Security Shield: revisión de seguridad del sitio web
Qué revisa el escáner en ocho áreas, cómo leer la calificación de A a F, por qué verificar el dominio, qué puede hacer la corrección automática y qué no reemplaza la revisión.
Security Shield es un servicio de verificación de seguridad de sitios web. Analiza el sitio desde el exterior, como lo haría un atacante, y muestra qué se puede mejorar.
Qué se revisa
| Área | Qué revisamos |
|---|---|
| Encabezados de seguridad | HSTS, Content-Security-Policy, protección contra clickjacking y suplantación del tipo de contenido |
| Cifrado | Presencia de HTTPS y redirección hacia él, validez y vencimiento del certificado, versiones obsoletas de TLS |
| Fuga de datos | Archivos y carpetas de servicio abiertos, copias de seguridad, páginas de depuración, versiones de software en los encabezados |
| Cookies y CORS | Banderas Secure, HttpOnly y SameSite, reglas de acceso entre dominios demasiado amplias |
| CMS y componentes | Versiones obsoletas, vulnerabilidades conocidas de los componentes, paneles y registro abiertos |
| Pruebas activas | XSS reflejado, indicios de inyecciones SQL, redirecciones abiertas |
| Email y DNS | SPF, DMARC, DNSSEC, CAA, riesgo de secuestro de subdominios |
| Malware | Scripts skimmer, mineros, frames ocultos, enlaces de spam, inclusión del dominio en listas negras |
Qué no hace Shield
Es una revisión externa: no sustituye una auditoría completa del código ni un pentest. El escáner no incluye una revisión de CSRF por separado, pero algunos riesgos de esta clase se reflejan de forma indirecta en la revisión de las banderas de las cookies.Calificación A–F
Como resultado del análisis, el sitio recibe una calificación con letra y una lista de hallazgos con niveles de gravedad. Los hallazgos incluyen su clasificación según los estándares aceptados y una explicación clara de los riesgos y de cómo corregirlos.
Verificación del dominio
La revisión rápida está disponible para cualquier sitio. Los análisis profundos requieren confirmar que el sitio es tuyo: mediante un registro DNS, un archivo en la raíz o una metaetiqueta. Esto evita que el servicio se use para analizar recursos ajenos.
Qué hacer con los resultados
- Corrección automática: el servicio generará un fragmento listo de configuración del servidor o una lista de registros DNS para los problemas detectados.
- Monitoreo: suscripción a revisiones periódicas para enterarte de los problemas antes que tus visitantes.
- Agente de servidor: un script opcional para revisar los archivos desde dentro y buscar señales de infección.
Análisis de los hallazgos de Shield
La estructura del informe y los dos grupos de hallazgos más frecuentes: archivos abiertos e indicios de hackeo.
| Artículo | De qué trata |
|---|---|
| Cómo leer el informe de Shield | Setenta y nueve revisiones en doce categorías con calificación CVSS y enlaces a CWE y OWASP. |
| Shield: fugas de archivos y accesos | La categoría de hallazgos más común: no son virus, sino archivos olvidados: .env, .git, copias de seguridad, instaladores. |
| Shield: malware y puertas traseras | En qué se diferencia una infección de una puerta trasera, qué rastros busca el escáner, por qué el malware regresa después de la limpieza y en qué orden tratar el sitio. |
Preguntas frecuentes
¿Shield verifica la protección contra CSRF?
El escáner no incluye una verificación de CSRF independiente. Algunos riesgos de esta clase se reflejan indirectamente en las verificaciones de atributos de cookies.
¿Por qué verificar el dominio?
Los análisis profundos solo son posibles en tus propios sitios: la verificación evita que el servicio se use contra recursos ajenos.
¿Esto reemplaza un pentest?
No. Es una revisión externa y automatizada; no reemplaza la auditoría de código ni las pruebas de penetración manuales.
¿Te resultó útil este artículo?
¡Gracias! Lo tendremos en cuenta en futuras actualizaciones.
Pruébalo en tu proyecto
Todo lo descrito en el artículo está disponible en el panel: el bono de registro ya está en tu saldo.
Abrir panel