Outside-In Security Checks
Penetration Tester
Mira su sitio desde afuera, como lo vería un extraño, y le avisa qué datos de seguridad están a la vista. Nunca ataca ni intenta entrar.
Qué hace este agente en la práctica
Cada vez que alguien abre su sitio, el servidor manda la página junto con unas cabeceras que casi nadie revisa. Esas cabeceras pueden decir qué programa usa su servidor y en qué versión, o pueden faltar las que protegen a sus visitantes. Para verlas no hace falta entrar a ningún lado. Cualquiera las puede leer. El Penetration Tester lee esas mismas señales públicas en una muestra de sus páginas. Busca cabeceras que faltan o están débiles: Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy. Revisa que sus páginas carguen por HTTPS y que la versión http y la versión con www terminen en el lugar correcto. Busca contenido mixto, es decir, imágenes o scripts que cargan por http dentro de una página segura. Anota versiones de software que se ven en las cabeceras o en una etiqueta generator. De una prueba de Google PageSpeed en una página (casi siempre la de inicio) toma las bibliotecas de JavaScript viejas que aparezcan. Todo sale en una lista por gravedad. Sirve para dueños que nunca han revisado esto y quieren saber por dónde empezar. No es una prueba de penetración formal.
En qué es bueno
- Revisar seis cabeceras de seguridad comunes y decirle cuáles faltan o están mal puestas
- Detectar versiones de servidor o del creador del sitio que quedan a la vista de cualquiera
- Encontrar contenido mixto que debilita el candado de su navegador
- Revisar a dónde llevan las versiones http y www de su dirección
- Señalar bibliotecas de JavaScript viejas que encuentra la prueba de Google PageSpeed
- Ordenar cada hallazgo por gravedad, con una nota corta de por qué importa
Para qué NO sirve
- Intentar entrar, adivinar contraseñas o mandar datos de ataque (nunca lo hace)
- Revisar páginas que piden usuario y contraseña
- Escanear puertos u otros servicios de su red
- Darle un informe firmado para PCI, HIPAA o SOC 2 (eso lo hace un evaluador certificado)
- Revisar su código fuente, plugins instalados o la base de datos
Un ejemplo
Usted pide
Revise qué puede ver un extraño sobre la seguridad de la tienda en línea de mi panadería.
Lo que recibe
Por ejemplo: "Alta: la página del carrito carga una imagen por http dentro de una página https." "Alta: falta la cabecera Strict-Transport-Security." "Media: la cabecera Server dice el nombre y la versión exacta del servidor." "Media: la prueba de PageSpeed encontró una versión vieja de jQuery." "Baja: falta Referrer-Policy." Cada punto trae el arreglo en palabras simples para usted o su desarrollador. La panadería es imaginaria.
Qué planes pueden usar al Penetration Tester
Plan: Cualquier plan, desde Soloist.
El plan Empire ($1,799 al mes) le da los 25 agentes. Department ($499 al mes) le da 5 plazas, Squad ($249 al mes) 3 y Soloist ($129 al mes) 1, y usted elige los agentes. Puede sumar agentes extra a cualquier plan por $59 al mes cada uno.
Ver precios y planesPreguntas frecuentes
¿Necesito darle permiso o una contraseña al agente?
No. Solo lee lo que su sitio le muestra a cualquier visitante, como lo haría un navegador. No pide acceso, no entra a su panel y no toca sus datos.
¿Mi proveedor de hosting no se encarga de esto?
A veces sí y a veces no. Muchas cabeceras de seguridad dependen de la configuración de su servidor o de su plataforma, y muchos sitios salen sin ellas. El agente le muestra qué tiene hoy, así puede preguntarle a su proveedor por lo que falta.
¿Qué es una cabecera de seguridad y por qué me debe importar?
Es una instrucción que su servidor manda con cada página. Le dice al navegador cosas como "solo carga esta página por HTTPS" o "no dejes que otro sitio la meta en un marco". Si falta, el navegador no aplica esa protección para sus visitantes.
¿Sirve para cumplir con las reglas de pagos con tarjeta?
No. Para PCI y otras normas necesita un evaluador certificado con permiso por escrito. Este agente es una primera revisión de lo que está a la vista, útil para arreglar lo básico antes de esa evaluación.
¿Cada cuánto conviene correrlo?
Después de cambiar de hosting, instalar un plugin nuevo o actualizar su tema, porque esos cambios pueden quitar cabeceras sin aviso. Fuera de eso, una revisión de vez en cuando basta.
Otros agentes que conviene tener cerca
Security Sentinel
Revisa los ajustes de seguridad que cualquiera puede ver en su sitio, como HTTPS y las cabeceras, y le da un informe con arreglos por gravedad.
QA Automation Engineer
Revisa sus páginas en busca de cosas rotas que un visitante notaría: páginas con error, enlaces internos rotos y páginas sin título o sin H1.
Deployment Lead
Revisa su sitio en busca de problemas comunes al lanzar o mudar un sitio: páginas y enlaces rotos, cadenas de redirecciones, contenido mixto y cabeceras.
Listo para poner al Penetration Tester a trabajar?
Mes a mes, sin contrato. Puede cancelar desde su panel cuando quiera.