La superficie pública de tu web, a fondo
Lo que un atacante comprueba en los primeros minutos — y lo que marca la diferencia entre una web que resiste y una que no.
Cabeceras de seguridad
CSP, HSTS, X-Frame-Options, Content-Type-Options, Referrer-Policy. Si faltan o están mal, hay vía para robo de sesión, clickjacking e inyección de contenido.
TLS / HTTPS
Versiones de protocolo, suites de cifrado, validez del certificado y configuración. El mismo rigor que un análisis de SSL Labs.
Fugas de información
Código fuente (source maps), tecnología revelada por las cabeceras, paneles de administración accesibles desde internet y ficheros sensibles publicados sin querer.
Cookies y sesión
Flags Secure, HttpOnly y SameSite, y cómo se gestiona la sesión. Lo que decide si una sesión se puede robar o falsificar.
CORS y políticas de origen
Configuraciones demasiado permisivas que dejan que otros sitios lean datos o actúen en nombre de tus usuarios.
Buenas prácticas
security.txt, registro CAA, y componentes con versiones afectadas por vulnerabilidades conocidas (CVE).
Pasivo primero, criterio humano siempre
Análisis pasivo
Observo lo que ya es público, sin tocar ni interrumpir tu web. Si hiciera falta una prueba activa, se acuerda antes y en una ventana pactada.
Validación manual
Valido cada hallazgo a mano y lo puntúo con CVSS v3.1. Nada de volcados de escáner sin filtrar: el criterio lo pongo yo.
Informe y re-test
Priorizo por impacto, te doy la configuración lista para aplicar y, al corregir, vuelvo a comprobar que todo queda cerrado.
Un informe que puedes usar, no un volcado
- Informe en dos niveles: resumen ejecutivo claro y anexo técnico con el detalle para quien lleve tu informática.
- Hallazgos priorizados por impacto real de negocio, no por una nota automática.
- Bloques de configuración listos para pegar (nginx, Apache o tu panel) para corregir cada punto.
- Evidencias y pasos de reproducción de cada hallazgo.
- Re-test al corregir: terminas con evidencia de que está en orden.
Empieza por la foto, profundiza si lo ves
La auditoría web forma parte de mis niveles de servicio. Puedes empezar por un diagnóstico asequible y subir solo si ves el valor.
Lo que suelen preguntarme
¿Se interrumpe mi web mientras la auditáis?
No. El análisis de partida es pasivo: solo observo lo que ya es público. Si en algún momento hace falta una prueba activa, se acuerda antes, se hace en una ventana pactada y siempre con posibilidad de revertir.
¿Tengo que ser técnico para entender el informe?
Para nada. Recibes un resumen ejecutivo en lenguaje claro —qué está bien, qué hay que arreglar y en qué orden— y, aparte, un anexo técnico con los detalles para quien lleve tu informática.
¿Un escáner automático no es suficiente?
Las herramientas ayudan, pero generan ruido y falsos positivos. Las uso como punto de partida y luego reviso y valido cada hallazgo a mano. No te entrego un volcado sin filtrar.
¿Cuánto tarda?
Un diagnóstico de exposición se entrega en pocos días. Una auditoría completa con corrección y re-test, normalmente en una o dos semanas. Te doy el plazo por escrito antes de empezar.
¿Revisamos tu web?
Déjame tu email o tu teléfono y te propongo por dónde empezar. La primera toma de contacto es gratis y sin compromiso.
Te respondo en menos de 24 h.
Al enviar aceptas el tratamiento de tus datos según la política de privacidad.