¿Se puede revisar la seguridad de nuestro sitio web desde Google sin pagar un escaneo?

Google no es un policía, es un bombero: no te avisa cuando tenés riesgo de incendio en casa, te avisa cuando las llamas llegan al techo y los vecinos ven el humo. Para seguridad preventiva Google solo no alcanza.

El año pasado no caímos en una táctica de miedo parecida, pero tardamos en revisar Google Search Console. Nos habían inyectado un código de redirección oculto en la web. Pasaron 4 días hasta que Google se dio cuenta y puso la pantalla roja en el sitio, y esa semana los pedidos nos bajaron de 5.000 dólares a 800 dólares.

El 90% de esas agencias que te llaman ejecutan scripts gratuitos de código abierto por detrás y te sacan un PDF muy bonito con su logo. En vez de soltar 1.800 dólares al año por esos informes automáticos, es mucho mejor pagarle una sola vez a un especialista en servidores para que te haga un bastionado de seguridad.

Para complementar las alertas gratuitas de Google, no dejes de hacer estos tres pasos: 1) Cambia la ruta de acceso al panel de administración y pon verificación en dos pasos (por SMS o app) en la cuenta de admin. 2) Elimina del todo los temas y plugins que no usen. 3) Configura a nivel de DNS un servicio gratuito de firewall y caché para bloquear el tráfico de bots.

El bot de Google renderiza tu sitio desde fuera como si fuera un visitante normal. Por tanto, no puede escanear los puertos abiertos tras tus archivos PHP, las puertas traseras o los fallos de permisos en la base de datos. Solo puede detectar scripts dañinos visibles en el código fuente, iframes ocultos o formularios de phishing.

huye siempre de las agencias que venden metiendo miedo. conecta las notificaciones por correo de Search Console al teléfono del administrador y haz copias de seguridad diarias de la base de datos y de los archivos... aunque pase algo malo restaurar el backup no te lleva ni media hora.

Mañana mismo por la mañana busca el nombre de tu web en el buscador y revisa los títulos de las páginas en los resultados. Si no salen cosas de apuestas medicamentos sin receta o caracteres raros sin sentido, y tu Search Console está limpio, no le des tu dinero a la agencia por el pánico que te quieren meter.

Han surgido tres opiniones distintas, todas se complementan. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Yo seguiría por ese camino.

lo que voy a preguntar sonará un poco novato perdonadme. la verdad un informe de escaneo automático no es lo mismo que una prueba de penetración.

el error cometido por revisar segridad sitio google suele ser reversible pero caro.. y si escribís el resultado aquí también servirá de ayuda a otros.

Voy a contar mi experiencia. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

me pasó lo mismo.. luego nngún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

si tenéis dudas, escribid, os responderé en la medida de lo posible.

Estoy totalmente de acuerdo. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Llevé mucho tiempo con este asunto. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Ánimo.

No tengo ninguna experiencia en revisar seguridad sitio google, por eso pregunto. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Ánimo.

Han surgido tres opiniones distintas todas se complementan. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Ánimo.

Voy a defender lo contrario, no se molesten. Todos los que se apresuran con revisar seguridad sitio google se atascan en el mismo punto.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Estoy de acuerdo a medias, en parte no. Si regañas las falsas alarmas, nadie volverá a reportar.

Lo dejo como nota, por si sirve.

Hay una cosa a la que hay que prestar atención. o sea la respuesta varía mucho según el sector, no hay una regla general.

Comprobado por experiencia.