Cómo revisar la seguridad de tu sitio web gratis
Respuesta corta: haz un análisis pasivo gratuito (como la nota A–F de HackGrade) y luego confirma tú mismo lo básico: HTTPS con un certificado válido, las principales cabeceras de seguridad, registros SPF y DMARC para tu dominio de correo, software actualizado y ningún archivo de copia de seguridad o de configuración público. Todo esto se puede comprobar desde fuera, de forma segura, en unos diez minutos.
Pasos rápidos
- Haz un análisis pasivo. Obtén una nota global y una lista de problemas por prioridad, sin atacar nada.
- Revisa HTTPS y el certificado. Asegúrate de que http:// redirige a https:// y de que el certificado es válido y no está a punto de caducar.
- Revisa las cabeceras de seguridad. Busca Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options y Referrer-Policy.
- Revisa los registros de correo. Consulta el registro TXT de SPF en tu dominio y el registro TXT de DMARC en _dmarc.tudominio.
- Revisa las actualizaciones. Actualiza tu CMS, plugins y temas, y elimina los que no uses.
- Busca archivos expuestos. Asegúrate de que archivos como .env, .git y las copias de seguridad no se pueden descargar desde tu propio sitio.
El código y la configuración se mantienen en inglés.
1. Haz un análisis pasivo
Un análisis pasivo solo lee lo que el navegador de cualquier visitante ya puede ver: tus páginas, las cabeceras de respuesta, el certificado y el DNS público. No inicia sesión, no envía formularios ni prueba ataques, así que es seguro ejecutarlo en un sitio en producción. El análisis gratuito de HackGrade hace exactamente eso y convierte los resultados en una nota de la A a la F, con las tres primeras correcciones explicadas. Cómo funciona la nota A–F.
2. Revisa HTTPS y el certificado
Tu dirección HTTP sin cifrar debería responder con una redirección permanente (301 o 308) a HTTPS:
curl -sI http://yourdomain.com | head -n 3Luego consulta las fechas y el emisor del certificado:
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -datesMás detalles en ¿Está bien configurado mi certificado SSL?
3. Revisa las cabeceras de seguridad
curl -sI https://yourdomain.com | grep -iE 'strict-transport|content-security|x-frame|x-content-type|referrer-policy|permissions-policy'Si falta una línea, falta esa cabecera. La guía de cabeceras de seguridad tiene soluciones para copiar y pegar en nginx, Apache, Cloudflare y WordPress.
4. Revisa los registros de correo (SPF y DMARC)
dig +short TXT yourdomain.com | grep -i spf
dig +short TXT _dmarc.yourdomain.comSin registro SPF ni DMARC, cualquiera puede enviar correos que dicen venir de tu dominio. Consulta SPF, DKIM y DMARC en lenguaje sencillo.
5. Revisa las actualizaciones
En WordPress, abre Escritorio → Actualizaciones. Los plugins desactualizados son la vía más habitual por la que se hackean los sitios pequeños. Consulta cómo encontrar plugins desactualizados con vulnerabilidades conocidas.
6. Busca archivos expuestos (solo en tu propio sitio)
Cada uno de estos debería devolver 403 o 404, nunca 200:
for p in .env .git/HEAD wp-config.php.bak backup.zip; do
printf '%s ' "$p"; curl -s -o /dev/null -w '%{http_code}\n' "https://yourdomain.com/$p"
doneSi alguno devuelve 200, sigue Bloquear archivos .git, .env y copias de seguridad expuestos y cambia todas las contraseñas o claves que contuviera el archivo.
Lo que una revisión gratuita no puede ver
Una revisión remota ve lo que ve internet. No puede leer los archivos de tu servidor, tu base de datos ni tu panel de hosting, así que una buena nota es una señal sólida, no una garantía. Las pruebas más profundas (archivos expuestos, pruebas de inyección, lógica del pago) solo deben ejecutarse en un sitio que sea tuyo y con permiso. HackGrade solo las ejecuta después de que verifiques el dominio y aceptes el acuerdo de autorización de análisis.
Preguntas frecuentes
¿Es legal analizar mi propio sitio web?
Sí, revisar tu propio sitio está bien. Un análisis pasivo solo lee información pública, igual que un navegador. Las pruebas activas solo deben hacerse en sitios que sean tuyos o que tengas autorización para probar.
¿Un análisis de seguridad ralentizará o romperá mi sitio?
Un análisis pasivo hace un número pequeño de peticiones normales, parecido a un visitante, así que no afecta a un sitio normal.
¿Cada cuánto debería revisar la seguridad de mi web?
Después de cada cambio importante (nuevo plugin, tema, hosting o cambio de DNS) y al menos una vez al mes. Los certificados caducan y cada semana se publican nuevas vulnerabilidades de plugins.
¿Una buena nota significa que no pueden hackear mi sitio?
No. Significa que los problemas visibles desde fuera están en buen estado. Mantén el software actualizado, usa contraseñas fuertes y únicas con verificación en dos pasos, y guarda copias de seguridad probadas.