Guías

Seguridad web, paso a paso.

Guías breves y prácticas, con líneas que puedes pegar en nginx, Apache o WordPress. Cada guía enlaza sus fuentes. El código y la configuración se quedan en inglés.

Análisis pasivo. Nada se ataca sin tu permiso.

Guías en español

Guía

Cabeceras de seguridad

Cabeceras de seguridad HTTP para copiar y pegar en nginx, Apache (.htaccess), Cloudflare y WordPress: HSTS, X-Content-Type-Options, protección de marcos, Referrer-Policy y Permissions-Policy.

Guía

Content-Security-Policy

Implanta una Content-Security-Policy sin romper tu sitio: empieza en modo de solo informe, crea una lista de permitidos y después aplícala. Ejemplos para nginx, Apache y WordPress.

Guía

HSTS

Qué hace HSTS, por qué empezar con un max-age corto, cuándo usar includeSubDomains y preload, con líneas para copiar y pegar en nginx, Apache y Cloudflare.

Guía

¿Han hackeado tu WordPress?

Las señales de un WordPress hackeado, cómo confirmarlo con las sumas de verificación de WP-CLI y una lista de limpieza: usuarios, archivos, claves, actualizaciones y una revisión de Google.

Guía

Refuerzo de WordPress

Una lista práctica para reforzar WordPress con fragmentos para copiar y pegar: bloquear XML-RPC, ocultar nombres de usuario, desactivar el editor de archivos, proteger wp-config.php y frenar el PHP en uploads.

Guía

HTTPS y contenido mixto

Fuerza HTTPS con una sola redirección 301, corrige los avisos de contenido mixto, evita los bucles de redirección de Cloudflare y actualiza los enlaces http:// antiguos de WordPress con WP-CLI.

Guía

Skimmers en el pago

Cómo entran los skimmers de tarjetas en las tiendas online y cómo frenarlos: inventario de scripts, CSP en el pago, SRI, campos de pago alojados y detección de cambios (PCI DSS 4.0 6.4.3 y 11.6.1).

Guía

Archivos .git, .env y copias expuestos

Los archivos .env, las carpetas .git y las copias de bases de datos filtrados entregan tus contraseñas a los atacantes. Comprueba si los tuyos son públicos, bloquéalos en nginx o Apache y cambia los secretos.

Guía

SPF, DKIM y DMARC

Impide que los estafadores envíen correos en nombre de tu dominio. Registros SPF y DMARC para copiar y pegar para Google Workspace y Microsoft 365, y un camino seguro de p=none a p=reject.

Guía

Revisar la seguridad de tu web

Una forma gratuita y segura de revisar la seguridad de tu web: HTTPS, cabeceras de seguridad, registros de correo, actualizaciones de WordPress y archivos expuestos, con los comandos exactos y cómo se ve un buen resultado.

Guía

Las notas de seguridad A–F

Cómo se calcula la nota de seguridad web A–F de HackGrade: puntos según la gravedad de cada problema, límites por categoría y las reglas que limitan la nota cuando hay un problema crítico o de riesgo alto.

Guía

Revisar tu certificado SSL

Revisa tu configuración SSL/TLS en seis pasos: cadena de confianza, nombres que coinciden, caducidad y renovación automática, solo TLS 1.2/1.3, redirección de HTTP a HTTPS y HSTS. Comandos y configuración para nginx y Apache.

Guía

Plugins de WordPress desactualizados

Encuentra plugins y temas de WordPress desactualizados y vulnerables: la pantalla de actualizaciones, comandos de WP-CLI, bases de datos públicas de vulnerabilidades, plugins cerrados y actualizaciones automáticas seguras.

Guía

Lista de seguridad para pequeñas empresas

Una lista práctica de seguridad web para pequeñas empresas: HTTPS, actualizaciones, copias de seguridad, verificación en dos pasos, cabeceras de seguridad, registros de correo, protección del dominio y vigilancia, con enlaces a soluciones paso a paso.

Guía

Atributos de seguridad de las cookies

Qué hacen los atributos Secure, HttpOnly y SameSite de las cookies y cómo configurarlos en PHP, WordPress, nginx y Apache, sin romper las cookies que necesitan tus scripts.

Guía

Ocultar versiones del servidor y PHP

Deja de anunciar las versiones de tu software: server_tokens en nginx, ServerTokens en Apache, expose_php en PHP y la etiqueta generator de WordPress, y por qué actualizar importa más que ocultar.

Guía

Añadir un archivo security.txt

Publica un archivo security.txt para que los investigadores puedan avisarte de problemas: campos obligatorios, un ejemplo, dónde ponerlo en nginx, Apache y WordPress, y cómo mantenerlo válido.

Guía

Escáner vs pentest vs comprobador de cabeceras

Una comparación justa entre comprobadores gratuitos de cabeceras de seguridad, escáneres automáticos de seguridad web como HackGrade y pruebas de penetración manuales: qué encuentra cada uno, qué se le escapa y cuándo necesitas cada uno.

Análisis gratuitos

Gratis · Al instante · Sin registro

Conoce tu nota antes que nadie.

Análisis pasivo. Nada se ataca sin tu permiso.

Empieza gratis. Planes de pago desde 12 $ al mes, o un informe único por 29 $. Ver precios