La mayoría de los incidentes en webs de empresa no vienen de ataques sofisticados, sino de cosas pequeñas que nadie revisaba: un plugin sin actualizar, un subdominio que apunta a un servicio dado de baja, un dominio que caduca porque la tarjeta del pago automático venció, un registro DMARC que nunca se configuró.
Aquí están las guías para revisar cada una de esas piezas y entender qué significa lo que encuentras. Las utilidades de la sección leen solo información pública: no hace falta dar acceso a nada para usarlas.
Artículos10
Vulnerabilidades críticas en PHP y Node.js: qué pasó y qué hacer
El 21 de octubre PHP y Node.js publicaron correcciones para fallos graves que permiten ejecutar código en el servidor. Qué significan sin tecnicismos, qué versiones los corrigen y qué conviene hacer esta semana.
¿Por qué los subdominios olvidados son un riesgo de seguridad?
Cómo la transparencia de certificados deja a la vista los subdominios que has ido usando, qué es la toma de un subdominio y cómo hacer un inventario para limpiar lo que ya no sirve.
¿Qué hacer si Google marca tu web como peligrosa?
Por qué aparece la pantalla roja de Chrome sobre un sitio, qué suele haber detrás, cómo limpiarlo de verdad y cómo pedir a Google que retire el aviso.
¿Cómo crear contraseñas seguras y no olvidarlas?
Por qué la longitud pesa más que los símbolos, qué hace un gestor de contraseñas, qué verificación en dos pasos elegir y cómo ordenar las claves de un equipo.
¿Cómo saber si tu contraseña ha sido filtrada?
Qué es una filtración de contraseñas, por qué una clave robada en un servicio pone en riesgo todos los demás y cómo se comprueba sin entregarla a nadie.
¿Por qué tarda en propagarse un cambio de DNS?
Por qué un cambio de DNS no se ve igual en todas partes, qué papel juega el TTL, cómo prepararlo para que la espera sea de minutos y por qué tu socio ve la web nueva mientras tú sigues viendo la vieja.
Qué es una vulnerabilidad y por qué tu web necesita mantenimiento
Qué es una vulnerabilidad informática, por qué afecta también a webs pequeñas, qué ocurre desde que se publica un fallo hasta que alguien lo aprovecha y qué significa, en la práctica, mantener un sitio al día.
¿Qué pasa si caduca tu dominio?
Lo que ocurre desde que vence un dominio hasta que otra persona puede comprarlo, qué deja de funcionar primero y cómo evitar que te pase sin enterarte.
Cabeceras de seguridad HTTP: ¿cuáles necesita tu web?
Qué son HSTS, CSP, X-Frame-Options y el resto de cabeceras de seguridad, qué ataque frena cada una y en qué orden activarlas para no romper nada por el camino.
¿Qué son SPF, DKIM y DMARC, y por qué tus correos llegan a spam?
Los tres registros DNS que deciden si un servidor de correo se fía de tus mensajes, cómo encajan entre sí y los errores de configuración que mandan a spam correos perfectamente legítimos.
Compruébalo en tu web
Utilidades gratuitas, sin registro, que hacen la comprobación de la que hablan los artículos.
- Cabeceras de seguridadHSTS, CSP, X-Frame-Options y compañía: cuáles tienes, cuáles faltan y qué protege cada una.
- Comprobador de SPF, DKIM y DMARCLos registros que deciden si tu correo llega a la bandeja o al spam, leídos y explicados.
- Cuándo caduca un dominioFecha de caducidad, registrador, estado y servidores DNS de cualquier dominio, por RDAP.
- Comprobar si una web es seguraConsulta la lista de Google Safe Browsing: malware, phishing y software no deseado.
- Subdominios de un dominioLos subdominios que aparecen en los certificados TLS públicos, incluidos los que nadie recuerda.
- Contraseña filtradaComprueba si una contraseña aparece en filtraciones conocidas sin que salga de tu navegador.
¿Hablamos de tu proyecto?
Cuéntanoslo por escrito y te respondemos, en menos de 24 horas hábiles, con una primera lectura del alcance.
Respondemos en menos de 24 horas hábilesBogotá · UTC−5