Auditoría de seguridad web: la guía completa de 2026
Qué comprueba realmente una auditoría de seguridad web, los cuatro niveles de profundidad y un proceso de ocho pasos que puedes ejecutar esta semana.
Ejecuta la misma comprobación ahora — gratis
Introduce tu dominio y obtén una auditoría de 9 puntos — DNS, SPF/DKIM/DMARC, SSL, cabeceras de seguridad, exposición en dark web — en 60 segundos.
Sin registro · <60s · Procesamiento GDPR/UE
Una auditoría de seguridad web es una revisión estructurada de todo lo que un atacante puede ver y alcanzar desde fuera de tu organización: tu certificado TLS y su configuración de cifrado, tus registros DNS, tu autenticación de correo (SPF, DKIM y DMARC), tus cabeceras de seguridad HTTP, las versiones de software que filtras en las respuestas y cualquier credencial corporativa que ya circule por la dark web. Una buena auditoría termina con una lista priorizada de hallazgos, cada uno con un responsable y una corrección concreta. La capa visible desde fuera se escanea automáticamente en unos sesenta segundos. El ejercicio completo, bien hecho, ocupa una tarde.
Esta guía explica qué comprueba realmente una auditoría, los cuatro niveles de profundidad disponibles, un proceso de ocho pasos que puedes ejecutar esta semana y con qué frecuencia conviene repetirlo.
Por qué el panorama de amenazas de 2026 cambia las cuentas
El Data Breach Investigations Report 2026 de Verizon, publicado el 19 de mayo de 2026 y elaborado a partir de más de 31.000 incidentes de seguridad y más de 22.000 brechas confirmadas en 145 países, concluyó que la explotación de vulnerabilidades fue el vector de acceso inicial en el 31 % de las brechas. Es la primera vez en las diecinueve ediciones del informe que supera al robo de credenciales, que cayó al 13 %.
Dos cifras complementarias del mismo informe explican por qué auditar con poca frecuencia sale caro. Solo el 26 % de las vulnerabilidades críticas del catálogo Known Exploited Vulnerabilities de CISA se remediaron por completo durante 2025, frente al 38 % del año anterior. Y la mediana de tiempo para remediar por completo una vulnerabilidad subió a 43 días. Los atacantes van más rápido mientras los defensores van más lentos, así que el hueco que dejas entre auditorías es exactamente el hueco en el que ellos trabajan.
El lado de los certificados también cambió. Con la votación SC-081v3 del CA/Browser Forum, aprobada en abril de 2025 por 29 votos a favor y ninguno en contra, la vida máxima de un certificado TLS de confianza pública bajó de 398 días a 200 días el 15 de marzo de 2026. Bajará a 100 días el 15 de marzo de 2027 y a 47 días el 15 de marzo de 2029. Los periodos de reutilización de la validación de dominio se reducen en las mismas fechas. Cualquier proceso de renovación que aún dependa de que una persona recuerde una entrada del calendario fallará dentro de este ciclo, lo que convierte la caducidad del certificado en un punto de auditoría permanente y no anual.
Qué comprueba realmente una auditoría de seguridad web
| Capa | Qué busca la auditoría | Responsable habitual | Frecuencia razonable |
|---|---|---|---|
| TLS y certificados | Fecha de caducidad, cadena completa, coincidencia del nombre de host, versiones de protocolo, cifrados débiles | Operaciones o proveedor de alojamiento | Monitorización continua, revisión mensual |
| DNS | Registros CNAME huérfanos, ausencia de DNSSEC, transferencias de zona abiertas, subdominios obsoletos | Equipo de DNS o plataforma | Trimestral y tras cada migración |
| Autenticación de correo | Validez del registro SPF y presupuesto de consultas, selectores DKIM, política DMARC e informes | TI o administrador de correo | Trimestral y tras cambiar de proveedor |
| Cabeceras de seguridad HTTP | HSTS, CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy | Equipo web o de plataforma | Después de cada despliegue |
| Superficie de aplicación | CMS, plugins y bibliotecas desactualizados, rutas de administración expuestas, páginas de error demasiado explícitas | Equipo de desarrollo | Mensual, automatizado |
| Exposición de datos | Direcciones y credenciales corporativas en corpus de filtraciones conocidos | Responsable de seguridad o TI | Monitorización continua |
| Rendimiento y disponibilidad | Core Web Vitals, tiempo de actividad, tiempos de respuesta bajo carga | Equipo web | Semanal |
Las cuatro primeras filas son las que un escáner externo puede evaluar sin ningún acceso a tus sistemas, y por eso son el punto de partida más rápido y donde suelen aparecer los primeros hallazgos reales.
Lo que las auditorías encuentran ausente con más frecuencia
El Web Almanac 2025 de HTTP Archive, que analiza millones de sitios web reales, midió cuántos sitios establecen de verdad cada cabecera HTTP de protección. La respuesta es desalentadora: la cabecera de seguridad más extendida está presente en aproximadamente la mitad de los sitios, y Content Security Policy en apenas una quinta parte.
Adopción de las principales cabeceras de seguridad HTTP en páginas móviles. Fuente: HTTP Archive Web Almanac 2025, capítulo de seguridad. Las cifras de X-Content-Type-Options y X-Frame-Options son aproximadas tal como se publicaron.
Strict-Transport-Security alcanzó el 36 % de las páginas en 2025, seis puntos porcentuales más que en 2024 y la mayor subida del año. Content Security Policy pasó del 18,5 % al 21,9 %. Controles más recientes como Permissions-Policy y Cross-Origin-Opener-Policy siguen por debajo del 10 %. Incluso entre los sitios que sí despliegan CSP, el 92 % todavía permite unsafe-inline en script-src y el 77 % permite unsafe-eval, lo que anula gran parte de la protección que la cabecera debería aportar. Adoptar una cabecera no es lo mismo que configurarla bien, y una auditoría seria comprueba el valor, no solo la presencia.
El cifrado en tránsito está bastante mejor. TLS 1.3 soporta ya alrededor del 76 % de las cargas de página, TLS 1.2 ha bajado al 13 o 15 % y la adopción de HTTPS supera el 95 % en todos los países que mide el Almanac salvo Japón. Si tu auditoría todavía encuentra TLS 1.0 o 1.1 habilitados, perteneces a una minoría pequeña y muy visible.
La autenticación de correo sigue siendo la mayor brecha de todas. El informe State of Email Authentication 2026 de DMARCguard, un escaneo de 5.499.028 dominios del ranking Tranco finalizado el 27 de febrero de 2026, encontró SPF en el 56,0 % de los dominios, DMARC en el 30,4 % y DKIM en solo el 22,7 %.
Los cuatro niveles de auditoría y cuándo compensa cada uno
| Tipo de auditoría | Duración habitual | Qué encuentra | Qué se le escapa | Adecuada para |
|---|---|---|---|---|
| Escaneo externo automatizado | Menos de 2 minutos | Problemas de certificados, DNS, autenticación de correo, cabeceras y exposición visibles desde fuera | Fallos de lógica de negocio, áreas autenticadas | Línea base continua, todos los sitios, todos los meses |
| Evaluación de vulnerabilidades autenticada | De 1 a 5 días | CVE conocidas en tu stack, servicios mal configurados, controles de acceso débiles | Abusos de lógica novedosos, exploits encadenados | Sitios regulados o transaccionales, anualmente |
| Test de intrusión | De 1 a 3 semanas | Ataques encadenados y creativos, escalada de privilegios, explotabilidad real | Todo lo que quede fuera del alcance o del plazo acordado | Antes de un lanzamiento importante o cada año en sistemas de alto riesgo |
| Revisión manual de código y arquitectura | De 1 a 4 semanas | Fallos de diseño, valores por defecto inseguros, riesgo de cadena de suministro en dependencias | Problemas de ejecución e infraestructura | Productos nuevos o después de un incidente |
La mayoría de las organizaciones debería tratar la primera fila como algo siempre activo y elegir una de las otras tres al año según el riesgo. Encargar un test de intrusión para un sitio que todavía suspende un escaneo automatizado es desperdiciarlo, porque el auditor dedicará el encargo a informar de hallazgos que una herramienta gratuita habría detectado en un minuto.
Cómo hacer una auditoría de seguridad web en ocho pasos
- Inventaría lo que posees. Enumera cada dominio, subdominio y servicio de terceros que se muestre bajo tu marca. Las auditorías fallan sobre todo porque el host vulnerable era uno que nadie recordaba tener.
- Ejecuta primero un escaneo externo. Consigue la foto de fuera hacia dentro antes de invertir el tiempo de nadie. Así sabrás cuáles de las siete capas anteriores ya están fallando.
- Verifica los certificados y la renovación automática. Revisa caducidad, cadena y cobertura de nombres de host, y comprueba después que la renovación esté automatizada. Con el límite de 200 días ya en vigor, la renovación manual es una caída programada.
- Busca registros DNS huérfanos. Cada CNAME que apunta a un servicio que ya no usas es una toma de control de subdominio esperando a ocurrir. Elimina los registros obsoletos en lugar de dejarlos ahí.
- Valida la autenticación de correo de principio a fin. Confirma que tu registro SPF se mantiene dentro del presupuesto de diez consultas DNS, que DKIM firma todas las fuentes de envío y que DMARC tiene una política más fuerte que
p=nonecon una dirección de informes operativa. - Revisa los valores de las cabeceras, no solo su presencia. Una CSP llena de
unsafe-inliney un HSTS conmax-agede 300 segundos superan ambos una lista de comprobación ingenua y no protegen a nadie. - Parchea por explotabilidad, no solo por puntuación CVSS. Todo lo que aparezca en el catálogo Known Exploited Vulnerabilities de CISA y afecte a tu stack va primero.
- Documenta los hallazgos con responsable y fecha. Una auditoría que termina en una conversación en vez de en un ticket no ha ocurrido.
Cómo relacionar tus hallazgos con el OWASP Top 10:2025
OWASP publicó la edición 2025 de su Top 10 en enero de 2026, tras presentarla en Global AppSec en Washington DC en noviembre de 2025. Hay dos categorías nuevas y ambas son relevantes para lo que una auditoría debería cubrir ahora.
| Puesto | Categoría | Cambio respecto a 2021 | ¿Visible en una auditoría externa? |
|---|---|---|---|
| A01 | Control de acceso roto | Estable en cabeza durante cuatro ediciones, ahora absorbe SSRF | Parcialmente |
| A02 | Configuración de seguridad incorrecta | Sube desde A05 | Sí |
| A03 | Fallos en la cadena de suministro de software | Nueva, amplía la antigua A06 | Parcialmente |
| A04 | Fallos criptográficos | Baja desde A02 | Sí |
| A05 | Inyección | Baja desde A03 | Parcialmente |
| A06 | Diseño inseguro | Baja desde A04 | No |
| A07 | Fallos de autenticación | Estable | Parcialmente |
| A08 | Fallos de integridad del software y los datos | Estable | Parcialmente |
| A09 | Fallos de registro y alerta de seguridad | Renombrada desde monitorización | No |
| A10 | Gestión incorrecta de condiciones excepcionales | Nueva, sustituye a SSRF como entrada propia | Parcialmente |
El ascenso de la configuración de seguridad incorrecta al segundo puesto es la señal más útil aquí para quien planifique una auditoría. Es la categoría que el escaneo externo cubre de forma más completa y la que con más frecuencia se deja en manos de quien montó el servidor hace años.
¿Con qué frecuencia hay que auditar?
De forma continua todo lo automatizable, trimestralmente todo lo que exija criterio, e inmediatamente después de cualquiera de estos hechos: una migración de plataforma o alojamiento, un cambio de proveedor de correo, un subdominio nuevo que entra en producción, una subida de versión mayor de una dependencia o la salida de alguien con acceso administrativo. El dato de Verizon de que los terceros aparecen ya en el 48 % de las brechas, un aumento del 60 % interanual, significa que un cambio de proveedor merece el mismo tratamiento que un cambio propio.
Preguntas frecuentes
¿Cuánto dura una auditoría de seguridad web? Un escaneo externo automatizado de certificados, DNS, autenticación de correo, cabeceras y exposición se completa en aproximadamente un minuto. Una revisión interna cuidadosa de los hallazgos, con correcciones asignadas, suele llevar media jornada en un sitio pequeño.
¿Necesito un test de intrusión o basta con un escaneo? Un escaneo es el punto de partida correcto y suficiente para cualquier sitio, y lo único razonable de ejecutar de forma continua. Un test de intrusión aporta valor cuando tus hallazgos automatizados están limpios y tienes funcionalidad autenticada, pagos o datos personales que merezca la pena atacar.
¿Se puede auditar sin acceso a mi servidor? La mayoría de las comprobaciones de más valor, sí. La configuración TLS, la validez del certificado, la higiene DNS, SPF, DKIM, DMARC, las cabeceras de seguridad y la exposición en la dark web se evalúan todas desde la internet pública. La revisión de código y las pruebas autenticadas son las partes que requieren acceso.
¿Qué hay que arreglar primero después de una auditoría?
Cualquier cosa del catálogo Known Exploited Vulnerabilities de CISA, después un certificado caducado o mal configurado, y después una política DMARC en p=none. Estos tres suman una proporción desmedida de los compromisos reales en relación con el esfuerzo que cuesta corregirlos.
Empieza por la versión de sesenta segundos
No puedes arreglar lo que no has medido, y la capa externa de una auditoría de seguridad web es gratis de medir. El escáner de FortifyNet comprueba tu configuración SSL y TLS, tus registros DNS, SPF, DKIM y DMARC, las cabeceras de seguridad HTTP, la exposición en la dark web y el rendimiento en unos sesenta segundos, y devuelve una lista priorizada en lugar de un muro de datos en bruto. Ejecútalo en tu dominio, corrige lo que encuentre y decide después si necesitas los niveles más profundos.
Guías relacionadas
Frequently Asked Questions
Verifica tu dominio ahora
Ejecuta una auditoría gratuita y comprueba si tu dominio tiene los problemas descritos.
