Un escaneo SSL y una verificación de Google Safe Browsing solo cubren una fracción de la superficie de ataque real de un sitio. Observamos regularmente sitios que muestran una puntuación A+ en sus encabezados HTTP mientras depositan rastreadores antes del consentimiento o exponen cuentas compartidas sin trazabilidad. Para probar la seguridad de un sitio web de manera realmente útil, es necesario ir más allá del simple diagnóstico técnico e integrar la conformidad regulatoria, la gestión de cookies y las políticas de autenticación.
Conformidad de cookies y rastreadores: la prueba que los escáneres ignoran
La mayoría de las herramientas gratuitas de análisis de seguridad se centran en el certificado TLS, los encabezados HTTP y la posible presencia del dominio en una lista negra. Ninguna de ellas verifica el comportamiento real del banner de consentimiento de cookies.
Es un ángulo muerto costoso. La CNIL ha continuado en 2025 sus sanciones contra los sitios que depositan rastreadores antes del consentimiento, no permiten un rechazo tan simple como la aceptación, o continúan leyendo cookies después de la retirada del consentimiento. Recomendamos realizar una prueba en tres etapas distintas después de cada puesta en producción:
- Cargar la página en navegación privada y capturar las solicitudes de red antes de cualquier interacción con el banner. Cualquier cookie de terceros depositada en esta etapa constituye una no conformidad.
- Rechazar los rastreadores, continuar navegando por varias páginas, y luego verificar a través de las herramientas de desarrollador que el rechazo se respeta efectivamente en todo el recorrido.
- Aceptar las cookies, retirar el consentimiento a través del enlace previsto, y controlar que la lectura de los rastreadores cese realmente. Una prueba limitada a la página de inicio no es suficiente.
Este protocolo toma menos de diez minutos. Sin embargo, cubre un perímetro que los escáneres automatizados no abordan, y que representa la primera fuente de sanciones de la CNIL en los sitios web franceses.
Antes de lanzar una auditoría técnica clásica, es pertinente probar la seguridad de un sitio web combinando análisis de vulnerabilidades y verificación del comportamiento de los rastreadores.
Escaneo de vulnerabilidades web: lo que una herramienta automatizada realmente detecta
Un escáner de seguridad en línea (tipo análisis de encabezados HTTP, verificación SSL/TLS, detección de malware a través de Google Safe Browsing) produce un diagnóstico útil, pero parcial. Estas herramientas identifican las fallas conocidas: ausencia de Content-Security-Policy, versión TLS obsoleta, dominio en la lista negra.
Las fallas lógicas permanecen invisibles para los escáneres automatizados. Una elevación de privilegios a través de un parámetro URL mal controlado, un formulario de contacto sin protección CSRF, o una API que expone datos de usuario sin autenticación no desencadenan ninguna alerta en un escaneo pasivo.
Para un sitio de comercio electrónico o una aplicación con espacio para clientes, recomendamos complementar el escaneo automatizado con una prueba manual centrada en tres puntos:
- Intentar acceder a recursos protegidos manipulando los identificadores en la URL (IDOR). Si el servidor devuelve datos sin verificar la identidad del solicitante, la falla es crítica.
- Inyectar cadenas de prueba XSS en todos los campos de entrada visibles. Un formulario que devuelve el contenido sin escape HTML expone a los visitantes al robo de sesión.
- Verificar los encabezados de respuesta en cada endpoint de la API, no solo en la página de inicio. Las políticas de seguridad a menudo varían de una ruta a otra en un mismo dominio.
Un informe de escáner que muestra una puntuación alta no garantiza nada si estas verificaciones manuales no se han llevado a cabo.
Política de autenticación y cuentas compartidas: una debilidad sancionada
La CNIL informó en su balance 2025 que 14 organizaciones fueron sancionadas por seguridad insuficiente, principalmente debido a contraseñas demasiado débiles o cuentas compartidas entre varios usuarios. Esta constatación afecta tanto a los back-offices de sitios web como a los accesos a bases de datos.
Probar la seguridad de un sitio sin auditar la política de contraseñas es como verificar la cerradura dejando la llave debajo del felpudo. Aún observamos CMS cuyo cuenta de administrador utiliza una contraseña por defecto, o equipos de marketing que comparten un identificador único para acceder al panel analítico.
Cada acceso debe ser individual y trazable. Una auditoría seria verifica que el sitio imponga una longitud mínima de contraseña, bloquee los intentos después de un número definido de fallos, y registre las conexiones con marca de tiempo y dirección IP. Sin estos controles, la detección de una intrusión se vuelve imposible después del hecho.
Muros de rastreadores y patrones oscuros: una trampa regulatoria reciente
Los “muros de cookies” (acceso condicionado a la aceptación de rastreadores) constituyen un tema que las guías de seguridad generalistas no abordan. La CNIL aclara que tal dispositivo no está automáticamente prohibido, pero que el consentimiento debe seguir siendo libre, informado y presentado con opciones equilibradas.
En la práctica, un botón “Aceptar” en un color vivo y un enlace “Rechazar” en gris claro al pie de la página no satisfacen este requisito. Una prueba de conformidad debe evaluar la proporción visual entre las opciones, la facilidad de navegación hacia el rechazo, y la ausencia de consecuencia punitiva (redirección, contenido oculto) en caso de no aceptación.
Este control supera el perímetro técnico habitual, pero está directamente relacionado con la protección de datos en línea. Un sitio técnicamente seguro que ejerce una presión desproporcionada sobre el consentimiento de sus visitantes se expone a las mismas sanciones que un sitio mal asegurado.
La seguridad de un sitio web no se resume a una puntuación mostrada por un escáner. Se mide en tres ejes simultáneos: la robustez técnica, la conformidad en el tratamiento de datos personales y la rigurosidad de las políticas de acceso internas. Negligir uno solo de estos ejes equivale a dejar una puerta abierta, sin importar el candado colocado en los otros dos.
