los Lagos | 31 | 74 % | 42 % | 71 % | 19 % | 23 % |
| Ancud | Los Lagos | 30 | 73 % | 43 % | 93 % | 17 % | 17 % |
| Frutillar | Los Lagos | 28 | 50 % | 36 % | 64 % | 32 % | 18 % |
| Torres del Paine | Magallanes | 24 | 71 % | 42 % | 67 % | 50 % | 21 % |
| Cochamó | Los Lagos | 23 | 70 % | 30 % | 83 % | 39 % | 13 % |
| Cisnes | Aysén | 22 | 82 % | 55 % | 86 % | 27 % | 36 % |
| Aysén | Aysén | 21 | 95 % | 43 % | 100 % | 29 % | 24 % |
En los destinos con más turistas extranjeros, como Natales, Puerto Varas y Pucón, la brecha de seguridad es parecida a la del resto de su región.
Alojamientos frente a tours y agencias
- Alojamiento: 856 sitios; el 76 % saca D o F y el 87 % no enlaza política de privacidad.
- Tours, agencias y actividades: 1.083 sitios; el 70 % saca D o F y el 82 % no enlaza política de privacidad.
Los plugins vulnerables que más se repiten
El 54 % de los sitios está hecho en WordPress. Estos son los plugins y temas con vulnerabilidades conocidas en la versión instalada que aparecen en más sitios:
- Elementor Website Builder: 247 sitios
- WooCommerce: 183 sitios
- Slider Revolution: 157 sitios
- Elementor Pro: 154 sitios
- Yoast SEO: 145 sitios
- Contact Form 7: 106 sitios
Son herramientas populares y seguras cuando están al día: el problema no es el plugin, sino no actualizarlo. Una vulnerabilidad conocida no significa que el sitio haya sido atacado, pero sí que el arreglo existe y no se ha aplicado.
Muchos negocios no tienen un sitio propio que funcione
Del listado de 15.380 negocios turísticos de las cinco regiones, solo el 16 % tiene un sitio propio que funciona. Otros 1.267 tienen el sitio caído, la cuenta suspendida o el dominio vencido, y la mayoría solo aparece en el registro de Sernatur o en un mapa. Para el turista que busca en Google o le pregunta a una IA, esos negocios casi no existen.
Qué significa para un negocio turístico
- La privacidad es lo más atrasado: la Ley 21.719 cambia las reglas de los datos personales y casi ningún sitio está listo. Revise qué pide en nuestra guía de la Ley 21.719 en sitios web de turismo.
- Actualizar es la defensa más barata: la mayoría de los problemas se resuelve actualizando WordPress, los plugins y el tema, y agregando las cabeceras de seguridad en el servidor.
- Un sitio caído pierde reservas: el turista que llega desde Google Maps o desde Sernatur encuentra un error y desconfía.
- Revise su propio sitio: el verificador gratis de la web turística le da un primer diagnóstico en segundos.
Metodología
- Listado: servicios turísticos del buscador público de Sernatur en todas las comunas de las cinco regiones, más los lugares turísticos de OpenStreetMap (extracto del 14-oct-2026), cruzados por teléfono, dominio o nombre y agrupados por empresa.
- Revisión: entre el 14 y el 15 de octubre de 2026, de forma automática y pasiva: se abrió solo la portada de cada sitio, una vez, como un visitante normal. No es una prueba de intrusión ni una auditoría legal.
- Qué se miró: HTTPS y su certificado, las seis cabeceras de seguridad más usadas, la versión visible de WordPress, de sus plugins y temas, rastreadores, aviso de cookies, política de privacidad y casilla de aceptación en los formularios.
- Plugins y temas: la versión que muestra el código se comparó con api.wordpress.org y con la base pública wpvulnerability.net. Las versiones genéricas o dudosas se descartaron.
- Nota de seguridad: escala propia de A a F que descuenta puntos por HTTPS, cabeceras, versiones sin parches y componentes vulnerables. No es un estándar oficial.
- Limitaciones: solo se revisó la portada; una política de privacidad o un formulario pueden estar en otra página. Las versiones solo se ven si el sitio las muestra.
- Transparencia: la muestra puede incluir sitios de clientes de MTurismo. No publicamos resultados de negocios ni sitios individuales.
- Fuentes de los datos del listado: Sernatur, buscador de servicios turísticos, y © colaboradores de OpenStreetMap, disponibles bajo la licencia ODbL.
¿Quiere saber cómo sale su sitio o ponerlo al día antes del cambio de ley? Use el verificador gratis o conversemos.
Antonio Mondaca Vargas, CEO de MTurismo. Desarrolló Turisnet en 2004, fundó MTurismo en 2012 y participó en el desarrollo de 150 sitios web turísticos para el plan de Asesoría Digital Pyme 2013 de Sernatur.