Saltar al contenido
SEOAudit

Gratis · Análisis pasivo

Comprobar la seguridad de un sitio web de forma pasiva y gratuita

Revise en unos segundos la configuración de seguridad visible de una web: HTTPS, certificado, cabeceras de protección, cookies y registros de correo del dominio. El análisis no ataca el sitio ni prueba vulnerabilidades.

Comprobar la seguridad de mi webVer la auditoría SEO

Qué se comprueba en la seguridad de un sitio web

Son comprobaciones de configuración que cualquier visitante o servidor de correo puede observar desde fuera.

  • HTTPS y certificado

    Disponibilidad de HTTPS, redirección desde HTTP, fechas de validez del certificado, coincidencia del nombre de host, cadena de certificados y protocolo TLS negociado.

  • Cabeceras de seguridad

    Strict-Transport-Security, Content-Security-Policy, protección contra clickjacking, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.

  • Cookies y CORS

    Atributos Secure, HttpOnly y SameSite de las cookies, y cabeceras CORS con comodines combinados con credenciales. Los valores de las cookies no se guardan.

  • Correo y DNS del dominio

    Registros SPF y DMARC cuando el dominio tiene servidor de correo, registro CAA y archivo security.txt.

Qué significa que el análisis sea pasivo

La diferencia con una prueba de intrusión es el método, no solo el nombre.

  • Sin exploits ni fuerza bruta

    Se realizan peticiones HTTP, consultas DNS y una negociación TLS normales. No se envían cargas maliciosas, no se prueban contraseñas y no se escanean puertos arbitrarios.

  • Resultados con nivel de certeza

    Cada hallazgo declara su gravedad y su certeza. Lo que el análisis no puede comprobar se marca como no evaluado, nunca como superado.

  • Protecciones del propio servicio

    Existen límites de uso, una comprobación anti-bots y reglas que impiden dirigir el análisis a redes internas.

Qué hacer con el resultado

El informe está pensado para pasar a la acción.

  • Corregir primero lo importante

    Empiece por los hallazgos de mayor gravedad y certeza alta: HTTPS, certificado y cabeceras básicas suelen resolverse en la configuración del servidor.

  • Verificar el cambio

    Cada hallazgo indica cómo comprobar la corrección, por ejemplo con curl, y se puede volver a analizar la URL para confirmarla.

  • Valorar una revisión más profunda

    Si necesita una evaluación completa, una prueba de intrusión autorizada o una auditoría de seguridad es un servicio distinto, con alcance y presupuesto propios.

Ejemplo de hallazgo del informe

Muestra en texto de un hallazgo con los campos que enseña el informe. Ilustra el formato y no es el resultado de un sitio real.

hdr.hsts.missing

Strict-Transport-Security ausente

Gravedad y certeza
Importante, certeza alta.
Qué se observó
La cabecera Strict-Transport-Security no se envía en la respuesta HTTPS.
Por qué importa
Sin HSTS sigue siendo posible una primera conexión en claro, que puede ser desviada en una red hostil.
Cómo corregirlo
Envíe la cabecera una vez validado HTTPS en todos los subdominios.
Cómo verificarlo
curl -sI https://su-dominio/ | grep -i strict-transport debe mostrar la cabecera.

Ejemplo de corrección

Strict-Transport-Security: max-age=31536000; includeSubDomains

Alcance: qué es y qué no es esta comprobación

Es una revisión de configuración visible, no una garantía de que el sitio sea seguro.

  • Revisión pasiva de configuración

    HTTPS, certificado, cabeceras, cookies, CORS, SPF, DMARC, CAA y security.txt observados desde fuera.

    Disponible hoy

  • Prueba de intrusión

    No intenta explotar fallos ni acceder a zonas protegidas. Una prueba de intrusión es un servicio aparte y requiere autorización.

    No disponible

  • Análisis de la lógica de la aplicación

    No revisa el control de acceso, los flujos de pago ni las vulnerabilidades propias del código de la aplicación.

    No disponible

  • Escaneo de puertos

    El análisis se limita a los puertos web habituales y no explora otros servicios del servidor.

    No disponible

Preguntas frecuentes sobre comprobar la seguridad de una web

¿Cómo compruebo la seguridad de mi sitio web gratis?

Pegue la URL en el escáner, complete la comprobación anti-bots y lea el informe. No requiere cuenta. El análisis revisa la configuración de seguridad visible desde fuera y propone pasos de corrección.

¿Es seguro que me analicen la web? ¿Puede causar problemas?

El análisis es pasivo: usa peticiones normales y no envía cargas maliciosas ni pruebas de fuerza bruta. Aun así, utilícelo solo sobre sitios que le competan o para los que tenga autorización.

¿Esto sustituye a una auditoría de seguridad o a un pentest?

No. Detecta errores de configuración visibles, pero no sustituye a una evaluación manual ni a una prueba de intrusión autorizada. Si necesita ese nivel, es un servicio distinto con su propio alcance.

¿Que no salgan hallazgos significa que mi web es segura?

No. Significa que las comprobaciones pasivas que se ejecutaron no encontraron problemas. Hay riesgos, como fallos de lógica o vulnerabilidades del código, que este tipo de análisis no puede ver.

¿Por qué revisa también SPF y DMARC si es un sitio web?

Porque el dominio también sirve para enviar correo. Sin SPF y DMARC bien configurados es más fácil suplantar el dominio en mensajes fraudulentos. La comprobación solo se evalúa cuando el dominio tiene servidor de correo.

Revise la configuración de seguridad de su web

Pegue una URL pública y lea el informe pasivo. Sin cuenta y con pasos de corrección verificables.

Comprobar la seguridad de mi web

Revise su web en español: análisis gratuitos

Tres formas de empezar con la misma herramienta, según lo que quiera comprobar.