Escanear tu sitio web en busca de vulnerabilidades significa usar herramientas automatizadas o manuales para detectar fallos de seguridad — configuraciones erróneas, software desactualizado, puertas traseras — antes de que los atacantes los encuentren primero.
En esta guía te mostramos las mejores herramientas para hacerlo, cómo interpretrar los resultados y qué pasos tomar después del escaneo.
¿Por qué debes escanear tu sitio regularmente?
Los atacantes usan bots que rastrean internet las 24 horas buscando versiones vulnerables de WordPress, Joomla, plugins abandonados y servidores mal configurados. Un sitio sin escanear puede llevar semanas o meses comprometido antes de que el propietario lo note.
Un escaneo periódico te permite:
- Detectar malware inyectado en tus archivos o base de datos.
- Identificar plugins, temas o CMS sin actualizar con vulnerabilidades conocidas.
- Encontrar cabeceras de seguridad HTTP ausentes o configuraciones inseguras.
- Descubrir páginas de phishing o redirecciones maliciosas que afectan tu SEO y reputación.
Google puede marcar tu sitio como peligroso y eliminarlo de los resultados de búsqueda si detecta malware. Un escaneo mensual es el mínimo recomendado; semanal si manejas pagos o datos personales.
Herramientas gratuitas para escanear vulnerabilidades
Sucuri SiteCheck
La opción más popular para comenzar. Introduce tu URL en sitecheck.sucuri.net y en segundos verás si tu sitio aparece en listas negras (Google, McAfee, Yandex, etc.), si hay malware visible en el código fuente y si tus cabeceras de seguridad están configuradas.
Limitación: solo analiza el código que el navegador puede ver — no accede a los archivos del servidor ni a la base de datos.
VirusTotal
Envía la URL de tu sitio a más de 70 motores antivirus simultáneamente. Útil para confirmar si un sitio ya está marcado como malicioso. Accede en virustotal.com.
Mozilla Observatory
Se enfoca en cabeceras de seguridad HTTP, configuración TLS y políticas de seguridad. Ideal para auditar la capa de configuración del servidor. Disponible en observatory.mozilla.org.
WPScan (WordPress)
Herramienta especializada en sitios WordPress. Detecta versiones de plugins y temas con vulnerabilidades conocidas, usuarios enumerables y configuraciones de seguridad deficientes. Disponible como herramienta de línea de comandos y con versión web gratuita limitada en wpscan.com.
Herramientas avanzadas y de pago
| Herramienta | Tipo | Mejor para | Precio aprox. |
|---|---|---|---|
| Sucuri Pro | SaaS | WordPress/Joomla, monitoreo continuo | Desde $199 USD/año |
| Wordfence (Premium) | Plugin WP | WordPress, firewall + escaneo | Desde $119 USD/año |
| Nessus Essentials | Local | Servidores, red interna, VPS | Gratuito (hasta 16 IPs) |
| Acunetix / Invicti | SaaS/local | Aplicaciones web personalizadas | Desde $4,500 USD/año |
| Detectify | SaaS | DevOps, CI/CD integration | Desde $89 USD/mes |
Para la mayoría de pymes mexicanas, la combinación de Sucuri SiteCheck + WPScan gratuito cubre el 80% de los riesgos más comunes. Las herramientas de pago añaden monitoreo en tiempo real y remediación automatizada.
Cómo realizar un escaneo paso a paso
Paso 1: escaneo externo rápido
Ve a sitecheck.sucuri.net e introduce tu dominio. Revisa:
- ¿Aparece en alguna lista negra?
- ¿Hay anomalías en el código fuente (scripts externos no reconocidos)?
- ¿Las cabeceras de seguridad están configuradas?
Paso 2: análisis de configuración del servidor
Envía tu dominio a observatory.mozilla.org y a ssllabs.com/ssltest. El primero audita cabeceras; el segundo evalúa la configuración TLS (versiones, cifrados, cadena de certificados).
Paso 3: escaneo de CMS y plugins
Si usas WordPress, ejecuta WPScan:
wpscan --url https://tudominio.com --enumerate vp,vt,uvp = plugins vulnerables, vt = temas vulnerables, u = usuarios enumerables. WPScan consulta su base de datos de vulnerabilidades conocidas (CVEs).
Paso 4: revisión de archivos del servidor (si tienes acceso SSH)
Busca archivos modificados recientemente que no deberías haber cambiado tú:
find /var/www/html -name "*.php" -newer /var/www/html/wp-config.php -lsUn archivo PHP modificado hace dos días en una carpeta de imágenes es señal de alarma.
Paso 5: verificar la base de datos
Busca redirecciones o scripts maliciosos inyectados en la base de datos:
SELECT * FROM wp_options WHERE option_name IN ('siteurl','home');Si los valores apuntan a un dominio que no es tuyo, tu base de datos está comprometida.
Para un diagnóstico más profundo de tu infraestructura, los especialistas de elenlace.com realizan auditorías de seguridad completas que van más allá de los escáneres automatizados.
Qué hacer con los resultados del escaneo
Un escaneo sin acción no sirve de nada. Prioriza así:
- Crítico (malware activo / lista negra): actúa en las próximas horas. Desconecta si es necesario, limpia el malware y solicita revisión a Google/McAfee.
- Alto (plugins con CVE activo, versión de CMS desactualizada): actualiza en 24-48 horas.
- Medio (cabeceras ausentes, TLS 1.1 activo): programa en tu próximo ciclo de mantenimiento (semana).
- Bajo (recomendaciones de endurecimiento): aplica cuando tengas tiempo disponible.
Documenta cada hallazgo, la acción tomada y la fecha. Eso te servirá para demostrar diligencia si alguna vez ocurre un incidente y también para mostrar mejora continua a tus clientes. Consulta más recursos en nuestra guía de seguridad SSL y web.
Conclusiones clave
- Escanear periódicamente es la única forma de detectar vulnerabilidades antes de que los atacantes las exploten.
- Para sitios WordPress, WPScan + Sucuri SiteCheck es una combinación gratuita muy efectiva.
- Un escaneo externo solo ve lo que ve el navegador — para una revisión completa necesitas acceso al servidor y la base de datos.
- Prioriza los hallazgos: malware activo primero, software desactualizado segundo, configuración después.
- Documenta y da seguimiento — un escaneo sin acción no mejora tu seguridad.
¿Quieres que un experto revise tu sitio por ti? El equipo de elenlace.com ofrece auditorías de seguridad, limpieza de malware y monitoreo continuo para sitios en México — contáctanos hoy.
Preguntas frecuentes
¿Con qué frecuencia debo escanear mi sitio web?
Como mínimo una vez al mes. Si manejas pagos con tarjeta, datos personales o eres un sitio de alto tráfico, lo ideal es un escaneo semanal o monitoreo continuo con una herramienta como Sucuri o Wordfence Premium.
¿Puede un escaneo de vulnerabilidades dañar mi sitio?
Los escáneres externos pasivos (Sucuri SiteCheck, VirusTotal, Observatory) son completamente seguros — solo leen lo que el navegador ve. Los escáneres activos que prueban exploits reales (como ZAP o Burp Suite en modo activo) pueden generar carga o errores; úsalos en un entorno de prueba, no en producción.
¿Qué es un CVE y por qué importa en el escaneo?
CVE (Common Vulnerabilities and Exposures) es el sistema global de identificación de vulnerabilidades conocidas. Cuando WPScan dice que un plugin tiene un CVE, significa que la vulnerabilidad es pública y que los atacantes ya tienen herramientas para explotarla. Actualizar inmediatamente es obligatorio.
Mi escaneo muestra "clean" pero mi sitio tiene comportamiento raro. ¿Qué hago?
Los escáneres automatizados no lo detectan todo. El malware moderno se ofusca, se activa solo para ciertos navegadores o IPs, o se oculta en la base de datos. Si algo se ve mal pero el escaneo dice que está limpio, pide una revisión manual de archivos y base de datos a un profesional.
Compara proveedores
Otros proveedores y guías que vale la pena comparar:
