No hace falta ser un experto para detectar algunas señales de riesgo en una web. No se trata de meter miedo, sino de saber qué mirar antes de que pase algo.
1. HTTPS y redirección
La web debe cargar siempre por HTTPS. Si escribes http:// y no te redirige a https://, hay una configuración pendiente.
HTTPS no lo hace todo, pero es el mínimo.
2. Cabeceras de seguridad
Las cabeceras HTTP dicen al navegador cómo comportarse. Algunas de las más útiles:
Strict-Transport-Security(HSTS)Content-Security-Policy(CSP)X-Content-Type-OptionsReferrer-PolicyPermissions-Policy
No hace falta tenerlo todo perfecto el primer día, pero sí saber qué hay y qué falta.
3. Formularios
Revisa:
- Que validen los datos en el servidor, no solo en el navegador.
- Que tengan protección anti-spam.
- Que no envíen datos sensibles por correo sin cifrar.
- Que el consentimiento sea explícito.
- Que no muestren errores técnicos con información interna.
4. Cookies y sesiones
Las cookies de sesión deberían ser Secure, HttpOnly y SameSite. Si la web te mantiene la sesión abierta durante meses sin necesidad, quizá hay una configuración demasiado permisiva.
5. Dependencias y actualizaciones
Librerías, plugins y temas envejecen. Una versión antigua puede tener vulnerabilidades conocidas. Hace falta un calendario de actualizaciones, no solo actualizar cuando algo se rompe.
6. Accesos
¿Quién puede entrar al panel? ¿Tiene 2FA? ¿Hay usuarios antiguos que ya no están? ¿Los secretos están en el código o en un lugar seguro?
La mayoría de incidentes no empiezan con un ataque sofisticado: empiezan con una contraseña débil o un acceso olvidado.
7. Backups
Un backup que no se ha probado no es un backup: es una esperanza. Hay que saber cuánto tarda en restaurarse y si incluye lo necesario.
8. Monitorización
Si la web cae o alguien entra, ¿cómo lo sabes? Un mínimo de monitorización y registros es parte de la higiene básica.
Qué hacer si no lo tienes claro
No hace falta convertirte en experto. Hace falta una revisión ordenada: qué tienes, qué falta y qué es prioritario. Eso es lo que integramos en el proceso.
Y si quieres empezar por una lectura más amplia de la web, pide una auditoría gratuita.