Lo que un desconocido aprende de su sitio en un minuto

Los primeros diez segundos: el dominio

Antes de tocar el sitio, un desconocido lee los registros públicos del dominio. Dos de ellos dicen si su correo puede falsificarse. Un registro de política de remitente ausente, o uno que termina en una regla permisiva, significa que cualquiera puede enviar correo que parezca venir de su dirección. Un registro de aplicación ausente significa que a los servidores receptores no se les dice nada sobre qué hacer con las falsificaciones.

El certificado que da al sitio su candado lleva una fecha de vencimiento. Una fecha a pocos días le dice al desconocido que nadie vigila. Lo mismo dice un sitio que responde en una dirección con www y no sin ella, o que responde en ambas sin elegir una, lo que parte por la mitad su posición en buscadores.

Los siguientes veinte: archivos para máquinas

El archivo robots lista lo que los rastreadores no deben leer y, al hacerlo, lista lo que la organización preferiría que nadie encontrara. El sitemap lista cada página pública con la fecha de su último cambio, que es un calendario honesto de lo vivo que está el sitio. Un archivo de contacto para investigadores de seguridad o está, o en la mayoría de los sitios no está. Una parte anterior de esta serie cubre los cuatro.

Los siguientes veinte: la plataforma habla

Un sitio WordPress se anuncia de una docena de maneras: las rutas desde las que cargan sus hojas de estilo, el número de versión añadido a ellas, una línea meta en la cabecera de la página. Nada de eso es un problema por sí mismo. Lo que sigue puede serlo.

La lista de usuarios, descrita en la parte anterior, entrega nombres de usuario. La interfaz remota heredada dice si está respondiendo. La biblioteca de medios, descrita en la primera parte de la serie, puede estar sirviendo actas de la junta y listas de donantes a cualquiera que adivine la dirección. Cada una es una petición, y un escáner las hace todas en el tiempo que lleva leer esta frase.

Los últimos diez: la página misma

El año del copyright en el pie de página es la lectura más rápida de si alguien mantiene el sitio. Las cabeceras de respuesta dicen qué protecciones de seguridad envía el servidor, y normalmente que no envía ninguna. Las mediciones de velocidad y accesibilidad de la portada dicen cómo trata el sitio a los visitantes con teléfono y a los que no pueden verlo.

Un desconocido con un propósito ahora conoce la plataforma, los nombres de usuario del personal, los hábitos de mantenimiento, la postura de correo y dónde podrían estar los documentos privados. Todo desde información pública, nada que requiera una sola conjetura de contraseña.

Qué arreglar y qué aceptar

Arregle, en este orden: los registros de correo, porque el correo falsificado desde su dominio perjudica a otras personas; la lista de usuarios y la interfaz remota, porque convierten un sitio público en un objetivo para adivinar contraseñas; cualquier documento de la biblioteca de medios que nunca debió ser público; y el vencimiento del certificado, poniendo un nombre en el calendario.

Acepte que el sitio dice que funciona con WordPress. Ocultarlo es trabajo inútil que no engaña a nadie que importe. Acepte las fechas del sitemap, y deje que motiven un ritmo de publicación. Acepte que el año del copyright es un hábito, y arregle el hábito.

La auditoría gratuita es este minuto

Cada línea de arriba es una comprobación que ejecuta la auditoría gratuita, solo con información pública, en más o menos el mismo minuto. Lee los registros del dominio, el certificado, los cuatro archivos, las interfaces de WordPress, la biblioteca de medios, las cabeceras y las mediciones de la portada, y lo redacta en lenguaje llano con el arreglo junto a cada hallazgo. Esa es toda la idea: el minuto del desconocido, gastado por usted primero.