Auditoría de superficie
Todo lo que la web expone y quién lo necesita.
Agencia Web · W-020 · Rendimiento & Seguridad
Seguridad web y hardening
Cerrar lo que está abierto. Superficie de ataque reducida, cabeceras, permisos y respuesta a incidentes.
La seguridad web no se refuerza con un plugin: se decide qué se expone y qué no.
Que es y para quien
Saber qué está expuesto y cerrarlo.
Auditoría, superficie, cabeceras, secretos, dependencias e incidentes. Lee la guía completa de Desarrollo Web para el contexto teórico.
La mayoría de webs que se hackean no han sufrido un ataque sofisticado. Una versión desactualizada de un plugin, una contraseña reutilizada en el panel o una carpeta de copias de la base de datos accesible desde la web. El problema no es la tecnología: es que nadie ha revisado qué queda expuesto.
Va dirigido a webs con panel, con datos de clientes o con equipo de marketing que tiene acceso a todo. Entregamos la auditoría de la superficie de ataque, la reducción de lo expuesto, las cabeceras y permisos, la gestión de secretos y dependencias, el plan de respuesta a incidentes y la revisión periódica.
- Ecommerce con panel y acceso de terceros.
- Agencias que gestionan el hosting de varios clientes.
- SaaS con datos de clientes y claves de API.
- ONG con webs antiguas sin mantenimiento.
Que incluye
Seis piezas de una web endurecida.
Auditoría, superficie, cabeceras, secretos, dependencias e incidentes.
Reducción de exposición
Directorios, puertos, servicios y accesos cerrados.
Cabeceras y permisos
HTTPS, CSP, HSTS y permisos de {entregable}.
Secretos y dependencias
Claves fuera del repositorio y versiones con parche.
Respuesta a incidentes
Plan, contacto, copia y tiempo de {plazo}.
Revisión periódica
Escaneo mensual con informe y acciones.
Trazabilidad
Cada segundo y cada riesgo están medidos.
De la medición al hardening, con el dato antes y después de cada cambio.
- Métrica de rendimiento o riesgo de la ruta de acceso que nadie necesitaba abierta
- Cambio aplicado y su efecto medido en la web endurecida con su plan de respuesta
- Certificados, cabeceras y reglas de seguridad
- Deuda técnica o riesgo residual con su fecha en 3 semanas
Como funciona
El ciclo de una web rápida y segura.
De la medición al despliegue, y del incidente al parche.
-
01
Medición
Se mide la ruta de acceso que nadie necesitaba abierta con datos de usuarios reales.
-
02
Diagnóstico
Se localiza el cuello de botella de la web endurecida con su plan de respuesta.
-
03
Corrección
Optimización y hardening en 3 semanas.
-
04
Verificación
Nueva medición y comparación con la anterior.
-
05
Vigilancia
Alertas y revisión periódica.
Medir en el laboratorio no sirve. El objetivo es lo que vive el usuario con su móvil y su red.
Como trabajamos
De una web lenta e insegura a una web estable.
Rendimiento, seguridad, copias y vigilancia.
-
Rendimiento
LCP, INP y CLS medidos con datos reales.
-
Seguridad
HTTPS, cabeceras, permisos y la ruta de acceso que nadie necesitaba abierta.
-
Copias de seguridad
Frecuencia, retención y restauración probada.
-
Monitorización
Alertas de caída, error y rendimiento.
-
Mantenimiento
Actualizaciones y parches programados en 3 semanas.
Donde rinde
Tres webs que dejaron de exponer lo que no debían.
El mismo trabajo sobre webs con distinto nivel de exposición.
Carpeta /backups accesible desde la web.
Cierre de exposición y cabeceras: 0 accesos directos y respuesta en 4 h.
Once webs con la misma contraseña de panel.
Gestión de secretos por cliente y claves rotadas: 0 reutilización.
Claves de API en el repositorio público.
Rotación, secretos fuera del código y revisión: 0 incidentes.
Sectores
Donde ya lo hemos montado.
Ecommerce
SaaS B2B
Servicios profesionales
Formación
Turismo
Finanzas
Salud
Inmobiliario
Retail
Media
ONG
Agencias
Nos hicieron una lista de todo lo que la web enseña y no necesitamos. Era más larga de lo que nos faltaba proteger.
Andrés K.
IT Lead
Reseña verificada en Google
4,9/5 · 248+ opiniones.
¿Cuánto tarda en verse resultados?
De 2 a 3 semanas para la auditoría y las correcciones prioritarias. Las medidas de proceso y el plan de respuesta se entregan en la misma entrega.
¿Qué incluye exactamente?
Auditoría de superficie de ataque, reducción de exposición, cabeceras y permisos, gestión de secretos y dependencias, plan de respuesta a incidentes y revisión periódica mensual.
¿Necesito algo previo?
Acceso al servidor, al panel, al repositorio, a los proveedores de cada servicio y a los contratos con terceros.
¿Cómo se mide el resultado?
Con vectores abiertos, cabeceras activas, tiempo de respuesta y accesos no autorizados detectados.
¿Cada cuánto se revisa?
Mensual, con revisión tras cada publicación o cambio de proveedor.
¿Basta con un plugin de seguridad?
No. Los plugins comprueban lo que ellos conocen y, en muchos casos, añaden superficie de ataque en lugar de quitarla. La seguridad se decide sobre la arquitectura. Qué servicios están expuestos, con qué permisos y con qué claves. El plugin puede ayudar, pero no sustituye la revisión de la superficie.
Reservar
Cuentanos tu web.
Media hora para ver qué expone tu web ahora mismo sin que nadie lo haya revisado.
Reserva tu videollamada gratuita
30 minutos con Jorge Sánchez Mosquete, experto en Seguridad web y hardening. Sin compromiso, en español.
•
LMXJVSD
Selecciona un día
• Empieza eligiendo un día disponible en el calendario
Powered by Netbulb