Calificación de seguridad de A a F: cómo se forma
La calificación de seguridad es el resultado en letra del análisis del subservicio Security Shield. El sitio empieza con 100 puntos y cada problema detectado resta puntos según su gravedad; el número final se convierte en una letra. La escala va de A+ (casi limpio) a F (muchos problemas graves).
Cómo se convierten los hallazgos en una letra
El peso de un hallazgo depende de su nivel de gravedad. Este, a su vez, se determina con la escala CVSS, de uso generalizado: una puntuación de 9 es crítica, 7 es alta, 4 es media y por debajo de eso es baja. También existe el nivel «info»: es solo informativo y no afecta la puntuación.
| Nivel | Puntos que resta el primer hallazgo |
|---|---|
| Crítico | 35 puntos |
| Alto | 18 puntos |
| Medio | 8 puntos |
| Bajo | 3 puntos |
| Info | 0 |
Cada hallazgo posterior del mismo nivel resta menos que el anterior: el peso va disminuyendo. Esto se hace por equidad: veinte observaciones menores no deberían hundir un sitio que no tiene vulnerabilidades graves. También ocurre lo contrario: un solo hallazgo crítico baja de inmediato la puntuación a un nivel cercano a C, y ninguna cantidad de marcas verdes puede compensarlo.
Escala
| Puntos | Calificación | Cómo interpretarla |
|---|---|---|
| 95 o más | A+ | No se encontraron problemas importantes |
| 85–94 | A | Observaciones menores |
| 75–84 | B | Hay margen de mejora, sin urgencia |
| 65–74 | C | Normalmente indica un hallazgo grave |
| 50–64 | D | Varios problemas importantes |
| 35–49 | E | Requiere atención pronto |
| menos de 35 | F | Problemas críticos, atiéndelos de inmediato |
Qué se revisa exactamente
En cualquier modo, incluido el análisis rápido gratuito: encabezados de seguridad y flags de cookies, TLS y certificado, librerías conectadas, búsqueda de código malicioso, versiones de CMS y vulnerabilidades conocidas, filtraciones de claves, registros DNS y de correo, inclusión del dominio en listas negras. En los modos de pago se añaden estas comprobaciones: búsqueda de archivos abiertos y rutas de servicio, política CORS, superficie de inyección y SSRF, señales de cloaking y spam SEO, protección de WordPress y, en el modo más completo, enumeración de subdominios y riesgo de secuestro. Un agente de servidor opcional funciona por separado: examina los archivos desde dentro y busca backdoors, cambios en el núcleo del CMS y administradores no autorizados.
La letra y el «semáforo» no son lo mismo
Además de la puntuación, el informe incluye un veredicto: «Limpio», «Hay observaciones», «Hay vulnerabilidades», «Riesgos graves», «Infectado». Se calcula no según los puntos, sino según la composición de los hallazgos, es decir, si entre ellos hay señales de infección activa. Por eso el veredicto y la letra pueden diferir: un solo hallazgo de «dominio en lista negra» dejará una puntuación bastante aceptable, pero el veredicto será «Infectado». Lee primero el veredicto y después la letra.
Dónde se ve la calificación
- Tarjeta del proyecto en Shield. Un anillo con la letra y la puntuación; encima, el veredicto y el número de comprobaciones superadas.
- Listas de sitios e historial de análisis. La puntuación de cada análisis, que muestra la evolución.
- Informe imprimible e insignia pública. La insignia se puede insertar en el sitio.
- Notificación por correo al finalizar el análisis. La puntuación aparece directamente en el asunto del correo.
- Notificación de caída. Llega cuando hay una caída significativa de la puntuación entre análisis; se configura en notificaciones.
Cómo mejorarla
El orden de trabajo es sencillo: primero, todo lo relacionado con infecciones; luego, los hallazgos críticos y después los altos. Para algunos problemas, el servicio genera un fragmento de configuración listo para usar o una lista de registros DNS, pero el administrador del sitio debe aplicarlos manualmente. La puntuación se recalcula solo con un nuevo análisis: hasta que lo inicies, la letra sigue igual, sin importar cuántas correcciones hayas hecho. Encontrarás más información sobre el servicio en el artículo sobre Shield.
Errores comunes
- “Una A significa que el sitio no será hackeado.” No. La calificación refleja lo que se ve desde el exterior en el momento del análisis y no dice nada sobre vulnerabilidades en tu código.
- “Descargué la corrección automática: la calificación subió.” Mientras el fragmento no se aplique en el servidor y no se haga un nuevo análisis, nada cambiará.
- “Las letras son comparables entre sitios.” Ojo: los análisis gratuitos y de pago tienen conjuntos de comprobaciones diferentes. Compara la calificación del sitio principalmente con la anterior.
- “Una auditoría técnica mostrará lo mismo.” No, son cosas distintas: SEO Audit revisa el SEO técnico, Shield revisa la seguridad.