Scripts de terceros: riesgos y cómo controlarlos

Por qué importa

Eso significa que cada proveedor puede leer y modificar todo lo que ocurre en la página, formularios incluidos. Si uno se ve comprometido, el ataque llega a todas las webs que lo cargan: pasó en 2024 con polyfill.io, un servicio muy usado cuyo dominio cambió de dueño y empezó a servir código malicioso. Los robos de tarjetas en tiendas online conocidos como Magecart funcionan igual, colando un script en la página de pago.

Además, cada script añade tiempo de carga y suele traer cookies, que en la UE necesitan consentimiento. Menos scripts es más seguridad, más velocidad y menos trabajo legal.

Cómo lo comprueba Posiciona

Cargamos tu página con un navegador real y anotamos todos los scripts que descarga, también los que añaden otros scripts. Los de tu propio dominio y sus subdominios no cuentan. Separamos los de proveedores conocidos (Google, Meta, Stripe, PayPal, Shopify, Klaviyo, Hotjar, Cloudflare…) del resto. Sin dominios desconocidos, la puntuación es 100; de 1 a 5, 70; más de 5, 30. “No reconocido” solo significa que no está en nuestra lista, no que sea malicioso.

En la nota de Seguridad esta comprobación cuenta como “detalle” (peso 1 de 5).

Cómo solucionarlo

Revisa la lista de dominios no reconocidos del informe y averigua de dónde sale cada uno: una app, un plugin, un widget o un código pegado hace años. Si no sabes qué es, busca el dominio en internet.
Elimina lo que ya no uses: restos de apps y plugins desinstalados, píxeles de campañas terminadas, herramientas de prueba que nadie mira.
Si cargas una librería de un CDN público (jsDelivr, unpkg, cdnjs), fija la versión y añade el atributo integrity (SRI), para que el navegador rechace el fichero si cambia. O, mejor, alójala en tu propio dominio.
Carga la analítica y la publicidad a través de tu herramienta de consentimiento, para que no se ejecuten antes de que el visitante acepte.
Como capa extra, una Content Security Policy limita de qué dominios puede cargar scripts tu página.
Repite la revisión cada pocos meses: los scripts se acumulan con cada campaña y cada app nueva.

Librería externa con versión fija e integridad (SRI)HTML

<script src="https://cdn.jsdelivr.net/npm/libreria@1.2.3/dist/libreria.min.js"
        integrity="sha384-HASH_DEL_FICHERO"
        crossorigin="anonymous"></script>

En WordPress

Revisa los plugins activos y desactiva los que no uses: muchos añaden scripts propios o de su proveedor en todas las páginas.
Mira también los códigos pegados en la cabecera o el pie, ya sea en los ajustes del tema o en un plugin como WPCode: ahí suelen quedarse píxeles y herramientas antiguas.

En Shopify

Al desinstalar una app, parte de su código puede quedarse en el tema. Duplica el tema como copia de seguridad y revisa theme.liquid y los fragmentos en Tienda online → Temas → Editar código, quitando lo que corresponda a apps que ya no tienes.
En el editor del tema (Tienda online → Temas → Personalizar), revisa las integraciones de apps activadas y desactiva las que no uses.
Añade los píxeles de marketing como píxeles personalizados en la sección de eventos de clientes de la Configuración, donde Shopify los ejecuta aislados de la página, en lugar de pegarlos en el tema.

Preguntas frecuentes

¿Cómo veo qué scripts de terceros carga mi web?

Abre la página en Chrome, pulsa F12, ve a la pestaña Red, filtra por JS y recarga. Verás cada script con su dominio; los que no son el tuyo son de terceros. Repite la prueba en la ficha de producto, el carrito y la página de pago, porque cada una puede cargar scripts distintos. Nuestro informe te da la lista de la página analizada.

¿Un script no reconocido es peligroso?

No necesariamente. Solo significa que su dominio no está en nuestra lista de proveedores habituales: puede ser una app pequeña pero legítima, un servicio local o el CDN de un proveedor que sí usas. Lo importante es que sepas qué es cada uno, quién lo mantiene y si todavía lo necesitas. Si nadie en tu equipo sabe para qué está, es un buen candidato para quitarlo.