WordPress Core
Versión, integridad de archivos del núcleo, y exposición de información sensible en la configuración.
Auditoría de seguridad
Auditoría de seguridad WordPress
Una revisión a fondo de tu instalación siguiendo la metodología OWASP, el estándar de referencia para auditar aplicaciones web. Al terminar sabes qué fallos tiene tu web, cuáles son graves de verdad y en qué orden corregirlos.
Revisión a mano, no solo escáner
Informe con prioridades
Superficie de ataque que reviso
Panel de administración
Panel de administración
Exposición sin protección adicional, resistencia a fuerza bruta, enumeración de usuarios y ausencia de doble factor.
Endpoints de API
Endpoints de API
XML-RPC habilitado por defecto en muchas instalaciones, y endpoints de la REST API de WordPress que pueden exponer usuarios o contenido sin autenticación.
Formularios y subida de archivos
Formularios y subida de archivos
Pruebas de scripts insertados, inyección en base de datos y ejecución de código a través de formularios o áreas de subida.
Configuración del servidor
Configuración del servidor
Cabeceras de seguridad, permisos de archivos sensibles como wp-config.php, y acceso directo a carpetas que no deberían ser accesibles.
Roles y usuarios
Roles y usuarios
Usuarios administradores identificables desde fuera, cuentas inactivas con privilegios elevados, y política de contraseñas.
Nuestro enfoque
Una auditoría de seguridad no es lanzar un escáner y reenviarte su informe
01
Pruebas hechas a mano
Un escáner encuentra lo evidente. Lo que de verdad aprovecha un atacante suele estar en cómo funciona tu web por dentro.
02
Sobre tu configuración real
Cada hallazgo se comprueba sobre tu instalación concreta, no sobre una plantilla de fallos genéricos.
03
Con prioridad, no solo lista
Cada fallo lleva escrito qué riesgo tiene de verdad y en qué orden corregirlo.
Por qué la seguridad web no es opcional
Casi la mitad de los sitios WordPress se ven afectados por una vulnerabilidad causada por un plugin o tema desactualizado o mal codificado, y cerca del 40% de las webs hackeadas estaban usando software sin actualizar en el momento del ataque. Si además manejas datos de clientes o pagos, una brecha de seguridad puede suponer una notificación obligatoria de incidente bajo el RGPD, con sanciones que la normativa fija hasta los 20 millones de euros o el 4% de la facturación anual, lo que sea mayor.
Qué reviso en la auditoria de seguridad para Wordpress
Plugins y temas
Comprobación de vulnerabilidades conocidas en todo lo instalado, incluso lo desactivado, y detección de código inyectado o puertas traseras.
Accesos y roles
Usuarios administradores, revisión de roles, y exposición del punto de acceso.
WooCommerce
Protección de datos de pago, configuración de cifrado y vulnerabilidades específicas de tienda online.
Servidor y hosting
Permisos de archivos y carpetas, cabeceras de seguridad y exposición de endpoints innecesarios.
Dos alcances de auditoria
Revisión esencial
Los fallos más comunes y más graves, los que recoge el OWASP Top 10.
Revisión esencial
Los fallos más comunes y más graves, los que recoge el OWASP Top 10.
- Autenticación y sesiones
- Validación de entradas
- Configuración expuesta del servidor
Revisión completa
Todo lo anterior, más configuración avanzada, permisos por rol y lógica de negocio.
Revisión completa
Todo lo anterior, más configuración avanzada, permisos por rol y lógica de negocio.
- Control de acceso por rol
- Zonas privadas y área de cliente
- Lógica de negocio: pagos, descuentos, pedidos
Cómo se hace la auditoría de seguridad
Definimos el alcance según tu web
Reviso a mano cada área acordada
Documento cada hallazgo con su riesgo real
Te entrego el informe ordenado por prioridad
¿No sabes si te toca la esencial o la completa?
Lo que no es una auditoría de seguridad
No es lanzar una herramienta automática y reenviarte su informe. Ni una lista de avisos genéricos donde la mayoría no aplica a tu caso y no tienes forma de saber cuáles sí. Es una revisión ordenada, con pruebas hechas a mano sobre tu web concreta, y un informe donde cada fallo lleva escrito qué riesgo tiene de verdad y qué hacer para corregirlo.
Qué te llevas
Resumen sin tecnicismos de tu situación real
En qué estado está tu web y qué riesgo real tienes, sin tecnicismos. Dos páginas.
Detalle técnico de cada fallo, dónde está y cómo se corrige
Cada fallo, dónde está, cómo se aprovecha y cómo se corrige.
Orden de prioridad: qué arreglar primero y qué puede esperar
La lista ordenada de qué arreglar primero y qué puede esperar.
Quién audita
Soy Javier Afán y realizo yo cada auditoría
Programador WordPress con experiencia en agencia, especializado en seguridad. Aplico la metodología OWASP porque es el estándar reconocido para auditar aplicaciones web, no porque venga de un informe automático — cada hallazgo lo compruebo yo mismo sobre tu instalación.
Pruebas manuales, no solo escáner
Informe con prioridad real, no una lista plana
Hablas directamente conmigo
Explico cada hallazgo sin tecnicismos
Contacto
Cuéntame cómo es tu web
Dime si es una web de empresa, una tienda, si tiene zona de clientes y si ha tenido problemas antes. Con eso te digo qué revisión te encaja y qué costaría.
Contacto directo
[email protected]
Preguntas frecuentes
Sobre la auditoría de seguridad para WordPress
¿Qué diferencia hay con un escáner gratuito?
Un escáner encuentra lo evidente y genera avisos genéricos. Yo pruebo a mano sobre tu web concreta y te digo cuáles de esos avisos son un riesgo real para ti.
¿Esto es solo para empresas grandes?
No. Tiene sentido para cualquier web que maneje datos de clientes, pagos o una zona privada, sea cual sea su tamaño.
¿Cuál de las dos me toca?
Si nunca has revisado la seguridad de tu web, la esencial es un buen punto de partida. Si tienes tienda o área de clientes, suele tener más sentido la completa. Si no lo tienes claro, lo hablamos antes.
¿Arreglas los fallos que encuentres?
El informe incluye cómo corregir cada fallo. Si quieres que lo aplique yo directamente, lo hablamos como un trabajo aparte.
¿Puede romperse algo mientras la revisas?
Las pruebas se hacen con cuidado de no afectar a la operativa de tu web. Si algún caso concreto requiere probar algo más sensible, te lo aviso antes.
Lo que no se audita no deja de ser vulnerable
Cuanto antes sepas dónde están los fallos, antes puedes decidir qué hacer con ellos.