Los primeros diez segundos: el dominio
Sin cargar una sola página, cualquiera puede consultar los registros públicos de su dominio. Dos de ellos muestran si su correo puede falsificarse.
Un registro de política de remitente (SPF) ausente, o uno que termina en una regla permisiva, significa que cualquiera puede enviar correo que parezca venir de su dirección.
Un registro de aplicación (DMARC) ausente significa que los servidores receptores no reciben ninguna instrucción sobre qué hacer con las falsificaciones.
El certificado detrás del candado tiene una fecha de vencimiento. Si faltan pocos días, es señal de que nadie la vigila.
También lo es un sitio que carga con www y sin www y nunca se queda con una de las dos. Eso parte por la mitad su posición en buscadores.
Los siguientes veinte: archivos para máquinas
Unos pocos archivos pequeños están en direcciones fijas en la mayoría de los sitios. Los cuatro archivos que nadie enlaza explica cada uno. Estos tres son los que más revelan:
- robots.txt lista lo que los rastreadores no deben leer. Por eso también es una lista de lo que la organización preferiría que nadie encontrara.
- El sitemap lista cada página pública con la fecha de su último cambio. Cualquiera puede ver con qué frecuencia se actualiza de verdad el sitio.
- security.txt dice a los investigadores de seguridad a quién contactar. La mayoría de los sitios no lo tiene.
Los siguientes veinte: la plataforma
Un sitio en WordPress lo deja ver de una docena de maneras: las rutas de sus hojas de estilo, los números de versión que llevan, una línea meta en la cabecera de la página. Nada de eso es un problema por sí mismo.
Estos tres puntos sí pueden serlo. Un escáner automático los comprueba todos en menos tiempo del que lleva leer esta frase:
- La lista de usuarios entrega los nombres de usuario del personal. Los nombres de usuario son la mitad de un inicio de sesión explica por qué importa.
- La interfaz remota heredada, xmlrpc.php, puede seguir activa y respondiendo peticiones.
- La biblioteca de medios puede estar sirviendo actas de la junta y listas de donantes a cualquiera que adivine la dirección. Su biblioteca de medios es pública muestra cómo.
Los últimos diez: la página misma
El año del copyright en el pie de página es la pista más rápida de si alguien mantiene el sitio.
Las cabeceras de respuesta muestran qué protecciones de seguridad envía el servidor. Normalmente no hay ninguna.
Las mediciones de velocidad y accesibilidad de la portada muestran qué tan bien funciona el sitio para quien usa un teléfono o un lector de pantalla.
Al cabo de un minuto, alguien con malas intenciones conoce su plataforma, los nombres de usuario de su personal, qué tan bien se mantiene el sitio, cómo está configurado su correo y dónde podrían estar sus documentos privados.
Todo salió de información pública. Nadie adivinó una sola contraseña.
Qué arreglar y qué aceptar
Arregle esto, en este orden:
- Los registros de correo, porque el correo falsificado desde su dominio perjudica a otras personas.
- La lista de usuarios y la interfaz remota, porque juntas convierten un sitio público en un objetivo para adivinar contraseñas.
- Cualquier documento de la biblioteca de medios que nunca debió ser público.
- El vencimiento del certificado, poniendo el nombre de una persona en la fecha.
No se moleste en ocultar que el sitio funciona con WordPress. Cuesta trabajo y no engaña a nadie que importe.
Deje en paz las fechas del sitemap. Si se ven viejas, tómelo como un motivo para publicar con regularidad.
Un año de copyright viejo significa que nadie tiene la costumbre de revisar el pie de página. Actualice el año y luego incluya esa revisión en su rutina.
Ejecute la auditoría gratuita en su sitio
Cada comprobación de arriba forma parte de la auditoría gratuita. Solo lee información pública y tarda más o menos el mismo minuto.
Revisa los registros del dominio, el certificado, los archivos para máquinas, las interfaces de WordPress, la biblioteca de medios, las cabeceras y las mediciones de la portada. Cada hallazgo se explica en lenguaje llano, con el arreglo al lado.
Introduzca su dominio abajo para ver lo que ve un desconocido.
Leland Fiegel