¿Comprobador de cabeceras, escáner o prueba de penetración?
Respuesta corta: un comprobador de cabeceras gratuito te dice si unas pocas cabeceras HTTP están configuradas; un escáner web automático (como HackGrade) revisa muchos problemas visibles desde fuera en HTTPS, cabeceras, registros de correo y componentes del CMS, y puede repetirlo de forma programada; una prueba de penetración manual recurre a una persona para encontrar fallos de lógica y de control de acceso que las herramientas no detectan. La mayoría de las pequeñas empresas deberían empezar con un escáner y añadir una prueba de penetración cuando el riesgo o una norma lo exijan.
| Comprobador de cabeceras | Escáner de seguridad web | Prueba de penetración | |
|---|---|---|---|
| Qué revisa | Las cabeceras de respuesta HTTP de una URL | HTTPS/TLS, cabeceras, cookies, registros de correo en DNS, versiones del CMS y de plugins, archivos expuestos; pruebas más profundas con permiso | Todo lo que entre en el alcance, incluida la lógica de negocio y las zonas con inicio de sesión |
| Quién lo ejecuta | Tú, en un navegador | Automático, a demanda o programado | Una persona experta en seguridad |
| Tiempo | Segundos | De segundos (pasivo) a minutos (profundo) | De días a semanas |
| Guía para corregir | Normalmente breve | Depende de la herramienta; HackGrade da soluciones paso a paso | Un informe escrito |
| Repetición | Manual | Vigilancia continua posible | Un momento concreto |
| Coste | Normalmente gratis | Desde un plan gratuito hasta planes mensuales | Se presupuesta por encargo; varía mucho |
Cuándo basta un comprobador de cabeceras
Cuando acabas de cambiar la configuración del servidor o de la CDN y quieres confirmar que una cabecera ya está presente. No te dice nada sobre certificados, suplantación de correo ni software desactualizado.
Cuándo un escáner es la herramienta adecuada
Para la mayoría de los sitios de pequeñas empresas: cubre los problemas que buscan de verdad los ataques automáticos, los ordena por prioridad y puede repetirse cada semana para que te enteres cuando un certificado se acerca a su caducidad o un plugin tiene una vulnerabilidad nueva. El análisis gratuito de HackGrade es pasivo; sus pruebas más profundas solo se ejecutan para propietarios verificados que aceptan el acuerdo de autorización de análisis.
Cuándo necesitas una prueba de penetración
- Manejas datos sensibles o grandes volúmenes de pagos, o un contrato o una norma lo exige (por ejemplo, el requisito 11.4 de PCI DSS).
- Tienes una aplicación web a medida con cuentas, roles o reglas de negocio complejas.
- Quieres que una persona intente encadenar problemas pequeños hasta un ataque real.
Lo que ninguna herramienta remota ve
Ninguna sustituye a las actualizaciones, las copias de seguridad, la verificación en dos pasos y unas buenas contraseñas. Las herramientas remotas no ven los archivos de tu servidor ni tu cuenta de hosting. Consulta la lista de seguridad para pequeñas empresas.
Preguntas frecuentes
¿HackGrade es una prueba de penetración?
No. HackGrade es un escáner automático. Su análisis profundo ejecuta pruebas activas en dominios verificados, pero no sustituye a una persona en pruebas de lógica de negocio o pentests exigidos por contrato.
¿Un escáner y un pentest pueden encontrar los mismos problemas?
Coinciden en los problemas comunes y visibles. Un escáner es más rápido y repetible; una persona encuentra fallos de lógica y cadenas de ataque.
¿Qué debería hacer primero?
Primero un escáner, y corrige lo que encuentre. Una prueba de penetración sale más a cuenta cuando los problemas fáciles ya están resueltos.