Análisis de seguridad web gratis

¿Tu web es segura? Descúbrelo en segundos.

Pega tu dirección y obtén una nota de seguridad de la A a la F con los problemas que más importan, ordenados por riesgo real. Pasivo y de solo lectura: miramos lo que el navegador de cualquier visitante ya ve.

Análisis pasivo. Nada se ataca sin tu permiso.

Qué revisa el análisis gratuito

  • HTTPS y certificados: redirección de HTTP a HTTPS, confianza y caducidad del certificado, versión de TLS, HSTS.
  • Cabeceras de seguridad: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
  • Cookies y software: cookies sin los atributos Secure/HttpOnly/SameSite, versiones del servidor y de PHP a la vista, librerías JavaScript desactualizadas, contenido mixto.
  • WordPress: versión pública del núcleo, vulnerabilidades conocidas en el núcleo, plugins y temas, componentes desactualizados, nombres de usuario visibles, XML-RPC.
  • Suplantación de correo: registros SPF y DMARC de tu dominio, además de un archivo security.txt.

Qué recibes

  • Una nota de la A a la F y una puntuación de 0 a 100 que puedes volver a comprobar tras cada corrección.
  • Cada problema explicado en lenguaje sencillo, ordenado de crítico a informativo.
  • Correcciones paso a paso para tus 3 primeros problemas, gratis. Líneas para copiar y pegar en nginx, Apache (.htaccess), Cloudflare y WordPress.
  • Una nueva revisión mensual de un sitio al crear una cuenta gratuita.

Pruebas más profundas, solo con tu permiso

Cuando verificas que el dominio es tuyo (un registro DNS, un archivo o una metaetiqueta) y das tu consentimiento explícito, los planes de pago ejecutan pruebas más profundas:

  • Archivos expuestos como .env, .git, copias de seguridad, volcados de bases de datos, phpinfo y registros de depuración.
  • Protocolos y cifrados TLS, puertos abiertos, listado de directorios, paneles de administración.
  • Pruebas de inyección (SQLi, XSS, SSTI, redirección abierta), problemas de CORS, CSRF y JWT.
  • Para tiendas: manipulación de precios en el carrito y el pago, abuso de cupones, exposición a pruebas de tarjetas y señales de skimmers (scripts de pago desconocidos o modificados, formularios de pago falsos, dominios parecidos).
  • Código inyectado, como páginas de CAPTCHA falso / ClickFix y scripts cargados desde blockchains.

Lo que ningún escáner remoto puede ver

Un análisis remoto ve lo que ve internet: tus páginas, cabeceras, certificados y DNS. No puede leer los archivos de tu servidor, tu base de datos ni tu panel de hosting, así que una buena nota es una señal sólida, no una garantía. Decimos exactamente qué revisamos y qué no, y las pruebas más profundas solo se ejecutan después de que demuestres que el sitio es tuyo.

Preguntas frecuentes

¿Es seguro ejecutar el análisis de seguridad web gratuito?

Sí. Solo hace el mismo tipo de peticiones que el navegador de un visitante normal: páginas, cabeceras, certificados y registros DNS públicos. No se ataca nada y no se añade carga.

¿Cómo se calcula la nota?

Cada hallazgo tiene una gravedad. Los problemas críticos y altos, como no tener HTTPS o un plugin con una vulnerabilidad conocida, bajan la puntuación mucho más que la falta de cabeceras recomendadas. La letra sale de la puntuación.

¿Tengo que instalar algo?

No. Para el análisis gratuito no hay plugin ni código que añadir. Solo añades un registro DNS, un archivo o una metaetiqueta si quieres las pruebas más profundas, basadas en tu consentimiento.

¿Funciona con sitios que no son WordPress?

Sí. Todos los sitios reciben las comprobaciones de HTTPS, cabeceras, cookies, software y correo. Los sitios WordPress reciben además las del núcleo, plugins, temas y usuarios.

Guías con soluciones para copiar y pegar

Guía

Cabeceras de seguridad

Cabeceras de seguridad HTTP para copiar y pegar en nginx, Apache (.htaccess), Cloudflare y WordPress: HSTS, X-Content-Type-Options, protección de marcos, Referrer-Policy y Permissions-Policy.

Guía

HSTS

Qué hace HSTS, por qué empezar con un max-age corto, cuándo usar includeSubDomains y preload, con líneas para copiar y pegar en nginx, Apache y Cloudflare.

Guía

HTTPS y contenido mixto

Fuerza HTTPS con una sola redirección 301, corrige los avisos de contenido mixto, evita los bucles de redirección de Cloudflare y actualiza los enlaces http:// antiguos de WordPress con WP-CLI.

Guía

SPF, DKIM y DMARC

Impide que los estafadores envíen correos en nombre de tu dominio. Registros SPF y DMARC para copiar y pegar para Google Workspace y Microsoft 365, y un camino seguro de p=none a p=reject.

Guía

Revisar la seguridad de tu web

Una forma gratuita y segura de revisar la seguridad de tu web: HTTPS, cabeceras de seguridad, registros de correo, actualizaciones de WordPress y archivos expuestos, con los comandos exactos y cómo se ve un buen resultado.

Guía

Las notas de seguridad A–F

Cómo se calcula la nota de seguridad web A–F de HackGrade: puntos según la gravedad de cada problema, límites por categoría y las reglas que limitan la nota cuando hay un problema crítico o de riesgo alto.

Guía

Lista de seguridad para pequeñas empresas

Una lista práctica de seguridad web para pequeñas empresas: HTTPS, actualizaciones, copias de seguridad, verificación en dos pasos, cabeceras de seguridad, registros de correo, protección del dominio y vigilancia, con enlaces a soluciones paso a paso.

Más análisis gratuitos

Gratis · Al instante · Sin registro

Conoce tu nota antes que nadie.

Análisis pasivo. Nada se ataca sin tu permiso.

Empieza gratis. Planes de pago desde 12 $ al mes, o un informe único por 29 $. Ver precios