SITIO EN CONSTRUCCIÓN. Todo se ofrece TAL CUAL y SIN GARANTÍAS, en la medida en que la ley lo permita. Es información, no asesoría profesional. Úsalo bajo tu propia responsabilidad. Términos y límites de responsabilidad →

eThorns EN
Menú
Invítanos un caféEnglisheThorns 2026 · Hecho en Colombia
← Seguridad y privacidadEN

Herramienta 1.5

Escaneo de seguridad web: encabezados, TLS y HTTPS

Revisión pasiva de la página de inicio de un sitio: HTTPS, certificado TLS, HSTS, CSP, clickjacking, cookies y security.txt, con nota y correcciones.

Consulta en líneaEl dominio va a nuestro servidor (api.ethorns.com), que lo revisa y guarda solo el resultado durante 1 hora.

Revisión automática; no garantiza seguridad.

Cómo usarla

  1. Escribe un dominio o URL, por ejemplo ejemplo.com.
  2. Presiona Escanear. Nuestro servidor (api.ethorns.com) pide tu página de inicio como lo haría un navegador; puede tardar hasta 30 segundos, y el resultado se guarda una hora.
  3. Revisa la nota y corrige cada fila roja con el cambio sugerido.

Qué le pide el escaneo a tu sitio

Úsalo cuando un sitio nuevo sale al aire o después de cambiar de hosting o de constructor de páginas. Lee lo que tu página de inicio le envía a cualquier visitante y te dice qué protecciones básicas están activas.

Hace tres tipos de peticiones, todas de las que hace un navegador: la página de inicio por http://, para ver si manda a los visitantes a https://; la página de inicio por https://, siguiendo las redirecciones dentro del sitio; y el archivo /.well-known/security.txt. Con eso hace 13 revisiones sobre HTTPS, el certificado, los encabezados de seguridad, las cookies y los números de versión.

Una nota C, y qué corregir primero

Al escanear tienda-ejemplo.co salen en verde la redirección a HTTPS, HTTPS, el certificado, la versión de TLS, X-Content-Type-Options, Referrer-Policy, los atributos de cookies y la fuga de versiones, y en rojo HSTS, Content-Security-Policy, la protección contra clickjacking, Permissions-Policy y security.txt. Pasan 8 de 13 revisiones, cerca del 62 %, así que la nota es C. Los cortes son 90 % para A, 75 % para B, 60 % para C y 40 % para D; por debajo es F.

Cada fila roja trae la corrección. Empieza por HSTS y la protección contra clickjacking: un encabezado cada una, como Strict-Transport-Security: max-age=31536000; includeSubDomains, que se agrega en la configuración del servidor o en el panel del hosting. Deja Content-Security-Policy para el final, porque una política estricta puede bloquear tu propia analítica, el chat o el botón de pago; pruébala primero en una copia del sitio.

Por qué una A no es garantía

Solo se revisa la página de inicio. Las páginas de pago, de inicio de sesión o de administración pueden enviar otros encabezados. El escaneo no busca plugins desactualizados, contraseñas débiles, puertos abiertos ni malware, y aparte de los números de versión en los encabezados no puede saber si tu software está al día. Una A significa que lo básico está bien, no que el sitio sea imposible de hackear.

Si HTTPS no funciona, el escaneo para ahí y no da nota. La revisión del certificado falla cuando le quedan 14 días o menos. Un firewall que bloquea visitas automáticas nos puede mostrar una página de verificación en vez de tu página de inicio, y entonces el resultado describe esa página.

Preguntas frecuentes

¿Qué le hace el escaneo al sitio?

Es una revisión pasiva: hace las mismas peticiones que el navegador de un visitante, es decir, la página de inicio por http y por https y el archivo público security.txt. No escanea puertos, no prueba contraseñas ni intenta ataques.

¿Qué nota es buena?

A o B significa que lo básico está bien. C o menos suele indicar que faltan encabezados de seguridad. La mayoría son una línea cada uno en la configuración del servidor o del hosting; Content-Security-Policy da más trabajo.

¿Qué hace HSTS y por qué el escaneo pide 180 días?

HSTS (el encabezado `Strict-Transport-Security`) le dice al navegador que ya visitó tu sitio que de ahí en adelante solo use HTTPS con él, así nadie en la misma red Wi-Fi pública puede pasar a un visitante a `http://` sin que lo note. La revisión pasa solo si `max-age` es de al menos `15552000` segundos (180 días); un valor menor cuenta como si no estuviera.

Ya corregí los encabezados. ¿Por qué la nota sigue igual?

Los resultados se guardan hasta una hora por dominio, así que un nuevo escaneo dentro de esa hora muestra la respuesta anterior. Si más tarde sigue igual, revisa que el cambio haya llegado a la página de inicio: una CDN o una caché delante de tu sitio, o un segundo servidor, pueden seguir enviando los encabezados viejos.

¿Qué es security.txt?

Un pequeño archivo de texto en `/.well-known/security.txt` (definido en el RFC 9116) que le dice a quien encuentre un problema de seguridad en tu sitio cómo reportarlo. Necesita por lo menos una línea `Contact:` con un correo o un formulario web. La revisión pasa cuando el archivo existe y trae esa línea.

Guías sobre esta herramienta

  • 1.1¿Es una estafa?Pega el mensaje o enlace que te llegó y mira sus señales de alerta: imitación de marcas, dominios nuevos, enlaces acortados, frases de estafa.
  • 1.2¿Te estafaron o hackearon?Pasos para las primeras horas después de una estafa o un hackeo: un link falso, un código que diste, el WhatsApp robado, plata enviada.
  • 1.3¿Es seguro este archivo?Mira qué es en realidad un archivo de WhatsApp o del correo y qué trucos trae: programas disfrazados, macros, PDF con scripts, apps que leen SMS.
  • 1.4Expandir enlaces cortosMira a dónde lleva realmente un enlace corto (bit.ly, t.co, tinyurl…) antes de abrirlo: cada redirección, la URL final y señales de alerta.
  • 1.6Verificar certificado SSLRevisa el certificado SSL/TLS de cualquier sitio: si es válido, cuándo vence, quién lo emitió, qué nombres cubre y qué versión de TLS usa.
  • 1.7Detector de dominios falsosRevisa si un enlace o dominio imita a otro: letras de otros alfabetos, números por letras, un dominio real escondido.
  • 1.8Edad de un dominioMira cuándo se registró un dominio, cuándo vence, su registrador y sus DNS.
  • 1.9Generador de contraseñasContraseñas aleatorias (8 a 128 caracteres) o frases de contraseña, creadas en tu navegador con su generador criptográfico.
  • 1.10Decodificador de certificadosPega un certificado PEM y lee su titular, emisor, fechas de validez, SANs, tipo y tamaño de clave, y sus huellas SHA-256 y SHA-1.
  • 1.11¿Contraseña filtrada?Revisa si una contraseña aparece en filtraciones de datos sin enviarla: con k-anonimato solo salen de tu dispositivo 5 caracteres de su hash.
  • 1.12Limpiador de enlacesQuita utm_, fbclid, gclid, si y otros parámetros de rastreo de los enlaces antes de compartirlos.
  • 1.13Marca de agua para tu cédulaEscribe para quién es la copia de tu cédula, y la fecha, sobre toda la foto o el PDF, y descarga una copia más pequeña y sin datos de la foto.
  • 1.14Cifrar textoCifra y descifra mensajes o notas con contraseña (AES-256-GCM) en tu navegador.

╌╌ FIN ╌╌