Escáner de seguridad web
Introduce un dominio y revisamos su página de inicio desde fuera, tal como la ve un visitante: señales de código malicioso, listas de bloqueo, SSL, cabeceras de seguridad, cookies, CMS desactualizado y registros de correo. Sin instalar nada y sin registro.
Qué se comprueba
- Código de la página de inicio: JavaScript ofuscado, iframes ocultos, criptomineros, patrones de skimmers de tarjetas, scripts de hosts sospechosos y claves de API en el HTML.
- Listas de bloqueo: URLhaus (base de datos de URL maliciosas) y Spamhaus DBL.
- HTTPS, redirección de HTTP a HTTPS, caducidad del certificado SSL, TLS 1.0/1.1 obsoleto y contenido mixto.
- Cabeceras de seguridad (HSTS, CSP, X-Frame-Options y más), atributos de las cookies y exposición de la versión del servidor.
- CMS, plugins de WordPress y bibliotecas JavaScript visibles en el código, comparados con una base de datos de vulnerabilidades conocidas (CVE).
- Correo y DNS: SPF, DMARC, CAA, MTA-STS.
Lo que un análisis externo no puede ver
- Archivos del servidor: web shells, puertas traseras y archivos PHP infectados que no muestran nada en la página de inicio.
- Otras páginas del sitio: solo se comprueba la página de inicio.
- Malware que se muestra solo a Googlebot, a usuarios móviles, a visitantes que llegan desde buscadores o desde ciertos países (cloaking).
- El panel de administración, la base de datos, las contraseñas y el código interno o las versiones de plugins que no aparecen en el HTML.
- Archivos de servicio expuestos (.git, .env, copias de seguridad) y vulnerabilidades que solo revelan las pruebas activas: no las ejecutamos contra sitios sin prueba de propiedad.
¿Necesitas más que una vista desde fuera? PromoPilot Shield
Esta es la parte gratuita de nuestro escáner de seguridad. Shield añade comprobaciones que requieren demostrar que el sitio es tuyo:
- Análisis profundo (pago único de $19): .git/.env y copias de seguridad expuestos, vulnerabilidades del CMS y de plugins, superficie de inyección y SSRF, CORS, comprobación de cloaking y spam SEO como Googlebot. Informe con IA y plan de corrección, además de PDF.
- Correcciones listas: archivo .htaccess, configuración de nginx y registros DNS generados a partir de los hallazgos (en los análisis de pago).
- Un agente de servidor de solo lectura que busca web shells, puertas traseras y código inyectado en los archivos del sitio y verifica la integridad del núcleo de WordPress (con una auditoría completa o una suscripción).
- Monitorización desde $12/mes: reanálisis programados y alertas sobre nuevas amenazas y caducidad del certificado.
Comprobar por separado
Datos clave
El escáner comprueba tu sitio desde fuera, tal como lo ve un visitante: la página de inicio, las cabeceras, las cookies, TLS, los registros DNS y de correo, las señales de código malicioso y las versiones del CMS y de las bibliotecas. Es una comprobación pasiva, sin ataques ni adivinación de rutas, así que es segura para el sitio, pero no sustituye una auditoría completa y no ve amenazas del lado del servidor ni zonas privadas.
- Precio
- Gratis
- Registro
- No necesario
- Procesamiento
- En nuestro servidor: visita tu página de inicio como un visitante normal, revisa las cabeceras, TLS, DNS y el código de la página, y compara las versiones con una base de vulnerabilidades
- Entrada
- La dirección de un sitio público (dominio)
- Límites
- Sin registro: 4 análisis por minuto y 10 nuevos al día (30 al iniciar sesión, ilimitados con Pro); el resultado de un sitio se guarda en caché 6 horas; no se ejecutan más de 6 análisis a la vez en todo el servicio
- Resultado
- Un informe con hallazgos por gravedad: cabeceras de seguridad y cookies, TLS, señales de código malicioso, CMS y bibliotecas desactualizados con vulnerabilidades conocidas, SPF/DMARC/CAA, reputación del dominio y consejos para corregirlos
- Última actualización
Escáner de seguridad web gratis: analiza tu sitio en busca de malware
Esta herramienta comprueba un sitio web desde fuera, tal como lo ven un visitante, un navegador y un buscador. Carga la página de inicio y revisa su código en busca de señales de infección: JavaScript ofuscado, iframes ocultos, criptomineros, código que roba datos de tarjetas de pago, scripts de hosts sospechosos y claves de API olvidadas en el HTML. El dominio se consulta en la base de URL maliciosas URLhaus y en Spamhaus DBL. Además, comprueba HTTPS y el certificado SSL, versiones obsoletas de TLS, cabeceras de seguridad, atributos de las cookies, versiones del CMS, de plugins de WordPress y de bibliotecas JavaScript frente a una base de vulnerabilidades conocidas, y los registros de correo SPF, DMARC, CAA y MTA-STS. El análisis es pasivo: sin fuerza bruta de rutas, sin cargas de ataque y sin intentos de acceso al panel de administración. Obtienes una calificación de A+ a F y una lista de hallazgos agrupados por riesgo, cada uno con una breve explicación.
Cómo usar
- Introduce un dominio o la URL de cualquier página: se comprobará la página de inicio de ese dominio
- Espera a que termine el análisis: suele tardar entre 5 y 30 segundos
- Empieza por los hallazgos críticos y altos, y después revisa el resto
FAQ
Para quién es y usos habituales
- Propietarios de sitios. Detecta problemas evidentes: una versión antigua del CMS, TLS débil, falta de cabeceras de seguridad.
- Sospecha de hackeo. Busca señales de código malicioso en el HTML y revisa la reputación del dominio (URLhaus, y Safe Browsing si hay una clave configurada).
- Correo y dominio. Comprueba que existan SPF, DMARC y CAA.
Limitaciones honestas
- Solo la página de inicio. No se comprueban otras secciones, paneles de administración ni zonas privadas.
- Solo comprobaciones pasivas. No probamos rutas como /.env o /.git ni hacemos pruebas de inyección o de CORS, así que algunos problemas pasan desapercibidos.
- Desde fuera no se ve el servidor. Esta herramienta no encontrará malware en los archivos del hosting que no se refleje en la respuesta del sitio.
- La coincidencia con CVE es aproximada. Las versiones se deducen de señales en el HTML y en las cabeceras, y pueden estar ocultas.
- Límites. 10 análisis nuevos al día para invitados y 30 al iniciar sesión; el resultado de un sitio se guarda en caché 6 horas.
Relacionado: cabeceras de seguridad, comprobador SSL, SPF, DMARC.
PromoPilot frente a alternativas: comparación
Comparamos solo lo que está confirmado en las páginas de cada servicio. Donde no pudimos confirmar un dato, la celda muestra "—".
| Parámetro | PromoPilot | Sucuri SiteCheck | MDN HTTP Observatory |
|---|---|---|---|
| Comprobación externa, sin instalar nada | ✓ | ✓ escáner gratuito; solo ve lo que es visible a nivel del navegador | ✓ análisis automático de Mozilla |
| Detección de malware | ✓ señales en el HTML, URLhaus | ✓ malware conocido y estado en listas negras | — |
| Cabeceras de seguridad y TLS | ✓ | ✓ problemas de configuración y recomendaciones de seguridad | ✓ evaluación a fondo de las cabeceras HTTP y otros ajustes clave de seguridad |
| CMS y bibliotecas desactualizados | ✓ | ✓ CMS desactualizados y plugins y extensiones vulnerables | — |
Desplaza la tabla hacia los lados
Dónde somos más débiles: solo se comprueba la página de inicio y solo de forma pasiva, las amenazas del lado del servidor no se ven, las versiones se deducen y pueden ocultarse, y hay límites diarios.
Cuándo elegir PromoPilot: Cuando necesitas una instantánea rápida y externa de la seguridad de cualquier sitio público y una lista de problemas evidentes. Para zonas privadas, pruebas activas de vulnerabilidades y monitorización necesitas un dominio verificado en Shield de pago o escáneres especializados.
Comprobado el: . "—" significa que no está confirmado en la página oficial; las condiciones y los precios cambian, así que consulta los sitios de cada servicio.
Analizar un sitio web en busca de malware desde fuera: qué puede y qué no puede decirte
Un escáner de malware online funciona como el navegador de un visitante: solicita la página de inicio y analiza lo que devuelve el servidor. Así puedes verificar si una página es segura en lo que se ve desde fuera: si en esa página hay código malicioso incrustado (un script de redirección, un iframe oculto, un criptominero, un skimmer en el formulario de pago), aparece. Si el malware está en archivos del servidor y no imprime nada en la página de inicio, ningún escáner externo lo encontrará, diga lo que diga. Por eso un resultado limpio significa «no hay señales de infección en la página de inicio ni en las listas de bloqueo públicas», no «este sitio seguro que no está hackeado».
| Visible desde fuera | No visible desde fuera |
|---|---|
| Código de la página de inicio: JavaScript ofuscado, iframes ocultos, scripts de hosts sospechosos | Web shells, puertas traseras y archivos PHP infectados que no muestran nada |
| Si el dominio figura en bases de URL maliciosas y en listas de bloqueo de spam | Páginas internas, si solo están infectadas ellas |
| Versiones del CMS, de plugins y de bibliotecas JavaScript, cuando aparecen en el HTML | Plugins cuya versión no aparece en el código fuente |
| SSL, redirección a HTTPS, cabeceras de seguridad, cookies | Malware que se sirve solo a Googlebot, a usuarios móviles o a visitantes desde buscadores |
| SPF, DMARC y otros registros de correo | Contraseñas, el panel de administración, la base de datos |
Señales de que tu sitio web ha sido hackeado
La mayoría de los propietarios descubren una infección por los síntomas, no por un escáner. Revisa con más atención si:
- Google muestra un aviso de que el sitio «puede haber sido hackeado» bajo tu resultado, o Chrome muestra una página de advertencia roja;
- los visitantes desde el móvil o que llegan desde el buscador terminan en otro sitio, mientras que una visita directa desde tu portátil se ve bien;
- una búsqueda
site:yourdomain.comdevuelve páginas que nunca creaste: casinos, farmacia, spam de palabras clave en japonés; - Search Console tiene un mensaje en el informe de Problemas de seguridad;
- tu hosting suspendió la cuenta o te escribió por archivos maliciosos;
- aparecen administradores desconocidos en el CMS y el correo de tu dominio empieza a llegar a spam.
Muchos de estos casos son justo el tipo de malware que se esconde de las visitas directas. Si ves síntomas pero el análisis externo sale limpio, revisa los archivos del servidor y el informe de Search Console, que muestra ejemplos de URL infectadas.
Qué hacer si el análisis encuentra señales de infección
- Haz una copia de seguridad del sitio y de la base de datos tal como están ahora: necesitarás esa copia para averiguar cómo entró el atacante.
- Cambia las contraseñas del hosting, FTP/SSH, el administrador del CMS y la base de datos. Elimina las cuentas de administrador que no reconozcas.
- Encuentra el origen. Busca el código del informe en los archivos del tema,
index.php,.htaccessy la base de datos. Revisa los archivos modificados recientemente y cualquier archivo PHP en la carpeta de subidas: no deberían estar ahí. - Actualiza el CMS, los plugins y los temas, y elimina los que ya no uses. Un componente desactualizado señalado en el informe es la vía de entrada más probable.
- Vuelve a analizar y, si Google marcó el sitio, solicita una revisión desde el informe de Problemas de seguridad.
La etiqueta «revisar» significa que la señal es heurística. El código ofuscado, por ejemplo, también aparece en fragmentos legítimos de analítica. Asegúrate de que no es un script tuyo antes de borrar nada.
Comprobar las vulnerabilidades de un sitio web: por dónde empezar
Aunque no haya infección, el informe muestra los puntos débiles. Un orden razonable:
- Críticos y altos: un CMS o plugin desactualizado con CVE conocidos, un certificado caducado, falta de HTTPS. Corrígelos primero.
- Medios: falta de HSTS y Content-Security-Policy, cookies sin Secure, TLS 1.0/1.1 obsoleto. Normalmente son unas pocas líneas de configuración del servidor. Para un desglose cabecera por cabecera usa Security Headers; para el certificado, el comprobador SSL.
- Bajos e informativos: exposición de la versión del servidor, falta de SPF, DMARC o CAA. Los registros de correo impiden que otros envíen correos haciéndose pasar por tu dominio; configúralos con los comprobadores de SPF y DMARC.
Si tu correo llega a spam, comprueba también la IP del servidor en las listas de bloqueo de IP: esa reputación es independiente de la del dominio.
Cuándo no basta con un análisis externo
Un escáner externo no sustituye una comprobación a nivel de archivos. Si el sitio ya fue hackeado antes, acepta pagos o genera ingresos reales, tiene sentido una comprobación más profunda con acceso al servidor. Una vez que verificas la propiedad, PromoPilot Shield añade la búsqueda de archivos de servicio expuestos (.git, .env, copias de seguridad), una comprobación de cloaking como Googlebot, un agente de servidor de solo lectura que busca puertas traseras en los archivos y monitorización con alertas sobre nuevas amenazas.