Pasé la web por un auditor de seguridad online y salieron vulnerabilidades graves, ¿nos lo creemos?

Los escáneres por lo general solo leen el número de versión de Apache o Nginx en la cabecera del servidor y vuelcan en el informe todas las vulnerabilidades antiguas de la base de datos pública para esa versión. Pero puede que el parche para esa vulnerabilidad ya esté instalado en segundo plano en tu servidor. Si ocultas la información de la versión hacia afuera, la mayoría de avisos del informe desaparecen.

La gran mayoría de webs de escaneo gratuito son embudos de marketing. Te ponen logos rojos y puntuaciones de miedo y justo debajo te meten el botón de 'Limpia las vulnerabilidades con un clic'. No hay un pentest real por medio, sino un escenario del miedo diseñado para vender servicios.

Llevo años gestionando webs de comercio electrónico; en la mayoría de informes de clientes que venían en pánico no había un riesgo real. Las herramientas automáticas dan una idea, pero no marcan una hoja de ruta. Mi consejo: aumenta la frecuencia de las copias de seguridad diarias y pon verificación en dos pasos en el panel de administración.

No te ganes el presupuesto todavía. Primero cambia la URL del panel de administración por una diferente a la por defecto. Luego comprueba si el firewall web (WAF) está activo en el servidor. Esos dos sencillos pasos ya neutralizan la mayoría de escaneos automáticos que vienen de fuera.

En nuestro propio sitio, una herramienta similar encontró cinco vulnerabilidades críticas. Cuando se lo pedí a nuestro programador, cuatro resultaron ser falsos positivos y solo una era un complemento de formulario de contacto antiguo. Quitar ese complemento e instalar una alternativa nos tomó media hora y no nos costó ni un solo Ruble.

las herramientas automaticas x lo general solo leen los encabezados como un robot y ya. no prueban los formularios uno x uno a ver si pueden robar datos. en mi opinion antes de entrar en panico y gastar plata prueben con otro escáner gratuito y de codigo abierto.

¿Cómo funciona la pasarela de pago en su sitio? ¿Obtienen la información de la tarjeta directamente en un formulario de su página o redirigen al cliente a una plataforma bancaria externa? Si utilizan un pago externo, no hay riesgo de filtración de tarjetas, solo quedaría expuesta la lista de direcciones de los clientes.

Nota: esto es mi experiencia, puede no aplicar a todos.

En resumen: no se apresuren a gastar 45.000 Ruble solo por ver alertas rojas en los informes. La mayoría de las vulnerabilidades son simplemente información de versión y encabezados de seguridad faltantes. Actualicen su software, activen la verificación en dos pasos y, si es necesario, busquen la opinión de un experto únicamente para complementos específicos.

Tiene razón. Todos los que se apresuran con auditoria de seguridad web se atascan en el mismo punto.

Yo seguiría por ese camino.

Voy a resumir el tema porque se han dado varias respuestas diferentes. en fin la seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada. Comprobado por experiencia.

le agradecería que compartiera el resultado.

Correcto. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Por supuesto, cambia si tu situación es diferente.

Tomo nota, gracias.

En su momento nosotros también nos atascamos ahí. Si regañas las falsas alarmas, nadie volverá a reportar.

Por supuesto cambia si tu situación es diferente.

Me pasó lo mismo. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Quisiera hacer una pregunta. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Separemos los conceptos, se están confundiendo. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. Espero que le sea útil.