¿Hasta qué punto podemos confiar en las herramientas gratuitas de análisis de seguridad web antes de recurrir a una auditoría de pago?

La mayoría de herramientas gratuitas hacen un escaneo pasivo. Es decir, solo miran las cabeceras de las respuestas HTTP (como Content-Security-Policy o Strict-Transport-Security). No pueden analizar vulnerabilidades en consultas a la base de datos o en la gestión de sesiones de usuarios registrados porque no tienen credenciales de acceso. Corregir las cabeceras está bien, pero no significa que no te puedan hackear.

Nosotros pasamos por el mismo dilema cuando estábamos en la franja de los 500 mil dólares de facturación. En las herramientas gratuitas salía todo en verde. Pero de repente nuestro proveedor de hosting nos suspendió el sitio porque en segundo plano se había subido un archivo PHP que enviaba 3.000 emails de spam. Tuvimos que pagar 1.800 dólares a un equipo de respuesta rápida para limpiar ese archivo y salvar la base de datos.

Fiarse de la nota que dan los escáneres gratuitos es como lavar solo el coche por fuera e intentar adivinar si el motor pierde aceite. La carrocería se ve impecable pero la transmisión está a punto de romper. No duermas tranquilo solo porque te ponga luz verde por fuera.

No aceptes ese presupuesto de 2.500 dólares a la primera. Primero soluciona las cabeceras que faltan avisadas por las herramientas gratuitas desde el archivo de configuración del servidor o con un plugin de seguridad. Luego borra los plugins innecesarios y actualiza la versión de PHP. Tras hacer los deberes básicos, si ves que aún hace falta, negocias.

Ojo, que algunas auditorías que las empresas de seguridad venden por 2.500 dólares a veces consisten en pasar un software comercial automatizado y entregarte el PDF que saca. Pregunta sí o sí si la empresa va a hacer una revisión de lógica manual. Si solo van a pasar una herramienta automática, no merece la pena gastarse ese dinero.

a ver, si cobramos redirigiendo los pagos a través de una pasarela de pago conocida, ¿hay riesgo de que roben las tarjetas de los clietes aunque entre un virus al sitio? la verdad estábamos tranquilos pensando que nosotros no guardamos los números de tarjeta.

Pasos a seguir para evaluar los resultados gratuitos: 1) Si los controles de listas negras están en verde, tu dominio no está marcado como spam, punto positivo básico. 2) Corrige los avisos de cabeceras faltantes en la configuración del servidor según las recomendaciones del escáner. 3) Actualiza de inmediato o sustituye los plugins obsoletos. 4) Instala un monitor de integridad de archivos en el servidor que rastree los cambios diarios en los archivos.

llevo dos años con mi tienda online y los escáneres gratis solo sacan fallos tontos. en fin poner restricción de ip al panel de administración de wp y cambiar el acceso a wp-admin frena decenas de ataques q los escáneres gratis ni huelen, con hacer eso os basta x ahora.

Rara vez se encuentra un texto que lo explique tan claro. Cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

correcto.

Resumen breve para nuevos usuarios: Que todo el mundo haga algo no significa que sea lo correcto.

Yo seguiría por ese camino.

En su momento, nosotros también nos atascamos ahí. Antes de decidir, mirad qué datos tenéis en la mano.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Este hilo es para archivar.

Aquí hay una trampa, no puedo dejar de mencionarla. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Comprobado por experiencia.

yo también tenngo curiosidad.

Hay un punto que me genera dudas. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola. Por supuesto, cambia si tu situación es diferente.

hay un error muy común al hacer esto y la mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

yo seguiría por ese camino.

De acuerdo, incluso me gustaría recalcarlo. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

No confíes en una sola medida; ve capa por capa. Eso es todo, disculpa si me he extendido demasiado.