Analizador de seguridad
¿Es segura tu web?
Escribe la dirección y en unos segundos sabrás si tu WordPress, tus plugins o tu tema tienen fallos de seguridad conocidos, si alguno se está usando en ataques reales y si hay señales de que tu web esté hackeada. El informe completo, con cómo arreglar cada cosa, te lo enviamos por email.
Qué revisa
Cinco apartados, en lenguaje claro
Solo miramos lo que cualquiera ve desde fuera: no entramos en tu web ni probamos ataques.
Programas al día
Las versiones de WordPress, los plugins, el tema, PHP, el servidor y las librerías JavaScript que se ven desde fuera, si tienen fallos de seguridad conocidos y si alguno se está usando en ataques reales.
Señales de hackeo
Enlaces de spam escondidos, código con las formas típicas del malware y si tu web enseña a Google algo distinto que a las personas.
Conexión segura
El certificado, el paso a HTTPS y las versiones del cifrado que acepta el servidor.
Protecciones del servidor
Las cabeceras de seguridad, las cookies y si la web enseña qué programas y versiones usa.
Tu dominio
La firma del dominio (DNSSEC), qué entidades pueden emitir sus certificados (CAA) y, si su registro lo publica, cuándo caduca.
Preguntas frecuentes
Resolvemos tus dudas
Lo que más nos preguntan sobre el analizador de seguridad.
¿Qué veo al momento y qué me llega por email?
La nota, la de cada apartado y los problemas graves los ves al momento, sin dar ningún dato. Si quieres el informe completo, con el detalle y cómo arreglar cada problema, te lo enviamos por email y lo puedes descargar en PDF.
¿El análisis puede afectar a mi web?
No. Visitamos tu web como lo haría cualquiera: la portada (también como la ve Google), la versión sin «https», unas pocas conexiones para comprobar el cifrado y, como mucho, cinco archivos JavaScript que la propia página ya carga. No probamos ataques, no rellenamos formularios ni buscamos archivos que no estén enlazados.
¿De dónde salen los fallos de seguridad?
De bases de datos públicas: WPVulnerability para WordPress, sus plugins y temas, PHP y el servidor; el catálogo de fallos que se están atacando de CISA, la agencia de ciberseguridad de Estados Unidos; y Retire.js para las librerías JavaScript. Solo contamos los fallos con código CVE publicado.
¿Por qué hay plugins que no se han podido comprobar?
Porque la versión de cada plugin se deduce de las direcciones de sus archivos. Si tu web la oculta (por ejemplo, al agrupar los archivos) o el plugin no está en las bases de datos de fallos (pasa con los desarrollos a medida y algunos de pago), no se puede comprobar desde fuera. Para saberlo hay que revisarla por dentro.
Si no salen señales de hackeo, ¿mi web está limpia?
No necesariamente. Las señales que vemos desde fuera son indicios: un ataque puede no dejar rastro visible. Si sospechas algo, mira qué hacer si te han hackeado la web; para protegerla de verdad, nuestro servicio de seguridad web.
¿Qué hacéis con mi email?
Lo usamos para enviarte el informe, que estará disponible 90 días. Solo si marcas la casilla «Sí, contactad conmigo» nos pondremos en contacto contigo. Si no abres el enlace del correo, borramos tu email a los 7 días; si no nos das ese permiso, a los 12 meses, y si nos lo das, a los 24 meses sin relación con nosotros. Más información en la política de privacidad.