Servicio

Auditoría de seguridad web
para WordPress, PHP y servidores

Revisamos tu WordPress, tu aplicación PHP y el servidor donde viven. Te entregamos un informe en lenguaje normal, con recomendaciones y soluciones para cada punto, y lo corregimos nosotros si nos das luz verde.

Informe en lenguaje normal, con recomendaciones y soluciones, no un PDF de 80 páginas que no lee nadie.
Priorizado por riesgo real, no por lo que suena peor en un escáner automático.
Quien audita es quien corrige y quien mantiene la web después.

Te llamamos en menos de 24 horas laborables. Si has visto algo raro ya, dilo en el formulario y lo tratamos primero.

Cuéntanos qué pasa

Te decimos si hace falta auditar y qué costaría. Sin compromiso.

Señales de que tu web necesita una revisión

Si reconoces dos o tres, no esperes a que te lo diga el hosting o Google.

El panel de WordPress avisa de actualizaciones desde hace meses y nadie las toca.
La web redirige a sitios raros desde el móvil o desde Google, pero desde tu ordenador parece normal.
Google marca el sitio como engañoso o tu hosting te ha suspendido la cuenta sin avisar.
Los correos del dominio rebotan o acaban en spam de clientes que antes los recibían bien.
La aplicación PHP la hizo alguien que ya no está y no sabéis en qué versión corre.
Nadie en la empresa sabe quién tiene las claves del hosting, del dominio o del panel.

Qué revisamos

No pasamos un escáner y te mandamos el PDF que escupe. Miramos las cosas que de verdad abren la puerta en una web de pyme, con las manos dentro.

WordPress

Núcleo, plugins y temas: versiones, abandonos y plugins «nulled». Usuarios y roles, contraseñas y 2FA del panel, xmlrpc, listado de directorios, permisos de ficheros, wp-config, formularios con subidas o spam.

Aplicaciones PHP a medida

Versión de PHP, inyección SQL, XSS, CSRF, subida de ficheros, sesiones y login, credenciales en el código o en el repositorio, dependencias de Composer con fallos conocidos y errores que enseñan rutas o datos.

Servidor y hosting

Sistema y paquetes sin actualizar, Nginx o Apache, TLS y certificados, cabeceras de seguridad, puertos de más, bases de datos y paneles expuestos, SSH con contraseña o root, Docker y usuarios con permisos de sobra.

Copias y recuperación

Si existen, dónde viven y si alguien ha restaurado alguna vez. Una copia que nadie ha probado no es una copia. Lo contamos en detalle en copias de seguridad y continuidad de negocio.

Accesos y cuentas

Quién tiene qué: panel, hosting, dominio, correo, DNS, repositorio. Cuentas de gente que ya no está, claves compartidas por WhatsApp y titulares que conviene poner a nombre de la empresa.

Si tu web ya está hackeada

Lo primero es no empeorarlo. Borrar en caliente lo que se ve raro suele cerrar la puerta por fuera y dejarla abierta por dentro, y a los dos días vuelve.

Aislar

Sacamos la web de producción o la ponemos en modo mantenimiento para que no siga sirviendo a visitantes ni mandando correo malo en tu nombre.
Copia del estado

Antes de tocar nada, copia completa de ficheros, base de datos y logs. Sin eso no se sabe por dónde entraron ni qué se llevaron.
Limpiar y cerrar la vía

Quitamos el malware y, sobre todo, buscamos por dónde entraron. Si la vía de entrada no se cierra, la web se vuelve a infectar en días.
Rotar credenciales

Contraseñas y claves API del panel, del hosting, de la base de datos, del correo y de los repositorios. Se cambian todas, no solo la que te suena peor.
Restaurar y pedir revisión

Volvemos a producción con la web limpia y, si Google o las listas negras de correo la marcaron, pedimos la revisión para salir de ahí.

Cuándo te conviene una auditoría (y cuándo no)

Te lo decimos antes de cobrarte nada, porque auditar lo que no toca es gastar sin arreglar lo que importa.

Sí, cuando...

Hace más de un año que nadie actualiza el WordPress o el servidor y la web factura o capta clientes.
La aplicación PHP la hizo alguien de fuera y hoy no sabéis qué hace por dentro ni en qué versión corre.
Habéis visto redirecciones, avisos en Google, correos rebotados o un pico raro de tráfico.
El hosting os ha avisado de uso anómalo, de ficheros sospechosos o os ha suspendido la cuenta.
Hay un cambio importante encima (venta, auditoría, pasarela de pago nueva) y queréis saber qué tenéis antes.

No, cuando...

La web es una landing estática de cuatro páginas sin login ni formularios. Mantener el hosting al día suele bastar.
La web no merece arreglarse porque está hecha con tecnología abandonada. Mejor rehacerla que parchearla.
Lo que quieres es cumplir con un sello de marketing. Una auditoría de verdad no sirve para eso.
No va a haber nadie dentro que apruebe las correcciones ni los parones de la ventana de intervención.

Cómo trabajamos

Nada se toca sin tu permiso por escrito y sin que sepas qué va a pasar.

Alcance y permiso

Qué entra en la auditoría, qué no, con qué accesos y en qué ventana. Autorización por escrito antes de empezar: solo analizamos sistemas tuyos y con tu luz verde.
Análisis

Pruebas sobre la web, la aplicación y el servidor. Herramientas automáticas donde ayudan y revisión a mano donde hace falta, que es la mayor parte.
Informe priorizado

Lista de hallazgos por riesgo real, con qué hace cada uno, cómo se corrige y cuánto cuesta corregirlo. En lenguaje normal, para que lo entienda cualquiera y no solo el técnico.
Corrección

Arreglamos lo acordado nosotros, por bloques y con ventana pactada. Lo que prefieras corregir con tu equipo o tu proveedor, documentado para que pueda hacerlo.
Comprobación y mantenimiento

Repasamos que lo cerrado está cerrado. Después, cuota mensual de mantenimiento con tiempos de respuesta por escrito, o te lo quedas tú.

Cuánto cuesta una auditoría

No hay tarifa, hay presupuesto. Lo que lo mueve no es el tamaño de la web sino cuatro cosas concretas, y te las contamos para que puedas comparar lo que te demos nosotros con lo que te den otros.

Qué lo encarece

Varias aplicaciones distintas, código a medida sin documentar, muchos perfiles de usuario con permisos cruzados y un servidor con años de instalaciones encima. También querer todo cerrado la misma semana.

Qué lo abarata

Un WordPress estándar sin desarrollos encima, acceso limpio desde el principio, alguien dentro que decida rápido y aceptar que las correcciones vayan por bloques en lugar de todo a la vez.

Cómo se presupuesta

Primero una llamada corta para ver el alcance. Después, precio cerrado para la auditoría y precio aparte para las correcciones, por bloques. Sin «horas estimadas» que se multiplican al final.

Si sale algo urgente

Si durante la auditoría aparece un agujero crítico (web ya hackeada, datos expuestos), paramos y te lo decimos antes de seguir. Se decide juntos si se cierra ya o se termina de ver todo.

Qué entregamos

Recomendaciones y soluciones concretas, no una presentación con la palabra «ciberseguridad».

Alcance y autorización

Qué se analiza, con qué accesos y en qué ventana. Firmado por los dos antes de tocar nada.

Informe en lenguaje normal

Una página con lo importante: a qué estás expuesto, qué urge y qué coste tiene cerrarlo.

Recomendaciones y soluciones

Cada hallazgo ordenado por riesgo, con lo que recomendamos hacer, cómo se resuelve y cuánto lleva.

Plan de corrección

Qué corregimos nosotros, qué hace tu equipo y en qué orden. Con fechas y responsables.

Inventario de accesos

Quién tiene qué después de la auditoría: panel, hosting, dominio, correo, repositorio.

Comprobación posterior

Repaso al final de las correcciones para dejar por escrito qué queda cerrado y qué no.

Preguntas frecuentes

¿Cuánto cuesta una auditoría de seguridad web?

Depende del número de aplicaciones, del código a medida que haya detrás y de cómo esté el servidor. Por eso no damos cifras sin ver nada: tras una llamada corta y una vista rápida con los accesos, te damos precio cerrado para la auditoría y presupuesto aparte para las correcciones.

¿Se toca la web en producción o hay que pararla?

La parte de análisis se hace sobre producción sin pararla, con cuidado de no cargar el servidor en horas de más tráfico. Para las correcciones acordamos una ventana contigo. Si algo exige parar un rato, se avisa con fecha y se hace cuando menos duele.

¿No es lo mismo que un escáner online gratis?

No. Un escáner automático detecta lo que ya tiene en su lista y escupe un PDF con cien avisos genéricos, muchos irrelevantes. Una auditoría mira tu caso: qué plugins usas, qué hace tu código, cómo está configurado tu servidor y qué riesgo real tiene cada cosa para tu negocio.

Ya me han hackeado la web, ¿qué hago?

Dilo en el formulario y lo tratamos primero. Lo urgente es aislar la web sin borrar nada todavía, sacar copia del estado y buscar por dónde entraron. Si no se cierra la vía de entrada, la web se vuelve a infectar a los pocos días.

¿Sirve para una web que no hicisteis vosotros?

Sí, es el caso más habitual: un WordPress con años encima o una aplicación PHP de alguien que ya no está. Para eso no hace falta ser el autor; hace falta leer el código y conocer el terreno.

Somos de otra provincia, ¿trabajáis en remoto?

Sí, trabajamos en remoto. Atendemos sobre todo a empresas de la zona norte, de Santander, Burgos o Palencia, y también de toda España. Entramos con los accesos que nos des, hablamos por teléfono con quien decide y hacemos videollamadas cuando hace falta, sin que tengas que parar la actividad.

Pide la auditoría de tu web

Cuéntanos qué web tienes y qué has visto raro, si es que has visto algo. Te decimos qué conviene mirar y qué costaría.