Cómo saber si tu web es segura: 10 comprobaciones para empresas

La mayoría de empresas no saben si su web es segura hasta que algo sale mal: un aviso de Google de sitio comprometido, un formulario que empieza a enviar spam o un cliente que recibe un correo fraudulento en nombre de la empresa. Y casi nunca se debe a un ataque sofisticado dirigido, sino a bots automáticos que recorren internet buscando fallos conocidos.

Estas son diez comprobaciones que te dan una primera idea de cómo de expuesta está tu web. Algunas puedes hacerlas tú mismo en cinco minutos; otras requieren conocimientos técnicos.

1. HTTPS en todas las páginas
2. CMS y plugins actualizados
3. Contraseñas y accesos
4. Cabeceras de seguridad
5. Formularios protegidos
6. Información expuesta
7. Copias de seguridad
8. Correo del dominio (SPF, DKIM, DMARC)
9. Servidor y servicios expuestos
10. Lógica de negocio y permisos

Puedes revisarlo túMejor con un técnico

1HTTPS en todas las páginas

Tu web debe cargar siempre con https:// y redirigir automáticamente desde http://. Comprueba también que el certificado no está a punto de caducar y que no hay avisos de "contenido mixto" (imágenes o scripts que se cargan sin cifrar). Es lo mínimo, pero sigue habiendo webs de empresa que fallan aquí.

2CMS, plugins y temas actualizados

Si tu web usa WordPress, PrestaShop, Joomla o similar, esta es la causa número uno de webs comprometidas. Cada plugin desactualizado es una puerta potencial. Revisa:

• Que el núcleo del CMS está en la última versión.
• Que no hay plugins o temas instalados que ya no se usan (aunque estén desactivados).
• Que los plugins que usas siguen mantenidos por su autor.

3Contraseñas y acceso al panel de administración

Usuarios como "admin", contraseñas compartidas entre varias personas o cuentas de antiguos empleados que siguen activas son muy habituales. Activa la autenticación en dos pasos en el panel de administración, limita los intentos de inicio de sesión y elimina las cuentas que ya no se usan.

4Cabeceras de seguridad HTTP

Cabeceras como Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options o X-Frame-Options indican al navegador cómo protegerse frente a ataques como XSS o clickjacking. Herramientas gratuitas como el analizador de Mozilla Observatory te dicen en segundos cuáles te faltan.

5Formularios protegidos

Formularios de contacto, registro o búsqueda son puntos de entrada de datos y, por tanto, de ataques. Deben validar los datos en el servidor (no solo en el navegador), tener protección contra spam y bots, y no mostrar mensajes de error que revelen detalles internos del sistema.

6Información expuesta sin querer

Es sorprendentemente común encontrar en webs de producción copias de seguridad descargables (backup.zip), ficheros de configuración, carpetas .git accesibles o páginas de error con trazas técnicas. Todo esto da a un atacante información valiosa sobre cómo está construido tu sistema.

7Copias de seguridad que funcionan

Tener copias de seguridad no basta: tienen que estar fuera del propio servidor, ser automáticas y, sobre todo, haberse probado. Una copia que nunca se ha restaurado es una copia en la que no puedes confiar cuando la necesites.

8Seguridad del correo de tu dominio

Aunque no es la web en sí, va de la mano: si tu dominio no tiene bien configurados los registros SPF, DKIM y DMARC, cualquiera puede enviar correos que parecen venir de tu empresa. Es la base de muchos fraudes a clientes y proveedores.

9Servidor y servicios expuestos

Más allá de la web, el servidor puede tener abiertos puertos y servicios que no deberían estar accesibles desde internet: paneles de administración del hosting, bases de datos, accesos remotos con contraseña débil. Revisar qué está expuesto es una de las primeras fases de cualquier auditoría.

10Lógica de negocio y permisos

Si tu web tiene área de clientes, pedidos o una API, la pregunta clave es: ¿puede un usuario ver o modificar datos que no son suyos? Cambiar un número en la URL y acceder al pedido de otro cliente es un fallo grave y más frecuente de lo que parece. Este tipo de problema no lo detectan los escáneres automáticos; requiere revisión manual.

¿Cuándo hace falta una auditoría de seguridad profesional?

Una auditoría de seguridad web tiene especial sentido cuando:

• Tu web gestiona datos personales, pagos o un área privada de clientes.
• Vas a lanzar una nueva aplicación o una versión importante.
• Un cliente, partner o normativa te pide demostrar que tus sistemas son seguros.
• Ya has tenido un incidente y quieres saber hasta dónde llegó.
• Nadie ha revisado la seguridad de tu web desde que se publicó.

Una buena auditoría no termina en un informe interminable: debe darte una lista de hallazgos priorizada por riesgo real y un plan concreto para corregirlos. Si quieres saber cómo la planteamos, aquí tienes los detalles de nuestro servicio de ciberseguridad y auditoría de seguridad web para empresas.