Alternativas a Mozilla Observatory: las mejores opciones en 2026

Durante casi una década, Observatory by Mozilla fue la respuesta gratuita por defecto a la pregunta "¿cómo de segura es la configuración de mi web?". Hasta que lo retiraron. La parte de escaneo HTTP encontró un nuevo hogar en MDN en julio de 2024, mientras que el resto del conjunto, incluidos TLS Observatory y SSH Observatory, se apagó definitivamente en septiembre de 2024, según el anuncio de MDN.

Si todavía tienes observatory.mozilla.org entre tus marcadores, o tu checklist de seguridad hace referencia a pruebas que ya no existen, necesitas un reemplazo. Esta guía compara las mejores alternativas a Mozilla Observatory en 2026, explica con precisión qué cubre cada una y te enseña a reconstruir tu antiguo flujo de escaneo sin perder cobertura.

¿Qué pasó con Mozilla Observatory?

Observatory nació en 2016 como herramienta interna de Mozilla, creada por la ingeniera de seguridad April King para empujar los propios sitios de Mozilla hacia prácticas de seguridad modernas. Al abrirse al público se convirtió en una referencia de la comunidad: hasta la migración había escaneado 6,9 millones de sitios web en 47 millones de escaneos, según MDN.

La migración no fue un simple cambio de marca. El equipo de MDN modernizó las pruebas:

• Se eliminó la prueba obsoleta de X-XSS-Protection.
• Se eliminaron las pruebas heredadas de políticas de Flash y Silverlight.
• Se añadió una prueba nueva de Cross-Origin-Resource-Policy (CORP).
• Se actualizó la puntuación de Referrer-Policy.
• Los escaneos ahora están limitados a uno por sitio cada 60 segundos.

Hay un cambio que pesa más que todos los demás: el nuevo MDN HTTP Observatory analiza únicamente la seguridad de las respuestas HTTP. Mozilla afirma que no hay planes de recuperar las pestañas de análisis TLS y de certificados. Si tu rutina era "ejecutar Observatory, arreglar cabeceras y revisar la pestaña TLS", la segunda mitad de ese flujo necesita ahora otra herramienta.

Qué pedirle a un reemplazo

Tres preguntas separan rápido a los candidatos:

• Cobertura. Las cabeceras son una capa. Una auditoría externa realista también cubre la configuración TLS y la caducidad de certificados, los registros DNS, la autenticación de correo (SPF, DKIM, DMARC) y, a ser posible, si tus credenciales ya circulan por la dark web.
• Accionabilidad. Una nota motiva, pero el informe debe decirte qué cabecera cambiar y con qué valor, no solo que algo falló. La caza gamificada del A+ de Observatory funcionaba precisamente porque unía notas y documentación.
• Encaje en el flujo de trabajo. Límites de frecuencia, velocidad de escaneo, posibilidad de monitorización continua frente a escaneos manuales, y precio.

Con esos criterios en mente, estas son las herramientas que merecen tu tiempo en 2026.

Las mejores alternativas a Mozilla Observatory en 2026

1. FortifyNet: lo más parecido a un sucesor completo de Observatory

FortifyNet ejecuta un escaneo gratuito en unos 60 segundos y cubre las seis áreas que más importan en una auditoría externa: cabeceras de seguridad, configuración SSL/TLS y caducidad de certificados, salud del DNS, autenticación de correo (SPF, DKIM y DMARC), exposición en la dark web de las credenciales del dominio y rendimiento básico. El resultado es un informe con calificación y correcciones concretas en lenguaje claro.

Esa amplitud es la clave. El antiguo Mozilla Observatory reunía pruebas HTTP y TLS en un solo lugar; FortifyNet recupera esa experiencia de panel único y la amplía con autenticación de correo y exposición a filtraciones, algo que Mozilla nunca cubrió. El escaneo es gratuito y sin registro, mientras que la monitorización continua y las alertas forman parte de los planes de pago, así que el modelo es freemium más que puramente gratuito.

Ideal para: equipos que quieren toda la imagen de seguridad externa en un solo escaneo.

Limitaciones: es una auditoría de amplitud, no un test de penetración en profundidad.

2. MDN HTTP Observatory: el sucesor oficial

El MDN HTTP Observatory es el descendiente directo y sigue siendo excelente en su misión, ahora más estrecha. Ejecuta unas diez pruebas contra tus respuestas HTTP: Content-Security-Policy, configuración de cookies, CORS, Strict-Transport-Security, comportamiento de redirecciones, Referrer-Policy, Subresource Integrity, X-Content-Type-Options, protección contra clickjacking vía frame-ancestors y X-Frame-Options, y CORP. Cada prueba fallida enlaza directamente con las guías de seguridad de MDN, de lo mejor que existe en documentación gratuita, y el historial de escaneos del antiguo Observatory se conservó.

Ideal para: análisis profundo y bien documentado de cabeceras y políticas.

Limitaciones: sin comprobaciones de TLS, certificados, DNS ni correo; un escaneo por minuto y sitio.

3. securityheaders.com: la nota de cabeceras más rápida

securityheaders.com, la herramienta de Scott Helme que ahora opera bajo Snyk, es la vía más rápida a una nota de A+ a F sobre tus cabeceras de respuesta, y ya superaba los 250 millones de escaneos en 2023. Comprueba la presencia y coherencia de las cabeceras que más importan: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.

Ideal para: comprobaciones instantáneas y notas para compartir.

Limitaciones: solo cabeceras, y la guía de corrección es más escueta que la de MDN.

4. Qualys SSL Labs: la inmersión profunda en TLS

El retirado TLS Observatory tiene un sustituto evidente: el SSL Labs Server Test lleva años siendo el analizador TLS de referencia. Califica el soporte de protocolos, las suites de cifrado, el intercambio de claves, la corrección de la cadena de certificados y las vulnerabilidades conocidas, y es gratuito.

Ideal para: configuración TLS y de certificados en profundidad.

Limitaciones: solo TLS, y un escaneo completo puede tardar varios minutos por host. Nuestra guía para lograr una calificación A+ en TLS lo complementa muy bien.

5. Internet.nl: el enfoque de cumplimiento de estándares

Internet.nl, gestionado por la plataforma neerlandesa Internet Standards Platform, prueba sitios web y dominios de correo frente a estándares abiertos modernos: IPv6, DNSSEC, ajustes de HTTPS y TLS, cabeceras de seguridad y, en el lado del correo, SPF, DKIM, DMARC, STARTTLS y DANE, además de RPKI y security.txt. Devuelve una puntuación porcentual en lugar de una letra.

Ideal para: revisar la adopción de estándares en web y correo de una sola pasada.

Limitaciones: los informes se leen más como una lista de cumplimiento que como una guía de corrección.

También conviene saberlo: Hardenize, el monitor de configuración creado por Ivan Ristić, autor de SSL Labs, fue adquirido y hoy vive dentro del producto comercial de gestión de superficie de ataque de Red Sift, así que ya no es el chequeo rápido gratuito que fue. Para el retirado SSH Observatory, el proyecto de código abierto ssh-audit sigue siendo el reemplazo práctico.

Comparativa cara a cara

Contando seis áreas habituales de auditoría (cabeceras de seguridad, TLS, DNS, autenticación de correo, exposición en la dark web, rendimiento), la cobertura queda así:

Número de las seis áreas de auditoría que cubre cada herramienta. Las especializadas profundizan más en su área; el gráfico muestra amplitud, no profundidad.

Cómo reconstruir tu antiguo flujo de Observatory

Elijas la combinación que elijas, los fundamentos de las cabeceras siguen decidiendo la mayor parte de la nota. Nuestras guías de cabeceras de seguridad HTTP y HSTS recorren justo los valores que premian los escáneres.

Preguntas frecuentes

¿Sigue existiendo Mozilla Observatory?

La parte de escaneo HTTP sobrevive como MDN HTTP Observatory y sigue siendo gratuita. El observatory.mozilla.org original, incluidos TLS y SSH Observatory, se apagó en septiembre de 2024. El historial antiguo de escaneos se conservó en MDN.

¿El MDN HTTP Observatory comprueba TLS o certificados?

No. Las preguntas frecuentes de Mozilla indican que la nueva herramienta se centra en datos HTTP y que no hay planes de restaurar el análisis TLS o de certificados. Combínala con SSL Labs o un escaneo de FortifyNet para esa capa.

¿Una nota A+ demuestra que un sitio es seguro?

No. La propia Mozilla es explícita: los escáneres de cabeceras evalúan configuración preventiva, no vulnerabilidades como software desactualizado, formularios inyectables o contraseñas débiles. Trata el A+ como una base sólida, no como un certificado de seguridad.

¿Cuál es la mejor alternativa gratuita a Mozilla Observatory?

Solo cabeceras: MDN HTTP Observatory. Solo TLS: SSL Labs. Si quieres un escaneo que cubra cabeceras, TLS, DNS, autenticación de correo y exposición en la dark web a la vez, el escaneo gratuito de 60 segundos de FortifyNet es el camino más corto.

Revisa las seis áreas en un minuto

El viejo Observatory enseñó a la web que las notas impulsan correcciones. Si prefieres no hacer malabares con tres escáneres de propósito único para reconstruirlo, lanza un escaneo gratuito de FortifyNet: cabeceras, TLS, DNS, autenticación de correo, exposición en la dark web y rendimiento en unos 60 segundos, sin registro.