Checklist
Checklist de seguridad web 2026: 50 puntos imprescindibles
¿Cuándo fue la última vez que revisaste la seguridad de tu web? Si no lo recuerdas, este artículo es para ti. He recopilado los 50 puntos imprescindibles que toda web debería cumplir en 2026, organizados por áreas y prioridad.
Está basado en OWASP Top 10, NIST CSF, ENS (Esquema Nacional de Seguridad) y NIS2. Puedes usarlo como:
- Checklist de auditoría manual.
- Referencia para revisar tu web cada 3-6 meses.
- Documento para tu equipo técnico.
- Base para una auditoría externa.
💡 Cómo usar este checklist
Marca cada punto como ✅ Cumple, ❌ No cumple o N/A. Al final tendrás una foto clara de tu postura de seguridad.
📑 Contenido
- A. SSL/TLS y HTTPS (8 puntos)
- B. DNS y dominio (6 puntos)
- C. Cabeceras HTTP (5 puntos)
- D. Seguridad de correo (6 puntos)
- E. Cookies y sesiones (4 puntos)
- F. Ficheros y directorios (6 puntos)
- G. Puertos y servicios (5 puntos)
- H. Aplicación y contenido (6 puntos)
- I. Infraestructura y operaciones (4 puntos)
A. SSL/TLS y HTTPS (8 puntos)
🔒 Certificado y cifrado
- Certificado SSL válido y vigente Crítico — No caducado, emitido por CA reconocida.
- Certificado cubre todos los subdominios activos Crítico — Wildcard o multi-SAN.
- Cadena de certificados completa Alta — Incluye certificados intermedios.
- Renovación automática configurada Crítico — Con Let's Encrypt, certbot o similar.
- Redirección HTTP → HTTPS forzada (301) Crítico — Ninguna URL accesible por HTTP plano.
- TLS 1.2 o superior exclusivamente Alta — TLS 1.0/1.1 desactivados.
- Certificados seguros (sin SSLv3, RC4, etc.) Alta — Cifrados modernos únicamente.
- HSTS activo con max-age ≥ 1 año Alta —
Strict-Transport-Security: max-age=31536000; includeSubDomains.
B. DNS y dominio (6 puntos)
🌐 Configuración DNS
- DNSSEC activado Alta — Firma criptográfica de registros DNS.
- Registros NS redundantes Media — Al menos 2 servidores DNS en ubicaciones distintas.
- Registro CAA configurado Media — Solo CAs autorizadas pueden emitir certificados.
- Subdominios sin CNAME apuntando a servicios externos abandonados Alta — Evita subdomain takeover.
- Registro SPF configurado (o MX nulo si no se envía correo) Alta — Con
-allo~all. - Bloqueo de transferencia de zona (AXFR) Media — Restringir a IPs autorizadas.
C. Cabeceras HTTP (5 puntos)
🛡️ Cabeceras de seguridad
- Strict-Transport-Security (HSTS) Crítico — Ya listado en SSL, imprescindible.
- Content-Security-Policy (CSP) Alta — Con
frame-ancestors 'none'o'self'. - X-Frame-Options: SAMEORIGIN Alta — Previene clickjacking.
- X-Content-Type-Options: nosniff Alta — Evita MIME sniffing.
- Referrer-Policy configurada Media — Recomendado:
strict-origin-when-cross-origin.
D. Seguridad de correo (6 puntos)
📧 Autenticación de correo
- SPF configurado Crítico — Autoriza solo servidores legítimos.
- DKIM configurado y firmando Crítico — Firma criptográfica de cada email.
- DMARC con p=reject o p=quarantine Crítico — Política activa contra phishing.
- Reportes DMARC (rua) configurados Alta — Recibir informes de envíos fallidos.
- MTA-STS activado Media — Obliga a cifrado TLS en tránsito de correo.
- TLS-RPT configurado Media — Reportes de fallos de cifrado.
E. Cookies y sesiones (4 puntos)
🍪 Cookies de sesión
- Cookies de sesión con flag Secure Crítico — Solo se envían por HTTPS.
- Cookies de sesión con flag HttpOnly Crítico — No accesibles desde JavaScript.
- Cookies de sesión con SameSite (Lax o Strict) Alta — Protección CSRF.
- Caducidad de sesión razonable Media — Cerrar sesión tras inactividad.
F. Ficheros y directorios (6 puntos)
📂 Ficheros sensibles y permisos
- .env no accesible públicamente Crítico — Variables de entorno protegidas.
- Carpeta .git no accesible Crítico — Repositorio no expuesto.
- Backups (.zip, .tar.gz, .sql) fuera de la web Crítico — No accesibles por URL.
- Listado de directorios desactivado Alta —
Options -Indexesen Apache. - Permisos de ficheros correctos (644/755) Alta — Nunca 777.
- phpinfo.php y archivos de test eliminados Alta — No dejar ficheros de diagnóstico.
G. Puertos y servicios (5 puntos)
🔌 Puertos expuestos
- SSH (22) restringido por IP o clave pública Crítico — No expuesto a todo internet.
- Bases de datos (MySQL/PostgreSQL/MongoDB) no accesibles externamente Crítico — Solo accesibles desde la app.
- RDP (3389) cerrado o restringido Crítico — Solo por VPN.
- FTP cerrado o sustituido por SFTP/FTPS Alta — FTP plano es inseguro.
- Paneles de administración (cPanel, Plesk) restringidos Alta — Por IP o VPN.
H. Aplicación y contenido (6 puntos)
💻 Aplicación web
- CMS, plugins y temas actualizados Crítico — Sin versiones vulnerables conocidas.
- Versiones de software ocultas Alta — Sin cabeceras
ServeroX-Powered-Bycon versiones. - Panel de administración protegido (2FA, URL personalizada) Crítico — Login reforzado.
- WAF activo Alta — Cloudflare, Sucuri, ModSecurity.
- Validación de entrada y sanitización Crítico — Contra SQL injection y XSS.
- Formularios con CSRF token y CAPTCHA Alta — Evita envíos automatizados.
I. Infraestructura y operaciones (4 puntos)
🏗️ Infraestructura
- Backups automáticos diarios off-site Crítico — Y probar restauración periódicamente.
- Monitorización de integridad de ficheros Alta — Alertas si cambian ficheros del core.
- Logs de acceso y errores activos Alta — Retención mínima 90 días.
- Plan de respuesta a incidentes Media — Qué hacer si hay brecha.
✅ Resultado esperado
Si cumples todos los puntos marcados como Crítico, tu web ya está mejor protegida que el 90% de las webs. Si además cumples los Alta, estás a nivel profesional.
Resumen y priorización
Total de puntos por prioridad:
- 🔴 Crítico (21 puntos): resuélvelos ya. Sin ellos, no hay seguridad real.
- 🟠 Alta (17 puntos): resuélvelos en las próximas 2-4 semanas.
- 🟡 Media (12 puntos): resuélvelos en los próximos 3 meses.
Si empiezas de cero y quieres priorizar, este es el orden que recomiendo:
- SSL válido + HTTPS forzado + renovación automática (A)
- Backups automáticos off-site (I)
- Ficheros sensibles bloqueados (.env, .git, backups) (F)
- CMS/plugins actualizados + panel admin protegido (H)
- SPF + DKIM + DMARC (D)
- Puertos peligrosos cerrados (G)
- Cabeceras HTTP de seguridad (C)
- DNSSEC activado (B)
- Cookies con Secure/HttpOnly/SameSite (E)
- WAF y monitorización (H + I)
⚠️ Auditoría externa periódica
Este checklist es una foto fija. La seguridad web es dinámica: nuevos plugins, nuevas vulnerabilidades, nuevos ataques. Repite la auditoría cada 3-6 meses como mínimo.
🎯 ¿Cuántos de los 50 puntos cumples?
Audita tu web gratis en 30 segundos. Sealgrade comprueba automáticamente más de 20 de estos puntos y te da tu Health Score.
🔍 Auditar mi web gratis →Conclusión
La seguridad web no es un producto, es un proceso continuo. Este checklist de 50 puntos te da una hoja de ruta clara para auditar tu web y saber exactamente qué te falta.
Recuerda:
- Empieza por los 21 puntos críticos. Son los que marcan la diferencia entre "hackeable" y "resiliente".
- No intentes hacerlo todo de golpe. Ve por fases.
- Automatiza lo que puedas. Renovación SSL, backups, actualizaciones.
- Audita externamente con herramientas como Sealgrade para validar.
- Repite cada 3-6 meses. Es un ciclo, no un evento.