Cómo funciona la comprobación

Introduzca un dominio empresarial registrado. Abra el informe privado con una dirección de correo de ese dominio o mediante la verificación DNS.

1. Introduzca su dominio y consulte la nota y los recuentos por categoría.
2. Abra el enlace de un solo uso recibido por correo electrónico o verifique un registro DNS.
3. Revise sus próximos pasos (hasta tres) y, después, la lista completa y los puntos desconocidos.

La comprobación pasiva solicita la página de inicio por HTTPS y sigue como máximo dos redirecciones dentro del mismo sitio web, por ejemplo a www o a una página de idioma. Observa la redirección HTTP y la conexión TLS, y lee el DNS público y /.well-known/security.txt. El DNS incluye los registros A, AAAA, NS, MX, SPF, DMARC, los selectores DKIM habituales, CAA y DNSSEC (DS). No rastrea otras páginas, no abre buzones, no valida firmas DKIM ni verifica la cadena DNSSEC.

Los enlaces sociales admitidos que se encuentran en la página de inicio pueden recibir una solicitud HEAD para comprobar su respuesta, con un máximo de una redirección que mantenga el mismo perfil. No se lee ningún contenido de los perfiles. También buscamos el enlace exacto en los campos Contact del security.txt recopilado, cuando ese documento es válido y está vigente. No se comprueban las páginas de contacto, la titularidad de los perfiles ni la seguridad de las cuentas; estas observaciones no afectan a la nota.

La nota parte de 100: cada problema moderado resta 15 puntos y cada problema menor resta 5. La A empieza en 95, la B en 80, la C en 65 y la D en 50; por debajo es F. Un certificado TLS no válido, o un sitio web que solo funciona con HTTP sin cifrar, supone una F. Las comprobaciones puntuables desconocidas limitan el resultado a B como máximo. Sin una respuesta HTTPS correcta de la página de inicio, no se da ninguna nota, salvo que se haya observado uno de esos casos.

TLS, la redirección a HTTPS, las cabeceras de seguridad del navegador, las cookies, MX, SPF y DMARC cuentan para la nota. La detección de DKIM, CAA, los indicios de DNSSEC y security.txt aparecen en el informe, pero no cambian la nota. Una buena nota no elimina la necesidad de revisar los puntos desconocidos.

Las observaciones públicas se reutilizan durante 24 horas, o 10 minutos después de un tiempo de espera agotado o una caída. Los visitantes anónimos solo ven la nota y los recuentos. Un enlace de correo de un solo uso caduca a los 15 minutos y demuestra que usted tiene acceso a una dirección del mismo dominio registrado. Se rechazan los proveedores de correo gratuitos y los sufijos de alojamiento públicos. La verificación DNS está disponible si no tiene un buzón en el dominio.

Entender los resultados sin determinar

Las comprobaciones no evaluadas, fallidas o no aplicables no cuentan como comprobaciones de seguridad superadas. El informe conserva la limitación y las pruebas disponibles.

Un indicio externo de versión no confirma una vulnerabilidad aplicable. Un registro público no demuestra que la verificación en dos pasos sea obligatoria, y una página pública no puede demostrar que las copias de seguridad se puedan restaurar.

Las comprobaciones públicas no pueden confirmar la entrega en los buzones, la protección efectiva de SPF/DMARC, la verificación en dos pasos de las cuentas, los procesos internos de actualización, la recuperación de copias de seguridad ni la seguridad global. No se incluye acceso a buzones, correos de prueba, pruebas autenticadas ni explotación de vulnerabilidades.