Test de seguridad de un sitio web: qué son y cómo se hacen de verdad
Hacer un test de seguridad de un sitio web significa poner a prueba tu sitio o tu aplicación como lo haría un atacante: buscar claves API olvidadas en el código, endpoints accesibles sin autenticación, cabeceras de protección ausentes, configuraciones SSL débiles. No es cosa de grandes empresas con un departamento dedicado. Al contrario: hoy es quien trabaja solo —makers, indie hackers, pequeñas empresas— quien más necesita revisar, porque a menudo el sitio se publicó con prisa, quizá generado con IA, sin que nadie mirara nunca "bajo el capó".
En esta guía vemos qué tipos de test existen, cómo se ejecutan, qué herramientas usar y cómo leer los resultados. Si lo que buscas es una checklist manual paso a paso, la tienes en el artículo sobre cómo comprobar la seguridad de un sitio web; aquí nos centramos en el método y las herramientas.
Por qué un test de seguridad no es opcional
Un sitio publicado está expuesto a internet las 24 horas, y los bots que rastrean la web buscando vulnerabilidades conocidas no distinguen entre el portal de una multinacional y la landing lanzada anoche. Una revisión de vulnerabilidades periódica sirve para encontrar los problemas antes de que los encuentre otro.
El riesgo más infravalorado tiene que ver con los proyectos "rápidos": código generado con IA, plantillas copiadas, integraciones configuradas sobre la marcha. Son contextos en los que una clave secreta acaba en el frontend o un endpoint se queda abierto sin que nadie se dé cuenta. Un test de seguridad del sitio regular es la única forma de detectarlo a tiempo.
Los principales tipos de test de seguridad
No existe "el" test: existen varias comprobaciones, cada una con su objetivo. Combinarlas da un cuadro fiable.
1. Escaneo automático de vulnerabilidades
Es el punto de partida para todos. Una herramienta analiza el sitio de forma automática y compara lo que encuentra con bases de datos de vulnerabilidades conocidas y malas configuraciones. Un escaneo de vulnerabilidades detecta rápidamente los problemas recurrentes: software sin actualizar, claves expuestas, endpoints públicos, cookies no conformes.
Es rápido y barato, y hay que repetirlo a menudo. Su límite es que no "razona" como un atacante humano: señala lo que encaja en patrones conocidos.
2. Test de penetración manual
El test de penetración del sitio web (o pentest) lo realiza un profesional que simula un ataque real, encadenando varias debilidades para ver hasta dónde podría llegar. Encuentra problemas de lógica de aplicación que ningún escáner automático capta: por ejemplo, la posibilidad de acceder a los datos de otro usuario cambiando un número en la URL.
Es el test más profundo, pero también el más caro y lento. Tiene sentido en aplicaciones que gestionan datos sensibles, pagos o cuentas de usuario.
3. Revisión de cabeceras de seguridad
Muchos ataques se previenen con unas pocas cabeceras HTTP correctas: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options. La revisión de cabeceras comprueba que existan y estén bien configuradas: un test rapidísimo con una excelente relación entre esfuerzo y beneficio.
4. Test SSL/TLS
Comprueba que el certificado sea válido y no esté caducado y que el servidor no acepte versiones de protocolo obsoletas ni cifrados débiles. En definitiva, confirma que el candado del navegador se corresponde con un cifrado realmente sólido.
5. Test de configuración
Aquí se mira todo lo que no es código sino "ajuste": paneles de administración expuestos, archivos .env accesibles, directorios listables, ausencia de rate limiting en los endpoints de login o en las API. La falta de rate limiting, por ejemplo, abre la puerta a los ataques de fuerza bruta y al abuso de las API.
| Tipo de test | Qué encuentra | Velocidad | Coste |
|---|---|---|---|
| Escaneo automático de vulnerabilidades | Vulnerabilidades conocidas, claves expuestas, cabeceras ausentes | Alta | Bajo / gratis |
| Test de penetración manual | Fallos de lógica, cadenas de ataque | Baja | Alto |
| Revisión de cabeceras | Cabeceras de protección ausentes o mal configuradas | Muy alta | Bajo / gratis |
| Test SSL/TLS | Certificados y cifrados débiles | Muy alta | Bajo / gratis |
| Test de configuración | Endpoints abiertos, sin rate limiting, archivos expuestos | Media | Bajo |
¿Escáner automático o pentest profesional?
Es la pregunta que se hace todo el mundo. La respuesta honesta es: hacen falta los dos, pero en momentos distintos.
El escáner de seguridad online es tu rutina: barato, repetible, ideal para interceptar los problemas más comunes antes de que se conviertan en incidentes. El test de penetración es la profundización periódica o previa al lanzamiento, cuando lo que está en juego es alto y quieres la valoración de un ojo humano.
Un error frecuente es saltar al pentest caro cuando el 80% de los problemas se habría resuelto con un escaneo automático hecho con regularidad. Empieza por el escáner y reserva al profesional para los casos en que de verdad hace falta.
Las categorías de herramientas disponibles
- Escáneres automáticos generalistas: analizan vulnerabilidades conocidas y configuraciones. Ideales para la monitorización continua.
- Analizadores de cabeceras y SSL: herramientas específicas y a menudo gratuitas para las comprobaciones rápidas.
- Escáneres especializados en proyectos modernos y "vibe coded": pensados para quien ha creado el sitio o la app con IA, donde los problemas típicos son claves API expuestas, endpoints sin autenticación y privacidad no conforme. En esta categoría entra por ejemplo Appurai, un escáner automático que revisa de una sola vez seguridad y conformidad con el RGPD.
- Plataformas de test de penetración: usadas por los profesionales para el análisis manual en profundidad.
Para la visión de conjunto sobre los principios a seguir, sigue siendo útil la guía sobre qué hace seguro a un sitio web.
Cómo se ejecuta un test en la práctica
El flujo operativo para un maker o una pyme, sin equipo de seguridad, es más sencillo de lo que parece.
- Define el perímetro. Enumera dominios, subdominios, API y aplicaciones a revisar. Lo que olvides no se probará.
- Lanza el escaneo automático. Empieza por el escaneo de vulnerabilidades y por las comprobaciones de cabeceras y SSL: es donde aparece la mayoría de los problemas.
- Lee los resultados por gravedad. No todo pesa igual (ver más abajo).
- Corrige y vuelve a probar. Aplica las correcciones y relanza el escaneo para confirmar que el problema está cerrado.
- Planifica el pentest si tu proyecto lo requiere.
Cómo leer y priorizar los resultados
Un informe de seguridad puede asustar con decenas de avisos. La clave es la severidad: casi todas las herramientas clasifican los problemas por gravedad, normalmente en una escala.
| Severidad | Significado | Qué hacer |
|---|---|---|
| Crítica | Explotable de inmediato, impacto grave (p. ej. clave API expuesta) | Corrige inmediatamente |
| Alta | Riesgo serio pero condicionado | Corrige en pocos días |
| Media | Hay que arreglarlo, impacto contenido | Planifica la corrección |
| Baja / Info | Mejora recomendada | Valóralo con calma |
La regla práctica: empieza siempre por lo crítico. Una clave API expuesta o un endpoint de pago sin autenticación vale más que diez avisos informativos. Encontrar el problema es la mitad del trabajo; la otra mitad es saber resolverlo: muchos escáneres gratuitos solo muestran el diagnóstico, mientras que las versiones de pago (como el plan Pro de Appurai) aportan además las indicaciones para corregir. Si descubres que ya has sufrido un ataque, sigue la guía sobre qué hacer si el sitio ha sido hackeado.
Cada cuánto repetir los test
- Escaneo automático: al menos una vez al mes, e idealmente en cada versión importante.
- Cabeceras de seguridad y SSL: en cada cambio de infraestructura o de certificado.
- Test de penetración: una vez al año, o antes de un lanzamiento o de un cambio arquitectónico relevante.
La seguridad no es una meta sino un mantenimiento. Un sitio probado en enero y nunca más revisado es vulnerable en diciembre: mientras tanto aparecen nuevas vulnerabilidades y el código cambia.
Hazlo tú o llama a un profesional: cuándo hace falta cada uno
Puedes gestionar por tu cuenta escaneos automáticos y comprobaciones de cabeceras, SSL y configuración: están al alcance de cualquiera con las herramientas adecuadas y cubren la mayoría de los riesgos comunes.
Conviene llamar a un profesional cuando gestionas datos sensibles, cuando debes cumplir requisitos de conformidad estrictos, cuando la aplicación tiene lógicas complejas (marketplace, área privada, pagos) o cuando un cliente exige un pentest formal. En los demás casos, un buen escáner automático usado con constancia basta para estar tranquilo.
Preguntas frecuentes
¿Es fiable un test de seguridad gratuito? Sí para las comprobaciones básicas: un escáner gratuito detecta claves expuestas, cabeceras ausentes y problemas de SSL. Muchas veces, eso sí, solo muestra los problemas sin explicarte cómo resolverlos; para eso hacen falta las versiones de pago o un consultor.
¿Cuál es la diferencia entre escaneo de vulnerabilidades y test de penetración? El escaneo de vulnerabilidades es automático y busca problemas conocidos: rápido y barato. El test de penetración es manual, lo realiza un experto que simula un ataque real y encuentra fallos de lógica que los escáneres no ven.
¿El test ralentiza o daña mi sitio? Un escaneo automático estándar es pasivo o poco invasivo y no daña el sitio. Los test más agresivos se acuerdan de antemano y, si es posible, se ejecutan en un entorno de pruebas.
¿Tengo que hacer test aunque el sitio lo haya hecho con IA? Sobre todo en ese caso. Los proyectos generados con IA o montados con prisa están entre los más expuestos a claves API en el frontend y endpoints sin autenticación. Existen escáneres pensados justo para este escenario.
¿Cada cuánto debo repetir la revisión de vulnerabilidades? Un escaneo automático al menos mensual y en cada versión importante; un test de penetración una vez al año o antes de un lanzamiento relevante.
En resumen
Un test de seguridad de un sitio web bien hecho combina escaneos automáticos frecuentes, comprobaciones específicas de cabeceras y SSL, y un test de penetración cuando lo que está en juego lo exige. Empieza por lo automático, corrige primero lo crítico y convierte la revisión en un hábito, no en un evento aislado.
Si quieres un punto de partida rápido, un escáner automático como Appurai analiza la seguridad y la conformidad con el RGPD de tu sitio o tu aplicación en pocos minutos y te muestra dónde estás expuesto, para que sepas por dónde empezar.