Website Security Check: comprueba la seguridad de tu sitio web

Accede a tu página una vez como un visitante normal (siguiendo las redirecciones de forma limitada) y lee lo que revela el servidor: los encabezados Server y X-Powered-By, el generador del CMS en el HTML, seis encabezados de seguridad, los atributos de las cookies, el certificado TLS, las versiones antiguas de TLS, la redirección a HTTPS y los registros SPF, DMARC y DKIM del dominio. Compara las versiones detectadas con los datos de versiones de endoflife.date y las alertas de seguridad actuales. En el ejemplo ficticio, example.com indica la versión PHP 8.2.28, por lo que probablemente está afectado y recibe la calificación F.

No, deliberadamente. Un escáner de vulnerabilidades ataca activamente una página, por ejemplo, enviando solicitudes de prueba a muchas rutas. Eso no es apropiado para servidores ajenos ni para una herramienta pública. Esta comprobación es pasiva: no intenta realizar ataques ni explora otras rutas, sino que muestra dónde parece vulnerable tu página desde fuera. Para obtener una respuesta fiable, utiliza la autocomprobación en tu servidor.

Cada comprobación parte de 100 puntos y descuenta puntos según la gravedad de cada problema: una alerta de seguridad actual o un certificado no válido restan muchos puntos; la falta de encabezados de seguridad resta, en total, como máximo 8 puntos. A partir de 90 puntos se obtiene una A; de 80, una B; de 70, una C; de 60, una D; y de 50, una E. Por debajo, una F. Si una alerta de seguridad actual afecta a la versión detectada, la calificación máxima es D; si el software del servidor ya no tiene soporte, la máxima es C. Lo que no se ve desde fuera no resta puntos, así que una A tampoco demuestra que un servidor sea seguro.

Desde fuera solo ves lo que un servidor revela voluntariamente. Si no indica la versión, el resultado es «no detectable»: ocultarla es positivo, pero no revela si tiene los parches aplicados. Además, una versión con un número antiguo puede estar corregida desde hace tiempo, porque Debian, Ubuntu y otras distribuciones aplican correcciones de seguridad mediante parches retroportados y conservan el número antiguo. Por eso, la comprobación indica «probablemente afectado», «no detectable» o «corregido», pero nunca «seguro».

Compruébalo en el servidor con php -v. Sin embargo, para las solicitudes web cuenta la versión de PHP-FPM o Apache, no solo la de la línea de comandos. El comando de la autocomprobación muestra todas las instalaciones de PHP encontradas, sus versiones y los ajustes relevantes. Desde fuera, algunos servidores indican la versión en la cabecera X-Powered-By; puedes desactivarlo con expose_php=Off.

Ejecutas un comando breve de solo lectura en tu servidor y pegas el resultado en la herramienta. El comando no inicia programas; solo lee la base de datos de paquetes y los archivos de configuración: sistema operativo y kernel, versiones de los paquetes de PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis y Node.js, actualizaciones pendientes según la caché local del gestor de paquetes, si hay un reinicio pendiente, los valores relevantes de php.ini y si los registros de cambios de los paquetes mencionan las correcciones. El análisis se realiza en tu navegador: el resultado no se envía ni se guarda. Así también puedes comprobar servidores internos y evaluar los parches retroportados de la distribución.

Dos vulnerabilidades críticas de PHP sobre las que advierte el BSI desde el 21.10.2026. Según la alerta, también afectan a versiones anteriores, al menos hasta PHP 5. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35; para 7.4, 8.0 y 8.1, el equipo de PHP ha proporcionado parches retroportados. Como solución provisional, el BSI recomienda session.upload_progress.enabled=0, memory_limit=-1, un valor bajo de post_max_size y, para PHP 8.5, fatal_error_backtraces=0. Estas soluciones solo dificultan los ataques: no sustituyen la actualización.

No. Website Security Check está pensado para propietarios y administradores, y evalúa las versiones del software, los encabezados de seguridad, TLS y los registros de correo electrónico de un sitio web. No comprueba si una tienda es fiable, si una página realiza phishing o si distribuye malware.

La comprobación es gratuita y no requiere iniciar sesión. Para evitar saturar los servidores, se permiten como máximo 10 comprobaciones por minuto y dirección IP, y 30 por minuto y host analizado. Los resultados se almacenan en caché unos 10 minutos. La comprobación no accede a direcciones IP privadas, localhost ni URL con credenciales; para servidores internos, usa la autocomprobación.