Checklist de seguridad web: 12 pasos esenciales para 2026
De HTTPS y cabeceras de seguridad a DMARC, copias y dark web: una checklist de seguridad web de 12 pasos para 2026, con prioridades y frecuencia recomendada.
Ejecuta la misma comprobación ahora — gratis
Introduce tu dominio y obtén una auditoría de 9 puntos — DNS, SPF/DKIM/DMARC, SSL, cabeceras de seguridad, exposición en dark web — en 60 segundos.
Sin registro · <60s · Procesamiento GDPR/UE
Checklist de seguridad web: 12 pasos esenciales para 2026
Las brechas de seguridad ya no son un problema exclusivo de las grandes empresas. Según el informe Cost of a Data Breach 2025 de IBM, una brecha media cuesta ahora 4,44 millones de dólares a nivel global, y en Estados Unidos la media alcanzó un récord de 10,22 millones. Al mismo tiempo, el Data Breach Investigations Report 2025 de Verizon muestra que la mayoría de las intrusiones siguen empezando por lo básico: credenciales robadas (22 % de las brechas), vulnerabilidades explotadas (20 %, un 34 % más que el año anterior) y phishing (16 %).
La buena noticia: la mayoría de esas puertas de entrada se cierran con higiene poco glamurosa y bien documentada. Esta checklist de seguridad web recorre 12 comprobaciones - del cifrado en tránsito y el DNS a la autenticación del correo y la exposición en la dark web - en orden aproximado de prioridad. La mayoría de los sitios puede completar las victorias rápidas en una sola tarde.
La checklist de un vistazo
| # | Comprobación | Protege contra | Esfuerzo | Prioridad |
|---|---|---|---|---|
| 1 | Forzar HTTPS en todo el sitio | Espionaje, secuestro de sesión | Bajo | Crítica |
| 2 | Vigilar la caducidad del certificado | Caídas, avisos del navegador | Bajo | Crítica |
| 3 | Endurecer la configuración TLS | Ataques de degradación | Medio | Alta |
| 4 | Configurar cabeceras de seguridad | XSS, clickjacking | Bajo | Alta |
| 5 | Implantar SPF, DKIM y DMARC | Suplantación de correo, phishing | Medio | Crítica |
| 6 | Blindar el DNS | Secuestro, certificados fraudulentos | Medio | Alta |
| 7 | Actualizar CMS y plugins | Exploits de fallos conocidos | Continuo | Crítica |
| 8 | Exigir MFA y contraseñas fuertes | Credential stuffing | Bajo | Crítica |
| 9 | Automatizar y probar copias de seguridad | Ransomware, pérdida de datos | Medio | Crítica |
| 10 | Añadir WAF y limitación de peticiones | Bots, inyecciones, fuerza bruta | Medio | Media |
| 11 | Vigilar la exposición en la dark web | Reutilización de credenciales filtradas | Bajo | Media |
| 12 | Monitorizar disponibilidad y cambios | Fallos silenciosos, defacement | Bajo | Media |
1. Fuerza HTTPS en cada página
Cada petición - no solo la página de inicio de sesión - debe servirse por HTTPS. Redirige todo el tráfico HTTP con un 301 permanente, actualiza enlaces internos y canonicals a https:// y elimina el contenido mixto (imágenes, scripts o estilos que aún cargan por HTTP), que los navegadores bloquean cada vez con más frecuencia. Si un visitante ve el aviso "La conexión no es privada", lo pierdes antes de que cargue tu portada.
2. Vigila la caducidad del certificado: las vidas útiles se acortan
Un certificado caducado tumba tu sitio con la misma eficacia que un ataque. Y la cosa se complica: con la votación SC-081v3 del CA/Browser Forum, la vida máxima de un certificado TLS bajó a 200 días en marzo de 2026, caerá a 100 días en 2027 y quedará en solo 47 días en 2029. La renovación manual ha dejado de ser un plan sostenible.
Automatiza la emisión con un cliente ACME (Let's Encrypt o las herramientas de tu CA) y añade una monitorización independiente de caducidad. Puedes comprobar las fechas de tu certificado desde la terminal:
openssl s_client -connect example.com:443 -servername example.com </dev/null | openssl x509 -noout -dates
3. Endurece tu configuración TLS
Tener certificado no es lo mismo que tener buen TLS. Desactiva por completo TLS 1.0 y 1.1, admite solo TLS 1.2 y 1.3 y retira las suites de cifrado heredadas. Una configuración débil invita a ataques de degradación y suspende cualquier auditoría. Nuestra guía para lograr una calificación A+ en SSL/TLS detalla los ajustes exactos del servidor.
4. Configura las cabeceras de seguridad esenciales
Las cabeceras de seguridad son el endurecimiento más barato que desplegarás jamás: unas pocas líneas de configuración que ordenan al navegador bloquear clases enteras de ataques:
- Strict-Transport-Security (HSTS): fuerza HTTPS en visitas repetidas
- Content-Security-Policy: tu mejor defensa contra XSS
- X-Content-Type-Options: nosniff: evita la confusión de tipos MIME
- X-Frame-Options / frame-ancestors: impide el clickjacking
- Referrer-Policy y Permissions-Policy: limitan fugas de datos y funciones sensibles del navegador
Consulta nuestra guía completa de cabeceras de seguridad con ejemplos listos para nginx y Apache.
5. Autentica tu correo: SPF, DKIM y DMARC
Tu dominio envía correo aunque tu web no lo haga - y los atacantes lo suplantarán encantados si se lo permites. Google y Yahoo exigen SPF, DKIM y DMARC a los remitentes masivos desde febrero de 2024, y Microsoft aplicó los mismos requisitos a Outlook en mayo de 2025 para dominios que envían más de 5 000 mensajes al día. El correo que no cumple acaba en spam o directamente rechazado.
Publica un registro SPF, firma con DKIM y despliega DMARC empezando con p=none para recopilar informes antes de endurecer a quarantine y reject. Nuestra guía paso a paso de DMARC cubre todo el proceso.
6. Blinda tu DNS
El DNS es el plano de control de todo lo demás en esta lista. Cuatro comprobaciones: activa DNSSEC para que las respuestas no puedan falsificarse; publica un registro CAA para que solo tu autoridad certificadora pueda emitir certificados de tu dominio; activa el bloqueo del registrador y el MFA en tu proveedor de DNS; y elimina subdominios obsoletos que apunten a servicios retirados - los registros colgantes son la vía clásica del subdomain takeover.
7. Actualiza tu CMS, plugins y dependencias
La explotación de vulnerabilidades conocidas fue la puerta de entrada en el 20 % de las brechas del DBIR 2025 - un salto del 34 % en un año - y los sistemas sin parchear expuestos a internet son el objetivo prioritario. Si usas WordPress u otro CMS, la superficie de ataque son sobre todo plugins y temas: activa las actualizaciones menores automáticas, elimina lo que no uses y suscríbete a los avisos de seguridad de lo que conserves.
Credenciales robadas, software sin parchear y phishing abrieron la puerta en más de la mitad de las brechas analizadas. Fuente: Verizon DBIR 2025.
8. Activa el MFA y jubila las contraseñas débiles
El abuso de credenciales sigue siendo la vía de entrada más común (22 % de las brechas). Activa la autenticación multifactor en cada cuenta capaz de modificar tu web: administración del CMS, panel de hosting, registrador del dominio, proveedor de DNS y correo. Usa un gestor de contraseñas para generar claves únicas, renombra o desactiva la cuenta admin por defecto y elimina las cuentas de quienes ya no necesitan acceso.
9. Haz copias de seguridad como si el ataque fuera mañana
Las copias son tu última línea contra el ransomware y la primera contra un borrado accidental. Sigue la regla 3-2-1: tres copias, en dos soportes distintos, una fuera de tus instalaciones - y mantén al menos una offline o inmutable, para que un atacante que controle tu servidor no pueda cifrar también las copias. Una copia que nunca has restaurado es una esperanza, no un plan: programa un simulacro de restauración al menos trimestral.
10. Pon delante un WAF y limitación de peticiones
Un cortafuegos de aplicaciones web gestionado (de tu CDN, tu hosting o un servicio como Cloudflare) filtra intentos de inyección, bots maliciosos y ruido de escáneres antes de que lleguen a tu aplicación. Añade limitación de peticiones en el login, el registro y los endpoints de API para frenar el credential stuffing y la fuerza bruta - los ataques que alimentan el punto 8.
11. Vigila la dark web en busca de credenciales filtradas
Tus credenciales pueden filtrarse sin que nadie toque tu web: basta una brecha en un tercero, y la reutilización de contraseñas hace el resto. Comprueba si aparecen cuentas de tu dominio en filtraciones conocidas y, cuando ocurra, fuerza el cambio de contraseña y confirma que el MFA está activo. Nuestra guía de monitorización de la dark web explica cómo se produce la exposición y qué hacer al respecto.
12. Monitoriza disponibilidad, rendimiento y cambios inesperados
La disponibilidad es parte de la seguridad. La monitorización de uptime y rendimiento suele dar la señal más temprana de que algo va mal: un certificado caducado, una página desfigurada o un script de minado que dispara los tiempos de respuesta. Alertar ante cambios inesperados de contenido o configuración convierte una semana de compromiso silencioso en un incidente de cinco minutos.
¿Cada cuánto conviene repasar la checklist?
| Frecuencia | Qué hacer |
|---|---|
| Tras cada despliegue | Revisar HTTPS, cabeceras y formularios en las páginas modificadas |
| Mensual | Repasar actualizaciones, cuentas de usuario, logs del WAF e informes DMARC |
| Trimestral | Checklist completa, simulacro de restauración, auditoría de dependencias |
| Anual | Revisar registros DNS, políticas de acceso y plan de respuesta a incidentes |
Preguntas frecuentes
¿Basta con HTTPS para que mi web sea segura? No. HTTPS cifra el tráfico en tránsito, pero no hace nada contra plugins vulnerables, contraseñas débiles de administrador, correo suplantado o credenciales filtradas. Es el paso 1 de 12 por algo: necesario, pero no suficiente.
¿Qué punto aporta la mayor mejora de seguridad? La combinación de los puntos 7 y 8: parchear vulnerabilidades conocidas y exigir MFA. Juntos atacan las dos mayores vías de entrada medidas en el DBIR 2025 - un 42 % de las brechas en total.
¿De verdad atacan a los sitios pequeños? Sí, constantemente - pero no de forma personal. Los escáneres automáticos rastrean cada IP y dominio accesibles en busca de certificados caducados, plugins obsoletos y paneles de administración abiertos. Los bots no miran tus estadísticas de tráfico antes de explotarte.
¿Cuánto se tarda en completar la checklist? Los puntos 1, 2, 4 y 8 suelen resolverse en una tarde. La autenticación del correo y el endurecimiento de TLS llevan unos días, incluida la monitorización DMARC. El resto son hábitos continuos que se automatizan una vez.
Comprueba todo esto en 60 segundos
Puedes verificar cada punto a mano - o dejar que un escáner haga la primera pasada. El análisis gratuito de FortifyNet revisa tu SSL/TLS, cabeceras de seguridad, configuración DNS, registros SPF/DKIM/DMARC, exposición en la dark web y rendimiento en aproximadamente un minuto, y te dice exactamente qué puntos de esta checklist necesitan atención primero.
Guías relacionadas
Frequently Asked Questions
Verifica tu dominio ahora
Ejecuta una auditoría gratuita y comprueba si tu dominio tiene los problemas descritos.
