¿Cómo saber si mi página web es segura? Guía sin tecnicismos

Puedes comprobar lo básico en unos quince minutos, sin saber programar: que tu web abre con conexión cifrada, que ni el navegador ni Google la marcan como peligrosa, que nadie ha colado páginas extrañas y que los formularios y el aviso de cookies funcionan. Eso no demuestra que la web sea segura, pero descarta los problemas visibles. Lo que no se ve desde fuera, como las claves secretas o las copias de seguridad, pregúntaselo a quien se encarga de tu web con el mensaje de más abajo.

Sirve igual si tu web la hizo una agencia, si está en WordPress, Wix o Shopify o si la creaste tú con una herramienta de inteligencia artificial. En ese último caso, lee también qué revisar antes de abrir tu app a clientes. Ninguna revisión, tampoco esta, puede asegurar que una web no tenga ni un solo fallo, pero estas comprobaciones detectan problemas que pueden pasar meses sin que nadie los vea.

Qué significa «segura» para una web pequeña

Cuando alguien pregunta si su web es segura, casi siempre quiere saber cinco cosas:

• Que nadie pueda espiar lo que escriben tus clientes. Para eso existe HTTPS: la conexión con tu web viaja cifrada, y nadie en medio (por ejemplo, en el wifi de una cafetería) puede leer lo que se escribe en tu formulario.
• Que nadie haya tocado tu web. Una web atacada no siempre se cae: a menudo sigue igual para ti, pero muestra anuncios, manda a los visitantes a otra página o publica páginas de spam que solo ve Google.
• Que los datos de tus clientes no estén al alcance de cualquiera. Pedidos, mensajes del formulario, usuarios registrados: deben estar detrás de una contraseña, nunca en una dirección que cualquiera pueda abrir.
• Que las cuentas de las que depende la web estén bien protegidas. El dominio, el hosting (el servicio donde está alojada la web), el panel de la web y tu correo. Quien entra en una de ellas se queda con la web.
• Que nada caduque sin que te enteres. El certificado (el archivo que hace posible el HTTPS) y el dominio tienen fecha de vencimiento. Si caducan, tus clientes ven una pantalla de aviso o, directamente, nada.

Compruébalo tú mismo en quince minutos

Solo necesitas el navegador y tu móvil (o celular). Hazlo con la dirección real de tu web, no con un enlace de vista previa. Apunta todo lo que te parezca raro: al final verás qué hacer con esa lista.

1. Mira el icono junto a la dirección. Abre tu web y mira a la izquierda de la dirección. En Chrome es un pequeño icono de ajustes; en otros navegadores, normalmente un candado. Haz clic en él: debería decir «La conexión es segura». Si junto a la dirección aparece «No es seguro» (en algunos países, «No seguro») o un aviso de peligro en rojo, resuélvelo antes que nada: muchos visitantes se van al verlo. Google explica qué significa cada símbolo en Comprobar si la conexión de un sitio es segura. Prueba también a escribir la dirección con http:// delante en lugar de https://: una web bien configurada te lleva sola a la versión https://.

2. Ábrela como un visitante nuevo. Abre una ventana privada: en Chrome se llama «Nueva ventana de incógnito»; en Safari, «Nueva ventana privada». Así ves lo mismo que un desconocido, sin tus sesiones iniciadas. Busca ventanas emergentes que no pusiste, anuncios, textos en otros idiomas o un salto a otra web. Si tienes zona de clientes o un panel, escribe directamente su dirección: debería salir la página de inicio de sesión, no el contenido. Repite después en el móvil, con datos móviles en lugar de wifi: si el móvil muestra «La conexión no es privada», el certificado ha caducado o no corresponde a tu dirección. Haz también el camino de quien llega desde Google: busca el nombre de tu negocio y haz clic en el resultado, porque algunos ataques solo se muestran a quien entra por ahí.

3. Pregunta a Google si marca tu web como peligrosa. Pega tu dirección en la herramienta de estado del sitio de Navegación segura de Google: te dice si Google la considera peligrosa en este momento. Después escribe en el buscador site:tudominio.com, con tu dominio, para ver las páginas de tu web que Google conoce. Si aparecen páginas que nunca publicaste (en japonés, de pastillas, de apuestas, de imitaciones de marcas), es una señal clásica de web atacada. Si usas Google Search Console, el panel gratuito de Google para propietarios de webs, abre el informe Problemas de seguridad: ahí te avisa Google si detecta contenido pirateado o software malicioso.

4. Envíate un mensaje desde tus formularios. Usa el formulario de contacto, de presupuesto o de reserva. Comprueba que el mensaje llega, que no acaba en la carpeta de spam y que la página del formulario abre con conexión segura. Un formulario roto no es un fallo de seguridad, pero sí clientes que se pierden sin que lo sepas.

5. Mira el aviso de cookies. Las cookies son pequeños archivos que la web guarda en el navegador del visitante; las de analítica y publicidad sirven para seguir lo que hace el visitante. En la ventana privada, antes de hacer clic en nada: ¿aparece el aviso? ¿Se puede rechazar con la misma facilidad con la que se acepta? ¿Hay enlaces visibles a la política de privacidad y, si estás en España, al aviso legal? Si usas Google Analytics, el píxel de Meta u otras herramientas de seguimiento y tienes visitantes de la Unión Europea, por regla general esas herramientas deben esperar a que el visitante acepte. En España, la Agencia Española de Protección de Datos lo detalla en su Guía sobre el uso de las cookies. En América Latina las reglas cambian de un país a otro. Esto no es asesoramiento legal: si tienes dudas, consúltalo con un profesional. Lo que se puede comprobar desde fuera lo tienes en la revisión de cookies y privacidad.

6. Haz una prueba gratuita de cabeceras. Las cabeceras de seguridad son instrucciones breves que tu servidor envía con cada página para decirle al navegador qué debe bloquear; por ejemplo, que otra web muestre la tuya dentro de la suya. Pega tu dirección en el HTTP Observatory de Mozilla y obtendrás una nota de la A+ a la F. Una nota baja no es motivo de alarma: suele arreglarse con un cambio pequeño en el hosting. Una nota alta tampoco significa que la web sea segura; tómala como una señal más.

7. Comprueba cuándo caducan el certificado y el dominio. En Chrome, haz clic en el icono junto a la dirección, luego en «La conexión es segura» y después en «El certificado es válido»: verás hasta cuándo es válido. El dominio se paga aparte, normalmente cada año. Entra en el panel de la empresa donde lo registraste (el registrador), mira la fecha y comprueba que la renovación automática está activada y que la tarjeta guardada no ha caducado.

8. Protege las cuentas de las que depende la web. Haz una lista: el registrador del dominio, el hosting, el panel de la web (por ejemplo, WordPress) y el correo con el que entras en todos ellos. Activa en cada cuenta la verificación en dos pasos: además de la contraseña, se pide un código que llega a tu móvil. Aprovecha para revisar quién tiene acceso hoy, incluidos antiguos empleados o la agencia anterior, y quita los accesos que ya no hagan falta.

Si las ocho comprobaciones salen bien, has descartado los problemas más visibles. Es un buen comienzo, no el final.

Señales de que tu web ya tiene un problema

Algunas cosas no pueden esperar al mes que viene:

• El navegador o Google muestran una pantalla roja que avisa de que el sitio es peligroso.
• Un cliente te cuenta que tu web lo mandó a otra página o le pidió descargar algo.
• Aparecen usuarios administradores, páginas o entradas que nadie de tu equipo creó.
• Tu hosting te avisa de un consumo extraño o suspende la cuenta.
• Recibes rebotes de correos que tú no enviaste: alguien puede estar haciéndose pasar por tu dominio. Se evita con SPF y DMARC, dos registros del dominio que indican qué servidores pueden enviar correo en tu nombre.

Si ves alguna de estas señales, cambia hoy mismo las contraseñas del panel de la web, del hosting y del correo, y avisa a quien se encarga de tu web o al soporte de tu hosting. No borres nada por tu cuenta antes de que alguien lo revise: lo que quedó en la web ayuda a saber por dónde entraron. Si estás en España, también puedes llamar gratis al 017, la línea de ayuda en ciberseguridad de INCIBE, que atiende a empresas y particulares.

Lo que no se ve desde fuera: el mensaje para tu desarrollador o tu IA

Hay cosas que solo puede revisar alguien con acceso al código o al hosting: si hay claves secretas (las contraseñas con las que tu web usa servicios de pago, de correo o de IA) en el código público, si un cliente puede ver los datos de otro, o si hay copias de seguridad y todo está actualizado. Si una persona o una agencia se encarga de tu web, envíale este mensaje. Si la hiciste tú con una herramienta de IA (Lovable, Bolt, Cursor, Replit), pégaselo tal cual: funciona igual.

Quiero revisar la seguridad de mi web, [tudominio.com].
No tengo conocimientos técnicos. Antes de cambiar nada,
dime qué encuentras en cada punto: sí o no, y una frase.

1. ¿Toda la web carga por HTTPS y http:// redirige a https://?
   ¿Cuándo caduca el certificado y se renueva solo?
2. ¿Hay claves secretas o contraseñas (de pagos, de correo,
   de servicios como OpenAI o Stripe) en el código que descarga
   el navegador del visitante? Si las hay, dime cuáles y dónde.
3. ¿Los datos de clientes (formularios, pedidos, usuarios) solo
   se ven con contraseña? ¿Alguien podría ver los de otra
   persona cambiando un número en la dirección? ¿Cómo lo
   comprobaste?
4. ¿Están actualizados el gestor de contenidos, los plugins
   y la plantilla? ¿Cuáles no?
5. ¿Hay copia de seguridad de la web y de los datos? ¿Cuándo
   se hizo la última y alguien ha probado a recuperarla?
6. ¿Quién tiene acceso al panel, al hosting y al dominio?
   ¿Hay cuentas que ya nadie usa? ¿Tienen todas activada
   la verificación en dos pasos?
7. ¿La web envía las cabeceras de seguridad básicas
   (HSTS, Content-Security-Policy, protección contra iframes)?
   ¿El dominio tiene SPF y DMARC, y se renueva solo?

Explícamelo sin tecnicismos y dime qué es urgente y qué puede esperar.

Qué arreglar primero

Si has encontrado varios problemas, este es un orden razonable:

• Un aviso de peligro o «No es seguro». Los visitantes lo ven antes que tu web.
• Una clave secreta en el código público. Cualquiera puede copiarla y usarla a tu costa, o leer datos con ella. Hay que cambiarla por una nueva; no basta con esconderla.
• Datos de clientes a la vista de quien no debe verlos. Puede convertirse en una brecha de datos que quizá tengas que notificar a la autoridad de protección de datos.
• Cuentas sin verificación en dos pasos. Basta una contraseña filtrada para perder la web.

Cuando pidas un arreglo, pide también cómo comprobar que funciona. Un arreglo está hecho cuando repites la comprobación y pasa, no cuando alguien (o la IA) te dice que ya está.

Cómo seguir revisándola sin hacerlo a mano

Una revisión como esta es una foto fija. La próxima actualización, un plugin nuevo o una petición más a tu herramienta de IA pueden deshacer un arreglo sin que nadie se dé cuenta.

ScanYourSite hace por ti la parte que se ve desde fuera. Escribes la dirección de tu web y, en un minuto más o menos, tienes una lista ordenada por gravedad. Es gratis y no pide registro. También puedes abrir https://scanyoursite.app/es?check=tudominio.com con tu dominio: el enlace solo rellena el campo, y la revisión empieza cuando pulsas el botón.

La revisión gratuita mira tu web como lo haría un navegador y comprueba:

• si la web redirige a HTTPS, cuándo caduca el certificado y si hay partes de la página que cargan sin cifrar;
• qué cabeceras de seguridad faltan y si las cookies de la web llevan los ajustes de seguridad básicos;
• si aparece alguna clave secreta en el código JavaScript que tu web envía a los visitantes;
• si hay herramientas de seguimiento (analítica, publicidad) funcionando sin ninguna herramienta de consentimiento reconocida, y si falta el enlace a la política de privacidad;
• si hay errores al cargar la página en un navegador real, y el título y la descripción que se ven en Google y al compartir el enlace;
• si tu dominio está protegido contra correos falsos enviados en su nombre (SPF y DMARC) y cuándo caduca, si el registro lo publica: los .com sí; muchos dominios de país, como .es, .mx o .co, no, y en esos casos fíate de la fecha del panel de tu registrador (paso 7).

No pulsa tu aviso de cookies, así que comprobar que «Rechazar» de verdad frena el seguimiento sigue siendo cosa tuya (paso 5). Tampoco inicia sesión, ni envía formularios, ni prueba contraseñas.

En la versión gratuita, los tres hallazgos más importantes vienen explicados con palabras sencillas, con cómo arreglarlos y con un mensaje para pegar en tu herramienta de IA; Pro los explica todos.

El plan gratuito vigila una web: la revisa una vez por semana, te manda un resumen semanal por correo y te avisa antes de que caduque el certificado. Pro (19 dólares o 19 euros al mes, tres webs) la revisa cada día, comprueba cada cinco minutos que responde, mira a los pocos minutos de cada actualización que la web sigue cargando y que no se ha filtrado ninguna clave, y te avisa en cuanto algo nuevo falla. Las pruebas más profundas, como buscar un archivo .env (donde se guardan las claves secretas) o una carpeta .git expuestos, o tablas de Supabase abiertas, solo se activan en Pro y después de demostrar que el dominio es tuyo.

Nada de esto sustituye una auditoría de seguridad profesional si cobras directamente con tarjeta o guardas datos delicados, como historiales médicos. Para todo lo demás, significa enterarte de un problema por una revisión y no por un cliente.