Nuestras comprobaciones solo miran lo que cualquiera ya puede ver desde Internet, que es justo lo primero que mira un atacante. Sin cuenta, sin nada que instalar y sin forzar nada: las comprobaciones son no intrusivas.
Un enlace es un enlace, llegue por SMS, WhatsApp, una red social o un correo. Seguimos los primeros enlaces hasta su destino real, tras eliminar los parámetros que podrían identificarle. No se rellena ningún formulario, no se introduce ningún código, no se ejecuta ningún archivo.
En cada enlace sopesamos varias señales juntas:
Algunas palabras del mensaje — «vota por», «mi sobrina», «concurso», «su cuenta será cerrada» — son un cebo clásico. Solas no prueban nada; combinadas con un enlace sospechoso, disparan la alarma.
Para un correo, leemos además las comprobaciones de remitente anotadas por el servidor que lo recibió (SPF, DKIM, DMARC) y los adjuntos — leídos como archivos, nunca abiertos.
El veredicto da un nivel de riesgo, del más neutro al más serio, fijado por la peor señal encontrada. Para seguir siendo eficaces, no publicamos los umbrales exactos que usamos — sería dar a los estafadores una guía para colarse.
Qué conservamos: un registro de cada comprobación (fecha, hora, dirección IP, tipo) durante 12 meses; el texto del mensaje durante 30 días, para mejorar la detección; y las direcciones de los enlaces peligrosos, sin sus parámetros y sin ninguna relación con usted. Los enlaces se comparan con una copia de la base URLhaus (abuse.ch) guardada en nuestros servidores: ningún enlace sale de ellos. Detalles en nuestra política de privacidad.
Unas 138 comprobaciones (204 reglas) en 19 categorías miden si el sitio y su correo siguen las buenas prácticas y las obligaciones: dominio y DNS, autenticación y entrega del correo, certificado y cifrado, cabeceras de seguridad y cookies, software sin soporte, país y jurisdicción del alojamiento, aviso legal, RGPD. A partir de 90 es sólido; por debajo de 50, muy deficiente.
Parte de 100 y pierde puntos por cada escenario de abuso encontrado —15 en total, más 3 complementos—: secretos olvidados en línea (archivos .env, repositorios .git, copias de seguridad), una base de datos abierta a Internet, un subdominio abandonado que otro podría tomar, un dominio a punto de caducar, paneles de administración expuestos, software obsoleto, cifrado débil, una redirección abierta… Los más profundos —secretos olvidados en línea, una base de datos abierta a Internet, paneles de administración expuestos— solo se muestran y detallan después de que el propietario haya probado el dominio, y se explican tras el pago. Cuanto más alta la nota, mejor resiste el sitio.
Buscamos las puertas de entrada que un atacante busca primero: algunos puertos de administración conocidos en el servidor del sitio (4443, 5001, 5480, 8006, 9090, 9443, 10443) y los nombres publicados en el DNS del dominio que parecen una entrada (vpn., remote., portal., citrix., owa., vcenter., gitlab.…), solo en el puerto 443. Solo leemos la página de inicio de sesión: ningún usuario, ninguna contraseña, ningún exploit.
Reconocemos pasarelas VPN (Fortinet, Ivanti, Citrix NetScaler, Palo Alto, Cisco, Check Point, SonicWall, F5), herramientas de control remoto (ScreenConnect, SimpleHelp, MeshCentral, Guacamole, RD Web Access), consolas de administración (vCenter/ESXi, Proxmox, iLO, iDRAC, Cockpit, Portainer, phpMyAdmin, Adminer, Jenkins, Kaseya) y aplicaciones expuestas (Exchange OWA, MOVEit, GoAnywhere, Confluence, Jira, GitLab, Grafana, Kibana, Synology, QNAP). Una consola de administración publicada es grave; una herramienta de control remoto es un riesgo medio; una pasarela VPN es normal y no baja la nota: lo importante es mantenerla actualizada. Una versión solo se anota si la página la muestra.
AnyDesk y TeamViewer pasan por los servidores de su editor: no se publica nada del lado del dominio, así que no podemos verlos.
Si los servidores DNS de un dominio no responden, lo señalamos como un problema grave: sin ellos, el sitio y el correo son inalcanzables para parte de los visitantes.
Cobertura estimada: del 60 al 80 %. No es una prueba de intrusión: ni fuerza bruta, ni exploits, ni inyecciones.
Véalo como una comprobación amistosa —una llamada educada a la puerta—: desde fuera, miramos si están puestas las protecciones más conocidas y recomendadas, sin intentar nunca entrar.
Nunca se prueba ninguna contraseña ni se simula ningún ataque. La antigüedad del software se juzga por las fechas de fin de soporte de los fabricantes. Las comprobaciones más profundas (más puertos y rutas sensibles) solo se muestran y detallan tras demostrar que el dominio es suyo, y se explican tras el pago.
El informe cita las menciones legales obligatorias francesas (LCEN), el RGPD y la CLOUD Act estadounidense. Nuestras comprobaciones ayudan además a cumplir parte del artículo 32 del RGPD, de las recomendaciones de la CNIL sobre cookies, del artículo 21 de NIS2, de los requisitos de Gmail y Yahoo para remitentes y de PCI DSS 4.0: ayudan, no certifican la conformidad.