Cómo auditar la web que te ha entregado tu agencia

Te han dicho que la web ya está lista, has pagado la última factura y ahora tienes esa sensación incómoda de no saber si te han entregado un trabajo terminado o una web que aguanta hasta el primer problema. No hace falta que seas técnico ni que contrates a otra empresa para salir de dudas: hay una lista concreta de comprobaciones que puedes hacer tú, con el navegador y los accesos que ya deberías tener, en poco más de una hora. Este artículo es esa lista, en el orden en que conviene hacerla.

Antes de dar por bueno el trabajo: qué puedes comprobar tú mismo

Lo primero no es técnico, es de propiedad. Antes de mirar nada dentro de la web, asegúrate de que lo que has pagado está a tu nombre. Deberías tener, tú directamente y no a través de nadie:

La cuenta del registrador del dominio (donde se renueva el dominio cada año), con tu correo como contacto administrativo.
El acceso al panel de alojamiento (cPanel, Plesk o el que sea), no solo al gestor de contenidos.
Un usuario administrador en WordPress con tu correo.
La propiedad de Google Search Console y de la cuenta de analítica, no un acceso de invitado.
Las cuentas de correo del dominio y su contraseña.

Comprueba el dominio en un servicio de consulta whois y mira quién figura y cuándo caduca. Es más habitual de lo que parece que el dominio esté registrado a nombre de la agencia: no es necesariamente mala fe, pero es una dependencia que hay que deshacer cuanto antes, porque el día que discutáis, el dominio es la web. Si estás en fase de elegir proveedor, o pensando en cambiar, en la guía sobre qué pedir a una agencia web en materia de seguridad tienes las condiciones que conviene dejar por escrito antes de empezar, no después.

Accesos y usuarios: quién sigue teniendo entrada a tu web

Entra en Usuarios > Todos los usuarios y pulsa en el filtro Administrador. Ahí verás la lista completa de quien puede hacer cualquier cosa en tu web. Preguntas que debes poder responder para cada nombre: quién es, si sigue trabajando en el proyecto y por qué necesita ese nivel.

Es normal que la agencia mantenga un administrador si te da mantenimiento, y es sano que lo tenga con su propio correo, no con un genérico compartido. Lo que no es normal es encontrar cuentas de antiguos colaboradores, usuarios con nombres como soporte o webmaster que nadie sabe de quién son, o tres administradores donde debería haber uno. Ajustar quién puede hacer qué es más fácil de lo que parece y está explicado en detalle en el artículo sobre los roles de usuario de WordPress y cómo repartirlos bien.

La revisión no acaba en WordPress. En el panel de alojamiento mira también las cuentas FTP, los usuarios adicionales de cPanel y las claves SSH autorizadas. Ahí es donde suelen quedar accesos olvidados de hace tres años que nadie ha revocado nunca, y que son los que aparecen cuando alguien investiga un incidente meses después.

HTTPS, velocidad y errores: comprobaciones de dos minutos

Estas las haces desde el navegador, sin entrar en ningún panel:

Escribe tu dominio sin https y comprueba que te redirige solo a la versión segura. Prueba también con y sin www: las cuatro variantes deben acabar en la misma dirección.
Mira el candado del navegador. Si aparece un aviso de contenido mixto, pulsa F12 y abre la pestaña Consola: te dirá qué imagen o script se está cargando por http.
Inventa una dirección que no exista, por ejemplo tudominio.com/esto-no-existe, y comprueba que sale una página 404 con el diseño de tu web y no un error en blanco.
Abre tudominio.com/robots.txt. Si ves Disallow: /, tu web está pidiendo a Google que no la indexe: es el resto de la fase de desarrollo y hay que quitarlo.
En Ajustes > Lectura, la casilla Disuade a los motores de búsqueda de indexar este sitio debe estar desmarcada.

Otra herencia típica del desarrollo son los entornos de pruebas. Prueba dev.tudominio.com, test.tudominio.com o tudominio.com/nuevo/: si sigue en pie una copia antigua de la web, es un duplicado que compite contigo en Google y, sobre todo, es una instalación sin actualizar por la que se entra al servidor. Y en el fichero wp-config.php debería figurar define('WP_DEBUG', false);: si está en true, cualquiera puede estar viendo mensajes de error con rutas internas del servidor.

Plugins y plantillas: licencias, versiones piratas y cosas que no deberían estar

Ve a Plugins > Plugins instalados y cuenta. Una web corporativa normal funciona con menos de quince; si ves cuarenta, alguien ha ido instalando para resolver cada problema puntual y nadie ha limpiado después. Cada plugin es código de terceros ejecutándose en tu servidor.

Lo importante aquí son las licencias. Por cada plugin o plantilla de pago que uses (un maquetador visual, un plugin de reservas, un tema comercial), pide la factura y comprueba que la licencia está a tu nombre y que sabes cuándo se renueva. Una licencia caducada significa que dejas de recibir actualizaciones de seguridad sin que nadie te avise.

Señales de que puede haber software pirata («nulled»): plugins de pago cuya pantalla de licencia no existe o está desactivada, avisos de «actualización disponible» que nunca se completan, o extensiones que no aparecen en el repositorio oficial de WordPress ni en la web del fabricante. El problema no es solo legal: las versiones pirateadas se distribuyen precisamente porque llevan código añadido, y es una de las formas más habituales de que una web nazca ya comprometida. Si sospechas, pregunta directamente a la agencia por la fuente de descarga y la licencia; una respuesta vaga es una respuesta.

Copias de seguridad y actualizaciones: ¿existen o solo se dijeron?

Aquí no vale con que te digan que sí. Una copia de seguridad de la que no sabes dónde está, con qué frecuencia se hace y si se puede restaurar, no es una copia de seguridad. Pide por escrito estas cuatro cosas: dónde se guarda (y si es fuera del propio servidor), cada cuánto se hace, cuántas se conservan, y si incluye base de datos y ficheros.

Después haz la única prueba que importa: pide que restauren una copia en un entorno de pruebas y te enseñen el resultado. Si nunca se ha restaurado, no se sabe si funciona. Es más frecuente de lo que parece descubrir el día del desastre que lo que se guardaba eran solo los ficheros, sin la base de datos, o al revés.

Con las actualizaciones, pregunta quién las aplica y con qué criterio. Las tres respuestas posibles son «las aplica el cliente» (entonces tienes que saberlo tú), «las aplicamos nosotros con revisión» (entonces debe estar en un contrato con precio) o «están en automático» (cómodo, pero necesita copias que funcionen y alguien que compruebe que la web sigue en pie después). Ninguna es mala; lo que es malo es que nadie sepa cuál es.

Cabeceras, correo y DNS: lo que casi siempre queda a medias

Esta es la parte que rara vez entra en el presupuesto y que casi siempre queda pendiente. Tres comprobaciones:

Correo. Manda un correo desde una cuenta del dominio a una cuenta de Gmail y mira si llega a la bandeja de entrada o a spam. Si tu dominio no tiene registros SPF, DKIM y DMARC bien puestos, tus presupuestos acabarán en spam y, peor, cualquiera podrá enviar correos haciéndose pasar por tu empresa. El formulario de contacto de la web merece una prueba aparte: envíalo y comprueba que llega, y a quién llega.

DNS. Pide la lista de registros DNS del dominio y revisa que no queden apuntando a servidores antiguos. Un registro A o un subdominio olvidado que apunta a un servidor que ya no controlas es un problema de seguridad clásico.

Cabeceras HTTP. Son unas líneas que el servidor envía con cada página y que le dicen al navegador cómo comportarse. Su ausencia no rompe nada, por eso se olvidan, pero su presencia evita ataques enteros. En la guía sobre qué cabeceras de seguridad HTTP debe tener tu web tienes cuáles pedir y cómo comprobar si están. Y si quieres una referencia más amplia de todo lo que debería estar bien configurado por debajo de WordPress, revisa la guía de configuración segura del alojamiento web.

Cómo reclamar sin romper la relación

Vas a encontrar cosas. Casi siempre son olvidos de final de proyecto, no engaños, y la forma de plantearlo decide si te lo arreglan en dos días o si empieza una guerra fría.

Lo que funciona: manda un único correo con una lista numerada, separando lo que consideras parte del encargo de lo que reconoces como trabajo adicional. Pide fecha, no urgencia. Y evita el «esto está mal hecho»: describe el hecho («el dominio figura a nombre de la agencia, necesito el traslado a mi cuenta») y deja fuera la valoración.

Distingue tres categorías al reclamar. Entrega: accesos, dominio, licencias a tu nombre; eso te lo deben sí o sí. Higiene básica: HTTPS correcto, entorno de pruebas retirado, modo depuración apagado, usuarios revisados; es razonable esperarlo incluido. Mejoras: cabeceras, DMARC, plan de copias, mantenimiento mensual; eso es trabajo nuevo y es legítimo que se cobre. Mezclar las tres en el mismo tono es lo que hace que la conversación descarrile.

Plantilla de informe de recepción

Copia esta lista, marca cada punto y guárdala con fecha. Te sirve para reclamar hoy y para comparar dentro de un año.

Dominio registrado a mi nombre, con mi correo de contacto y fecha de caducidad conocida.
Acceso propio al panel de alojamiento y a la base de datos.
Usuario administrador con mi correo, y lista revisada del resto de administradores.
Cuentas FTP, usuarios adicionales y claves SSH revisadas; eliminadas las que no reconozco.
Propiedad de Search Console y de la analítica a mi nombre.
HTTPS activo, redirección desde http y sin contenido mixto.
Sin entornos de pruebas accesibles ni robots.txt bloqueando la indexación.
WP_DEBUG desactivado y sin registros de error accesibles desde fuera.
Inventario de plugins y plantillas con licencia, factura y fecha de renovación.
Copias de seguridad: ubicación, frecuencia, retención y una restauración probada.
Responsable y criterio de actualizaciones, por escrito.
SPF, DKIM y DMARC configurados; formulario de contacto probado.
Registros DNS revisados, sin apuntes a servidores antiguos.
Cabeceras de seguridad presentes.
Contacto y tiempo de respuesta acordados para cuando algo falle.

Sé honesto con el alcance: los puntos 1 a 8 los puedes verificar tú en una tarde y no necesitas pagar a nadie por ello. Los puntos 9 a 14 requieren que alguien mire por debajo, y si la web factura o guarda datos de clientes, merece la pena que ese alguien no sea la misma empresa a la que estás auditando.

Si quieres empezar por lo rápido, analiza tu web gratis con PathScan y compara el resultado con lo que te prometieron: es un análisis externo, sin registro y sin tocar nada de tu web, que te da en unos minutos material objetivo para esa conversación con la agencia.

Seguir leyendo en esta sección

Ver todo en Accesos y contraseñas → · Mapa completo del sitio