Qué significan las notas de seguridad web de la A a la F
Respuesta corta: todos los sitios empiezan con 100 puntos. Cada problema encontrado resta puntos según su gravedad (crítico 40, alto 20, medio 8, bajo 3), con un límite por categoría. 90 o más es una A, 75 o más una B, 60 o más una C, 40 o más una D y menos de 40 una F. Cualquier problema de riesgo alto limita la nota a B, un problema crítico la limita a D y dos o más problemas críticos significan F.
Los tramos
| Nota | Puntuación | Lo que suele significar |
|---|---|---|
| A | 90–100 | Lo básico está en su sitio. Solo quedan refuerzos menores. |
| B | 75–89 | Sólido, con algunas protecciones que faltan o un problema de riesgo alto que corregir. |
| C | 60–74 | Varios huecos que los atacantes suelen buscar. |
| D | 40–59 | Huecos serios, o un problema crítico como un certificado no válido o caducado. |
| F | 0–39 | Corrígelo ya: varios problemas críticos o muchos de riesgo alto. |
Cómo se restan los puntos
- Crítico: 40 puntos. Ejemplo: un certificado caducado o que no es de confianza.
- Alto: 20 puntos. Ejemplos: una versión de TLS obsoleta (1.0/1.1), un certificado que caduca en menos de 14 días, una versión de PHP que ya no recibe parches de seguridad.
- Medio: 8 puntos. Ejemplos: sin HSTS, sin Content-Security-Policy, sin protección contra clickjacking, sin registro SPF o DMARC.
- Bajo: 3 puntos. Ejemplos: sin Referrer-Policy, sin Permissions-Policy, números de versión del servidor o de PHP a la vista.
- Informativo: 0 puntos. Solo se muestra como contexto.
Cada categoría (por ejemplo cabeceras, TLS, correo, WordPress) tiene una deducción máxima, así que muchos problemas pequeños de cabeceras no pueden hundir la nota por sí solos. La categoría de cabeceras tiene un límite de 24 puntos.
Los límites de seguridad
Los puntos por sí solos podrían ocultar un único problema peligroso, así que después de la puntuación se aplican tres reglas:
- Cualquier problema alto: la nota es como máximo B.
- Un problema crítico: la nota es como máximo D.
- Dos o más problemas críticos: la nota es F.
Dos ejemplos
- Falta CSP (8) + falta HSTS (8) + falta Referrer-Policy (3) = 19 puntos. 100 − 19 = 81, una B.
- Un certificado caducado (40) = 60 puntos, que sería una C, pero el límite por problema crítico la baja a una D.
Cómo subir tu nota lo más rápido posible
- Corrige primero todo lo crítico (certificados, archivos expuestos).
- Resuelve todos los problemas altos, porque uno solo te deja en B.
- Añade las cabeceras que faltan: líneas para copiar en tu servidor (en inglés).
- Añade SPF y DMARC: registros para Google Workspace y Microsoft 365 (en inglés).
- Vuelve a analizar para confirmarlo.
Nota gratuita frente a análisis profundo
La nota gratuita sale solo de comprobaciones pasivas. Un análisis profundo (para propietarios verificados, con consentimiento) ejecuta más pruebas, así que puede encontrar problemas que la nota gratuita no ve, y la nota puede bajar además de subir.
Preguntas frecuentes
¿Una A es lo mismo que estar seguro?
No. Una A significa que los problemas visibles desde fuera están en buen estado. No puede ver los archivos de tu servidor, tus contraseñas ni tus copias de seguridad.
¿Por qué mi nota está limitada a B si mi puntuación supera 90?
Porque hay al menos un problema de riesgo alto. Corrígelo y el límite desaparece.
¿Por qué ha cambiado mi nota si no he cambiado nada?
Los certificados se acercan a su caducidad, se publican nuevas vulnerabilidades del software que usas, y tu hosting o tu CDN pueden cambiar las cabeceras.
¿Otras herramientas de calificación usan la misma escala?
No. Cada herramienta pondera los problemas de forma distinta, así que las notas de herramientas diferentes no son directamente comparables. Esta página describe solo la escala de HackGrade.