Comprobar la seguridad de un sitio web: la checklist de 10 minutos

Has publicado tu sitio, quizá con ayuda de la IA o de una plantilla lista, y ahora te queda la duda: ¿está realmente a salvo? La buena noticia es que comprobar la seguridad de un sitio web no exige ser hacker. Muchas de las revisiones más importantes puedes hacerlas tú, desde el navegador, en unos diez minutos. Basta con mirar con atención y tener una checklist clara.

En esta guía te doy exactamente eso: una lista de comprobaciones prácticas que cualquiera puede ejecutar por su cuenta. De cada una te explico qué mirar y qué significa si el resultado está en "rojo". Al final te cuento también qué no puedes verificar a mano, para que sepas dónde hacen falta herramientas automáticas.

Si prefieres entender antes los principios generales de lo que hace sólido un proyecto, los tienes en qué hace seguro a un sitio web. Aquí nos quedamos en lo práctico.

Por qué revisar la seguridad de tu sitio (aunque sea pequeño)

Hay un mito que conviene desmontar ya: "mi sitio es demasiado pequeño, no le interesa a nadie". Falso. La mayoría de los ataques son automáticos: bots que escanean internet buscando sitios con fallos conocidos, sin saber ni importarles qué vendes. Un sitio con una contraseña débil o una clave a la vista es un objetivo, punto.

Para un maker o un pequeño empresario, revisar la seguridad del sitio significa proteger tres cosas: los datos de tus usuarios, tu reputación y tu dinero (una infracción del RGPD puede salir cara). Y lo mejor es que las primeras comprobaciones no cuestan nada.

Checklist práctica para comprobar la seguridad de un sitio web

Estas son las comprobaciones en orden, de la más sencilla a la más técnica. Puedes seguirlas todas en secuencia.

1. HTTPS y certificado SSL

• Qué mirar: abre el sitio y observa la barra de direcciones. La URL debe empezar por https://. Haz clic en el candado (o en el icono a la izquierda de la dirección) y abre los detalles del certificado: comprueba que sea válido y no esté caducado.
• Si está en rojo: si ves "http://" sin la "s", o un aviso tipo "Conexión no segura" o "Certificado caducado", los datos viajan en claro. Cualquiera en la misma red puede leerlos, incluidas las contraseñas escritas en los formularios. Hay que resolverlo ya: casi todos los hostings ofrecen un certificado SSL gratuito (Let's Encrypt).

El HTTPS con certificado SSL es el primer ladrillo: sin él, todo lo demás pierde valor.

2. Claves y secretos visibles en el código fuente

Esta comprobación sorprende a mucha gente, sobre todo a quien ha creado el sitio con IA o herramientas no-code.

• Qué mirar: abre tu sitio, haz clic derecho y elige "Ver código fuente de la página" (o pulsa Ctrl+U / Cmd+Option+U). Con Ctrl+F busca palabras como api_key, apikey, secret, token, password, sk_. Echa un vistazo también a los archivos JavaScript que carga la página.
• Si está en rojo: si encuentras una clave API completa, una contraseña o un token, está expuesto públicamente a cualquiera que abra la página. Con esa clave alguien puede usar tus servicios de pago, leer tu base de datos o enviar correos en tu nombre. Hay que revocarla y regenerarla de inmediato, moviendo los secretos al lado del servidor.

3. Cabeceras de seguridad

Las cabeceras son instrucciones invisibles que tu sitio envía al navegador. Algunas sirven para proteger a los usuarios.

• Qué mirar: no hace falta leer código. Existen herramientas gratuitas de análisis de sitios online en las que pegas la dirección y te dicen qué cabeceras de seguridad están presentes. Busca entradas como Content-Security-Policy, Strict-Transport-Security, X-Frame-Options.
• Si está en rojo: si faltan, el sitio queda más expuesto a ataques como el clickjacking o la inyección de scripts. No es una alarma roja inmediata como una clave expuesta, pero es señal de que la configuración debería reforzarse.

4. Cookies y consentimiento (RGPD)

• Qué mirar: abre el sitio en una ventana de incógnito. ¿Aparece un banner de cookies antes de que se instalen cookies de seguimiento? ¿El banner te permite rechazar de verdad, o solo hay "Aceptar"? ¿Existe una página de política de privacidad accesible?
• Si está en rojo: si el sitio instala cookies de perfilado sin preguntar, o si solo puedes aceptar y no rechazar, estás fuera de norma. Además del riesgo de sanciones, es señal de poco cuidado hacia tus usuarios.

5. Software y plugins actualizados

• Qué mirar: si usas WordPress, Shopify o un CMS, entra en el panel de administración y revisa la sección de actualizaciones. Temas, plugins y core deben estar en la última versión.
• Si está en rojo: un plugin sin actualizar es la vía de entrada número uno de los sitios comprometidos. Las vulnerabilidades conocidas se corrigen con las actualizaciones: si no actualizas, dejas la puerta abierta. Activa las actualizaciones automáticas donde puedas.

6. Contraseñas y accesos

• Qué mirar: ¿la contraseña de administración es larga, única y generada al azar? ¿Está activada la autenticación en dos pasos (2FA)? ¿Siguen existiendo cuentas de administrador antiguas que ya no usas?
• Si está en rojo: una contraseña como admin123 la adivina un bot en segundos. Usa un gestor de contraseñas, activa la 2FA y elimina las cuentas sin uso.

7. Copias de seguridad activas

• Qué mirar: ¿tienes una copia automática y reciente del sitio y de la base de datos? ¿Sabes cómo restaurarla?
• Si está en rojo: sin copias, si algo sale mal (ataque, error, actualización fallida) te arriesgas a perderlo todo. La copia no evita los problemas, pero es tu red de seguridad. Si nunca la has probado, haz una restauración: una copia que no sabes restaurar es como no tenerla.

Si quieres profundizar en los distintos tipos de test y las herramientas de cada uno, están detallados en test de seguridad para un sitio web.

Qué no puedes comprobar por tu cuenta (y por qué)

La checklist anterior te descubre muchísimo, pero tiene un límite: solo mira la superficie. Algunos problemas se esconden donde el ojo humano no llega.

• Endpoints sin autenticación: API o URLs "ocultas" que devuelven datos sensibles a cualquiera que las conozca. No los ves navegando con normalidad.
• Ausencia de rate limiting: nada que impida a un bot probar miles de contraseñas o saturar tu servicio.
• Secretos enterrados en archivos JavaScript: claves que no están en el código fuente principal, sino dentro de bundles minificados difíciles de leer a mano.
• Configuraciones RGPD incoherentes entre las cookies declaradas y las cookies realmente instaladas.

Comprobar todo esto a mano exigiría conocimientos de desarrollo y horas de trabajo. Y es exactamente el tipo de revisión que un escáner automático hace de forma sistemática. Herramientas como Appurai analizan el sitio (también los creados con IA o vibe coding) y te muestran gratis claves expuestas, endpoints abiertos, cabeceras que faltan y problemas de cookies, sin que escribas una línea de código. Útil justo para cubrir lo que la checklist manual no alcanza.

Cada cuánto repetir las comprobaciones

La seguridad no es una casilla que se marca una sola vez. Este es un ritmo sencillo y sostenible:

• En cada cambio importante: después de añadir una función, un formulario o una clave, repite las comprobaciones 2 y 5.
• Una vez al mes: actualizaciones, contraseñas, copias de seguridad.
• Cada trimestre: un escaneo completo para ver si ha aparecido algo nuevo.

Bastan unos minutos cada vez para evitar problemas grandes.

Preguntas frecuentes

¿De verdad puedo comprobar la seguridad de un sitio web sin conocimientos técnicos?

Sí, en la mayoría de las comprobaciones básicas. HTTPS, cookies, contraseñas, copias y código fuente son cosas que puedes revisar desde el navegador. Para el análisis más profundo (endpoints, rate limiting) sí hace falta una herramienta automática.

¿Cómo sé si mi sitio es realmente seguro?

Ningún sitio es "100% seguro", pero si superas todos los puntos de la checklist ya estás muy por encima de la media. El siguiente paso es un escaneo automático que revise también lo que no se ve a simple vista.

¿El candado significa que el sitio es seguro?

No, solo significa que la conexión está cifrada (HTTPS). Es necesario, pero no basta: un sitio con candado puede tener igualmente claves expuestas o contraseñas débiles. No te quedes en el candado.

He encontrado una clave API en el código fuente, ¿qué hago?

Revócala de inmediato en el servicio que la generó y crea una nueva, manteniéndola en el servidor y nunca en el código público. Si la clave llevaba tiempo expuesta, revisa también los registros por si hay actividad sospechosa.

¿Y si descubro que el sitio ya está comprometido?

No te dejes llevar por el pánico y actúa con método: aísla el sitio, cambia las contraseñas y restaura una copia limpia. Tienes el procedimiento paso a paso en sitio web hackeado: qué hacer.

En resumen

Comprobar la seguridad de un sitio web no es cosa solo de expertos. Con la checklist de esta guía puedes revisar por tu cuenta los puntos que más pesan: HTTPS, claves expuestas, cabeceras, cookies, actualizaciones, contraseñas y copias de seguridad. Hazlo con regularidad y habrás eliminado ya la mayoría de los riesgos comunes.

Para lo que el ojo humano no puede ver, un escaneo automático gratuito te da en pocos minutos un cuadro completo de lo que hay que arreglar. Es la forma más rápida de pasar del "espero que esté bien" al "sé que está bien".