Una web puede verse perfecta y, por debajo, tener puertas abiertas que nadie ve. No hace falta que te hayan atacado para tener un problema: basta con que alguien lo encuentre antes que tú.
Una auditoría de seguridad sirve justo para eso: mirar tu web, tu correo y tu red como lo haría un atacante, pero con tu permiso, y decirte qué corregir y en qué orden.
Lo que revisamos, punto por punto
1. HTTPS y certificado
Que la web vaya siempre por HTTPS, con un certificado válido, que no esté a punto de caducar y con versiones de cifrado actuales (TLS 1.2 o 1.3). Un certificado caducado no solo da mala imagen: los navegadores avisan de que la web no es segura y muchos visitantes se van.
2. Cabeceras de seguridad
Son instrucciones que tu web da al navegador y que casi nadie configura:
- HSTS: obliga a usar siempre HTTPS, aunque alguien intente forzar la versión sin cifrar.
- Content-Security-Policy: dice de dónde puede cargar scripts la página. Es la defensa principal contra la inyección de código.
- X-Frame-Options: impide que otra web meta la tuya dentro de un marco para engañar al usuario.
- X-Content-Type-Options: evita que el navegador interprete un archivo inofensivo como si fuera un programa.
3. El correo de tu dominio
Revisamos SPF, DKIM y DMARC, los registros que dicen quién puede enviar correo con tu nombre. Si faltan, cualquiera puede mandar un correo que parece tuyo a tus clientes, por ejemplo una factura con otro número de cuenta.
4. El gestor de contenidos y sus versiones
Si la web usa WordPress u otro gestor, comprobamos si se ve qué versión es y si está anticuada. Un WordPress o un plugin sin actualizar es una de las puertas de entrada más habituales.
5. Lo que no debería verse
Copias de seguridad olvidadas en la carpeta pública, archivos de configuración, paneles de administración expuestos o listados de carpetas. Son errores pequeños que dan mucha información a quien busca.
6. La red, cuando hay oficina
En la auditoría de red miramos qué equipos hay conectados y qué servicios tienen abiertos a internet: un escritorio remoto expuesto, un NAS accesible desde fuera o un router con el panel abierto son hallazgos más comunes de lo que parece.
Cómo trabajamos
- Autorización firmada. Antes de escanear nada, dejamos por escrito qué revisamos y cuándo.
- Pruebas no intrusivas. No paramos tu web ni tu trabajo.
- Informe con nota. Una nota global, un resumen para dirección sin tecnicismos y el detalle de cada punto, con cómo corregirlo y por dónde empezar.
- Corrección y nueva revisión. Cuando está corregido, repetimos el escaneo y el informe muestra la mejora.
Empezamos por casa
Antes de ofrecerlo, lo aplicamos a nuestra propia web. cibergroup.es partía de 97 sobre 100, y los puntos que faltaban estaban en el correo. Activamos la firma DKIM, endurecimos la política DMARC y hoy obtiene 100/100 (A) en nuestra auditoría.
¿Qué nota sacaría tu web? Mira cómo es nuestra auditoría de seguridad o escríbenos y te lo decimos.
Cuéntanos cómo trabajáis y te decimos por dónde empezar. Sin compromiso.