Auditoría de seguridad web: qué se revisa
Qué incluye una auditoría de seguridad de una web: HTTPS, cabeceras, cookies, formularios, accesos y dependencias. Y qué no cubre un análisis gratuito.
Por Zyro
Tu web es probablemente lo primero que ve cualquiera de tu empresa y, a menudo, lo único que está expuesto a Internet las 24 horas. Una auditoría de seguridad web comprueba si esa puerta de entrada está bien cerrada. Esto es lo que se revisa de forma habitual y cuándo conviene hacerlo.
Qué se revisa en una auditoría de seguridad web
1. Conexión segura (HTTPS y TLS)
Que todo el sitio se sirva por HTTPS, que el certificado sea válido y no esté a punto de caducar, que se usen versiones de protocolo y cifrados actuales y que las redirecciones desde HTTP funcionen.
2. Cabeceras de seguridad HTTP
Son instrucciones que el servidor envía al navegador para reducir riesgos. Las más habituales son:
- Strict-Transport-Security (HSTS): obliga a usar siempre HTTPS.
- Content-Security-Policy (CSP): limita de dónde puede cargar scripts y recursos la página, lo que frena muchos ataques de inyección de código.
- X-Content-Type-Options, Referrer-Policy y protección frente a incrustación en marcos ajenos.
3. Cookies
Que las cookies sensibles tengan los atributos Secure, HttpOnly y SameSite adecuados, y que las de sesión caduquen y se renueven correctamente. Además, que el banner de cookies sea coherente con lo que la web realmente hace.
4. Formularios y entradas de usuario
Que todo lo que escribe un visitante se valide y se trate como no confiable, para evitar fallos clásicos como la inyección de código en la base de datos o el XSS (código malicioso que se ejecuta en el navegador de otros usuarios). La referencia habitual es la lista OWASP Top 10.
5. Autenticación y control de acceso
Que las áreas privadas lo sean de verdad: que un usuario no pueda ver datos de otro cambiando un número en la dirección, que los paneles de administración estén protegidos (idealmente con doble factor) y que no haya accesos por defecto.
6. Subida de ficheros
Si la web permite subir ficheros, comprobar que se limitan los tipos, los tamaños y el lugar donde se guardan, y que no puedan ejecutarse en el servidor.
7. Software y dependencias
Versiones del gestor de contenidos, plugins, librerías y servidor. Un componente desactualizado con una vulnerabilidad conocida es una de las causas más frecuentes de intrusión (ver cómo priorizar vulnerabilidades).
8. Exposición accidental
Ficheros de copia de seguridad o de configuración olvidados en el servidor, listados de directorios abiertos, entornos de pruebas accesibles al público, mensajes de error que revelan información interna.
9. Copias, registros y respuesta
Que existan copias de seguridad de la web, que se registren los accesos y errores, y que alguien sepa qué hacer si la web se ve comprometida.
Revisión automática frente a prueba manual
- Un escáner automático detecta rápido lo conocido: certificados, cabeceras, versiones. Es una buena primera capa.
- Una prueba manual (un pentest web) encuentra los fallos de lógica y de control de acceso que las herramientas no ven, y comprueba si se pueden encadenar.
Una aclaración sobre nuestro Auditor gratuito
En Zyro tenemos un Auditor gratuito para webs, pero conviene decir con claridad qué hace: mide SEO, rendimiento, móvil, conversión, SEO local y visibilidad en IA. No es una auditoría de seguridad. Te ayuda a ver cómo se posiciona y cómo funciona tu web, no si está protegida frente a ataques. Para eso hacen falta pruebas específicas como las que describimos aquí.
Cuándo conviene hacerla
- Antes de lanzar una web o una tienda online con datos de clientes o pagos.
- Tras cambios importantes: migración, nuevo gestor de contenidos, nuevas funciones.
- Cuando un cliente o una norma lo pide (por ejemplo, el RGPD espera que verifiques la eficacia de tus medidas).
- Después de un incidente.
- Con una periodicidad fija, por ejemplo una vez al año.
Qué hacer con el resultado
Un informe sin acciones no sirve. Prioriza por gravedad y exposición, asigna responsables, corrige y vuelve a comprobar. Si quieres que revisemos la seguridad de tu web o de tu infraestructura, mira cómo trabajamos con ZyroShield o escríbenos.