¿Cuántas capas de seguridad tiene tu web?

Las seis capas que revisamos

1. Conexión cifrada: HTTPS, redirección desde http:// y HSTS.
2. Cortafuegos y CDN: si hay un WAF como Cloudflare, Sucuri o Wordfence que filtre ataques y robots.
3. Protecciones del navegador: cabeceras de seguridad y cookies bien configuradas.
4. Acceso de administración: si la página de acceso está a la vista, si tiene captcha, límite de intentos o segundo factor, si xmlrpc.php está abierto y si se pueden listar los nombres de usuario. Es donde se hacen los ataques de fuerza bruta.
5. Información expuesta: versiones del servidor, de PHP o del CMS, archivos como readme.html y carpetas que se pueden listar.
6. Dominio y DNS: DNSSEC y CAA.

Qué es un ataque de fuerza bruta

Son robots que prueban miles de combinaciones de usuario y contraseña, sin parar, hasta que aciertan una. No buscan tu web en concreto: atacan todas las que encuentran, sobre todo las WordPress. Se frenan combinando capas: límite de intentos y bloqueo de IP, segundo factor de autenticación, ocultar la página de acceso, cerrar xmlrpc.php y no dejar listar los usuarios.

Esta prueba no hace ningún ataque: solo hace peticiones normales, como un navegador, a páginas públicas. Para revisar plugins, permisos, copias de seguridad y el servidor por dentro, mira el servicio de Velocidad y seguridad web o haz también el test de seguridad y el de correo seguro.

Preguntas frecuentes

¿Es legal hacer esta prueba a una web?

Sí. Solo consulta páginas públicas, igual que un navegador o un buscador. No prueba contraseñas ni intenta entrar en ningún sitio.

Tengo WordPress. ¿Qué es lo más urgente?

Segundo factor para los administradores, límite de intentos de acceso, cerrar xmlrpc.php si no lo usas, tenerlo todo actualizado y copias de seguridad fuera del servidor.

El test no detecta mi cortafuegos. ¿Significa que no tengo?

No necesariamente: algunos cortafuegos trabajan dentro del servidor y no dejan rastro visible. Te lo podemos revisar por dentro.