¿Qué revisa un escáner de seguridad web en línea, qué no puede ver y cómo se lee la puntuación?

Un escáner de seguridad web en línea mira su sitio como lo ve cualquiera en internet. Usted escribe la dirección, el escáner envía peticiones al sitio, lee las respuestas y las compara con una lista de problemas conocidos. No necesita contraseña, ni plugin, ni acceso a su servidor.

Eso tiene dos caras. La buena: obtiene una respuesta en minutos y no tiene que pedir acceso a nadie. El límite: el escáner solo ve lo que el sitio muestra al exterior. A continuación verá qué cabe en esa vista, qué no, y cómo leer el informe para saber qué hacer después.

Qué puede ver un escáner desde fuera

Un escáner empieza donde empieza un atacante. Los bots que recorren internet cada día en busca de objetivos fáciles tampoco tienen sus contraseñas. Leen todo lo que se puede leer sin iniciar sesión. Un buen escáner en línea mira en los mismos lugares:

• Certificado y cifrado. Si el certificado SSL es válido y cuándo caduca, si el servidor todavía acepta cifrados obsoletos y si todas las variantes de su dirección acaban en https://.
• Versiones de software. El código fuente de su página revela a menudo la versión de WordPress, del tema, de los plugins y de las bibliotecas JavaScript. El escáner las cruza con bases de datos de vulnerabilidades conocidas.
• Archivos a la vista. Copias de seguridad con nombres como backup.zip, archivos .env, una carpeta .git, registros y volcados de la base de datos. Si el servidor se los entrega a quien los pida, el escáner los verá.
• Cabeceras de seguridad y cookies. Si el navegador recibe las instrucciones que dificultan enmarcar su sitio o inyectar un script, y si las cookies de sesión llevan los atributos correctos.
• Correo. Los registros SPF, DKIM y DMARC, que deciden si un desconocido puede enviar correo que parezca salir de su dominio.
• Código malicioso y reputación. Si el dominio figura en listas de amenazas como Google Safe Browsing y si el código de la página de inicio contiene marcos ocultos o redirecciones sospechosas.
• Puertos abiertos y subdominios olvidados. Un panel de administración de la base de datos expuesto a internet, o una antigua copia de prueba del sitio en algo como test.sudominio.com.

ShieldWave ejecuta más de 20 comprobaciones de este tipo de una vez, en unos 90 segundos. Las comprobaciones que envían datos de prueba a sus formularios solo se ejecutan después de que usted confirme que el sitio es suyo. Sin eso, ShieldWave solo lee lo que el sitio muestra a cualquier visitante.

Qué no puede revisar un escáner en línea

Todo lo que está tras un inicio de sesión o dentro de los archivos de su servidor queda fuera del alcance de un análisis externo:

• Archivos PHP. El escáner no puede abrir archivos del servidor, así que no encontrará una puerta trasera que no deje rastro en la página. En WordPress, eso le corresponde a un plugin que trabaje desde dentro, o al escáner de malware del panel de su alojamiento.
• Cuentas y contraseñas. No puede saber cuántos administradores tiene, si alguien entra con «admin123» o si el inicio de sesión en dos pasos está activado.
• Plugins que no dejan rastro. Si un plugin no añade nada al código fuente de la página, el escáner no puede conocer su versión.
• Contenido de la base de datos. Spam añadido a entradas antiguas que solo aparece en unas pocas páginas.
• La lógica de su tienda o aplicación. Si un cliente puede ver el pedido de otro cambiando un número en la dirección. Eso lo comprueba una persona en una prueba de penetración: un especialista dedica varios días a intentar entrar a mano, sabiendo cómo funciona su negocio.

Así que un análisis desde fuera no sustituye ni a un plugin ni a una prueba de penetración. Responde a otra pregunta: qué ve todo el que llega a su sitio, bots incluidos. Dos de los temas más habituales de esa lista tienen su propio artículo: plugins desactualizados y cabeceras de seguridad.

Cómo leer una puntuación de 0 a 100

ShieldWave resume un análisis en un número de 0 a 100. Cuanto más alto, menos problemas encontraron las comprobaciones y menos graves son. El número sirve para dos cosas: comparar su sitio consigo mismo después de las correcciones y saber rápidamente si hay algo que hacer esta semana.

Tres reglas:

1. Lea la lista además del número. Un sitio con 70 puntos y un problema crítico necesita actuar más deprisa que un sitio con 60 y una docena de observaciones menores.
2. Una puntuación alta no significa que el sitio sea seguro. Significa que las comprobaciones externas encontraron poco. Lo de la sección anterior puede seguir estando mal.
3. Compare fechas. El mismo análisis un mes después muestra si las correcciones funcionaron y si ha aparecido algo nuevo, como una vulnerabilidad de un plugin publicada entretanto.

Los tres hallazgos más graves en el plan gratuito

El plan gratuito muestra su puntuación y sus tres problemas más graves. La lista es corta a propósito: si hay algo que corregir esta semana, estará en ella.

Cada hallazgo dice qué está mal y qué supone para el negocio, sin jerga. Arriba de la lista suelen aparecer cosas como una copia de seguridad que cualquiera puede descargar, un plugin con una vulnerabilidad conocida o un certificado a punto de caducar.

El informe completo ordena cada hallazgo en tres plazos: esta semana, este mes y más adelante. Añade un encargo para su desarrollador con el detalle técnico que necesita para presupuestar el trabajo. Si no sabe cómo trasladárselo, lea cómo hablar de seguridad con su desarrollador.

Qué papel tiene moje.cert.pl

Si su empresa u organización está en Polonia, abra una cuenta en moje.cert.pl. Es un servicio gratuito de CERT Polska, el equipo nacional de respuesta a incidentes que trabaja dentro de NASK. Puede encargar un análisis de sus dominios, y el servicio le avisa de vulnerabilidades conocidas en el software que usa, de dominios y subdominios mal configurados y de filtraciones de datos que afectan a cuentas de su dominio.

Lo recomiendo a todos los propietarios de sitios en Polonia, usen lo que usen además. Se configura una vez y los avisos llegan solos.

ShieldWave está a su lado para cuando quiere una respuesta inmediata, con lenguaje claro, con un orden de correcciones y un encargo que puede reenviar. Los dos miran desde fuera, así que los resultados coincidirán en parte.

Con qué frecuencia analizar

Una vez al mes basta para la mayoría de las pequeñas empresas. Analice con más frecuencia cuando:

• algo cambia en el sitio: un plugin nuevo, un tema nuevo, un traslado a otro alojamiento,
• se va una persona o una agencia que tenía acceso al panel de administración,
• recibe una señal de que algo no va bien: un aviso de Google, un cliente que comenta una redirección extraña, spam enviado desde su dominio. En ese caso lea también las señales de que su sitio web ha sido pirateado.

Revise su sitio. Introduzca su dirección en shieldwave.io. Tarda unos 90 segundos y no necesita contraseña ni cuenta.