11 comprobaciones de seguridad
Análisis de seguridad web gratis
Comprobamos 11 puntos de seguridad que cualquiera puede ver desde fuera: certificado SSL, HTTPS y contenido mixto, cabeceras de seguridad (HSTS, CSP…), protección de tu email contra la suplantación con DMARC, scripts de terceros y más.
El análisis siempre es completo: aunque vengas por un área concreta, revisamos las 56 comprobaciones de SEO, seguridad, velocidad y accesibilidad.
La seguridad también se ve (y la ven tus clientes)
Un certificado caducado hace que el navegador muestre una pantalla de advertencia y la mayoría de visitantes se marcha. Sin HTTPS, Chrome marca la página como “No seguro” justo al lado de tu dirección. Y sin DMARC, cualquiera puede enviar correos que parecen venir de tu dominio.
Son fallos de configuración, no de programación, y casi siempre tienen una solución sencilla en el panel del hosting, del dominio o de la plataforma. Además, Google ha confirmado que usa HTTPS como una señal de posicionamiento, aunque ligera.
No es una auditoría de intrusión (pentest): no atacamos tu web ni buscamos vulnerabilidades en su código. Revisamos la configuración pública que cualquier navegador puede ver.
Conexión cifrada
Validez y caducidad del certificado SSL, contenido mixto y redirecciones entre http, https y www.
Cabeceras de seguridad
HSTS, Content Security Policy y las cabeceras que protegen frente a clickjacking y otros ataques del navegador.
Correo y privacidad
DMARC contra la suplantación de tu email, emails expuestos a spammers, cookies y scripts de terceros.
Qué revisamos
Las 11 comprobaciones, una a una
Ordenadas por su peso en la nota. Cada una tiene su guía con la explicación y los pasos para solucionarla.
- Certificado SSLImprescindibleQue el certificado HTTPS sea válido, corresponda a tu dominio y no esté a punto de caducar.
- Contenido mixtoImprescindibleQue la web use HTTPS y no cargue imágenes, scripts, estilos ni formularios por HTTP.
- Redirecciones a HTTPS y wwwImportanteQue http, https, con www y sin www lleven todas a la misma dirección HTTPS.
- HSTSImportanteQue la web envíe la cabecera Strict-Transport-Security con al menos un año e includeSubDomains.
- Cabeceras de seguridadImportanteQue la web envíe X-Content-Type-Options, X-Frame-Options, Referrer-Policy y Permissions-Policy.
- DMARCImportanteQue tu dominio publique un registro DMARC que frene los emails falsos enviados en su nombre.
- Content Security Policy (CSP)RecomendableQue la web envíe una Content Security Policy activa, sin
unsafe-inlineniunsafe-eval. - Scripts de tercerosDetalleQué scripts de otros dominios carga la página y cuántos vienen de proveedores que no reconocemos.
- Cookies y privacidadDetalleCuántas cookies tiene la página al cargarla por primera vez, sin aceptar ni rechazar el banner.
- Emails expuestosDetalleSi la página muestra direcciones de email que los robots de spam pueden recoger.
- DOCTYPE y codificaciónDetalleQue la página empiece por
<!DOCTYPE html>y declare UTF-8 como codificación, al principio.
Cómo funciona
Tu diagnóstico en menos de un minuto
- 1
Pega la dirección de tu web
Sin registro ni instalar nada. Funciona con cualquier web pública: WordPress, Shopify, Wix o hecha a medida.
- 2
Revisamos 56 puntos clave
Cargamos tu web como un navegador real y analizamos SEO, seguridad, velocidad (con datos de Google PageSpeed) y accesibilidad.
- 3
Recibe tu plan de acción
Una nota de 0 a 100 y los problemas ordenados por importancia, cada uno con la solución explicada paso a paso.
Preguntas frecuentes
¿Es un test de penetración?
No. Un pentest intenta explotar fallos con permiso del propietario. Nosotros solo leemos la información pública de tu web (certificado, cabeceras, HTML y registros DNS), igual que haría un navegador, y te decimos qué está mal configurado.
¿Puedo analizar la seguridad de cualquier web?
Sí, cualquier web pública. No hacemos nada que un navegador no haga: pedimos las páginas y consultamos datos públicos como el DNS. Nuestro robot se identifica como PosicionaBot y explicamos exactamente qué peticiones hace en su página.
¿Por qué importa DMARC si mi web no envía emails?
Porque protege tu dominio, no tu web. Sin una política DMARC, un estafador puede enviar correos con remitente @tudominio y los servidores de correo no tienen instrucciones para rechazarlos. Si tu dominio no envía correo, puedes publicar una política que lo diga y bloquear cualquier suplantación.
¿Puedo cambiar las cabeceras de seguridad en Shopify?
Solo en parte. Shopify gestiona el certificado, HTTPS y buena parte de las cabeceras, y no permite editar todas. En el informe distinguimos lo que depende de ti (por ejemplo, las apps y scripts que añades) de lo que controla la plataforma.
Análisis de seguridad web gratis, en menos de un minuto
Pega la dirección de tu web y recibe tu nota y los problemas ordenados por importancia, con la solución de cada uno.