Cómo analizamos tu sitio
El análisis es pasivo: solo leemos lo que ve cualquier navegador o servidor de email. No entramos en el sitio, no intentamos explotar fallos y no pedimos contraseñas.
Lo que comprobamos
Cada comprobación se basa en una norma pública o en una base de datos abierta. El informe muestra lo que vimos, por qué importa y qué hacer.
Conexión segura
| Comprobación | Qué leemos | Referencia |
|---|---|---|
| Conexión segura (HTTPS) | La respuesta de la página por https:// y el certificado presentado | RFC 2818 |
| Paso de http:// a https:// | Si la dirección sin cifrar redirige a la cifrada | RFC 9110 |
| HSTS | La cabecera Strict-Transport-Security y su duración | RFC 6797 |
| Validez del certificado | La fecha de caducidad y el emisor, confirmados en el registro público de certificados | RFC 6962 · crt.sh |
Protección en el navegador
| Comprobación | Qué leemos | Referencia |
|---|---|---|
| Política de contenido (CSP) | La cabecera Content-Security-Policy | W3C CSP Level 3 |
| Protección contra incrustación | X-Frame-Options ou frame-ancestors | RFC 7034 |
| X-Content-Type-Options e Referrer-Policy | Las cabeceras de protección recomendadas | OWASP Secure Headers |
| Protección de las cookies | Las opciones Secure, HttpOnly y SameSite de las cookies de la página | RFC 6265 |
| Contenido mixto y formularios | Scripts, estilos o formularios que usan http:// en una página https:// | W3C Mixed Content |
Email del dominio
| Comprobación | Qué leemos | Referencia |
|---|---|---|
| SPF | El registro TXT público que dice quién puede enviar emails del dominio | RFC 7208 |
| DKIM | Las claves públicas de firma en los selectores más comunes | RFC 6376 |
| DMARC | La política _dmarc y lo que pide a Gmail y a Outlook que hagan con los emails falsos | RFC 7489 |
| MTA-STS | La política que obliga a recibir los emails por conexión cifrada | RFC 8461 |
Software
| Comprobación | Qué leemos | Referencia |
|---|---|---|
| Versiones a la vista | Versiones del servidor, de PHP o de WordPress anunciadas en las cabeceras y en el HTML | OWASP WSTG-INFO-02 |
| WordPress y plugins | La versión pública, comparada con la versión actual | api.wordpress.org |
| Vulnerabilidades conocidas | Fallos publicados para esas versiones de WordPress y de los plugins | CVE · WPVulnerability |
| Bibliotecas JavaScript | Versiones de jQuery, Bootstrap y otras con fallos conocidos | CVE |
| Software del servidor | Versiones de PHP o del servidor que ya no reciben actualizaciones de seguridad | Fin del soporte oficial |
Amenazas
| Comprobación | Qué leemos | Referencia |
|---|---|---|
| Código malicioso | Señales en la página de inicio: mineros, código ofuscado, iframes ocultos y enlaces de spam | Análisis del HTML |
| Listas negras | Si el sitio está marcado como peligroso | Google Web Risk |
SEO local
| Comprobación | Qué leemos | Referencia |
|---|---|---|
| Página legible por Google | Si el contenido principal está en el HTML | Google Search Central |
| Enlace a tu ficha de Google Maps | Un enlace de la página a la ficha del negocio | Perfil de Empresa en Google |
| Datos de negocio local | El bloque LocalBusiness con nombre, dirección, teléfono y horario | Schema.org |
| Título, descripción, contactos y horario | Lo que Google muestra en los resultados y en Maps | Google Search Central |
Cómo calculamos la nota
Cada comprobación tiene un peso según su gravedad: crítico, importante o mejora. La nota es el porcentaje de puntos obtenidos. Una comprobación que no pudimos hacer no cuenta en tu contra.
Lo que no hacemos
- No hacemos pruebas de intrusión ni intentamos explotar fallos.
- No entramos en el sitio ni pedimos contraseñas o accesos.
- No analizamos el código del servidor, solo lo que es público.
- No garantizamos posiciones en Google. Nadie puede hacerlo.
- No sustituimos una auditoría de seguridad completa.
Leyes y buenas prácticas
Las comprobaciones cubren las medidas técnicas que el RGPD (artículo 32) y la directiva NIS2 exigen a las empresas. En la lista RGPD y NIS2 ves lo que tu sitio ya cumple.
Transparencia
Para quien encuentre un fallo en SinalPT, publicamos una política de divulgación responsable y un archivo security.txt.
Mira un informe de ejemplo, hecho a un sitio ficticio.
Gratis, sin registro y sin pedir contraseñas.