¿Qué es el Health Score y cómo se calcula? (Guía 2026)

Si has auditado tu web con Sealgrade, habrás visto un número grande: "Health Score: 87/100". Pero, ¿qué significa exactamente ese número? ¿Cómo se calcula? ¿Y por qué es más útil que un simple "seguro / no seguro"?

En esta guía te explico todo lo que hay detrás del Health Score: qué mide, cómo se calcula, qué nivel corresponde a cada sello y qué limitaciones tiene.

1. ¿Qué es el Health Score?

El Health Score es una puntuación de 0 a 100 que mide la postura defensiva de una web frente a amenazas externas. Cuanto más alto, mejor protegida está tu web frente a ataques automatizados, phishing, filtraciones de datos y sanciones regulatorias.

Es una puntuación heurística, no un certificado de seguridad absoluto. Pero está diseñada siguiendo los criterios de:

• OWASP Top 10 — vulnerabilidades más críticas.
• NIST CSF — marco de ciberseguridad.
• ENS (Esquema Nacional de Seguridad) — normativa española.
• NIS2 — directiva europea de ciberseguridad.
• CIS Benchmarks — buenas prácticas de hardening.

Y lo mejor: es transparente y reproducible. Cada punto descontado tiene un motivo documentado, así que puedes mejorar tu score aplicando remediaciones concretas.

2. Cómo se calcula (con fórmulas)

El cálculo es simple: se parte de 100 puntos y se aplican penalizaciones por cada problema detectado.

El score mínimo es 10: una web con todos los problemas anteriores aún obtiene 10 puntos (nunca 0), porque siempre puede mejorar algo.

Ejemplo real

Imagina una web con estos problemas:

SSL válido ................................. ✓ (0)
Redirección HTTPS .......................... ✓ (0)
Ficheros sensibles ......................... ✗ (-20)
Puertos peligrosos ......................... ✗ (-15)
SPF/DMARC .................................. ✗ (-15)
Versiones expuestas ........................ ✗ (-10)
─────────────────────────────────────────────────
TOTAL: 100 - 60 = 40/100

Resultado: 40/100 → Nivel "No auditado" (no llega al mínimo de 50 para el Bronce).

3. Los 3 niveles: Oro, Plata y Bronce

El Health Score se traduce en tres niveles de sello, cada uno con su propio color y nomenclatura:

4. ¿Para qué sirve un Health Score?

Tener una puntuación objetiva y comparable tiene varios beneficios:

Para el propietario de la web

• Saber dónde estás sin necesidad de un pentest de miles de euros.
• Priorizar remediaciones: sabes qué te falta y cuánto sube cada arreglo.
• Comparar con el sector: tu score frente a la media del directorio.
• Demostrar cumplimiento a clientes, proveedores o reguladores.

Para el usuario final

• Confianza verificable: un sello que cualquiera puede comprobar.
• Transparencia: ves el score público de la web que estás usando.
• Comparabilidad: el mismo estándar aplicado a todas las webs.

Para el sector

• Elevar el nivel: cuando las webs se comparan, todas mejoran.
• Presión positiva: las mal auditadas quedan visibles en el directorio.
• Estándar abierto: metodología transparente y reproducible.

5. Limitaciones que debes conocer

El Health Score es útil, pero no es una bala de plata. Estas son sus limitaciones honestas:

Análisis externo no intrusivo

Se calcula sin credenciales y sin acceso al servidor. Solo analiza lo que ve un atacante desde fuera. Esto significa que no puede detectar:

• Vulnerabilidades en el código de la aplicación (SQL injection, XSS almacenado, lógica de negocio).
• Configuraciones internas del servidor de base de datos o del sistema operativo.
• Credenciales débiles en paneles de administración autenticados.
• Fugas de información internas no expuestas al exterior.

Para eso necesitas un pentest autenticado, que es complementario al Health Score, no sustituto.

Score heurístico, no normativo

El Health Score se inspira en OWASP, NIST, ENS y NIS2, pero no es una certificación oficial de ninguno de ellos. Es una referencia propia de Sealgrade, transparente y abierta, pero no sustituye a una auditoría oficial.

Detección imperfecta

Algunos checks tienen limitaciones técnicas:

• DKIM: existen infinitos selectores posibles, por lo que la detección automática puede fallar aunque lo tengas configurado.
• WAF: si tu web está detrás de Cloudflare, Imperva o similar, las cabeceras pueden ocultarse.
• Puertos: solo se escanean 12 puertos comunes, no todos los 65.535.

Por eso el Health Score nunca es la última palabra: es un punto de partida excelente, no un veredicto definitivo.

6. Cómo mejorar tu Health Score

Si has obtenido un score bajo y quieres subirlo, estas son las acciones con mayor impacto por esfuerzo:

1. Renueva tu certificado SSL si está caducado o a punto. Configura renovación automática (Let's Encrypt, Cloudflare).
2. Fuerza HTTPS con una redirección 301 desde HTTP.
3. Bloquea ficheros sensibles: .env, .git, backups, dumps SQL.
4. Cierra puertos innecesarios: SSH, RDP, MySQL, MongoDB solo deben ser accesibles desde IPs conocidas.
5. Configura SPF + DKIM + DMARC en tu dominio.
6. Oculta versiones de software: desactiva la cabecera Server, X-Powered-By y las etiquetas generator.
7. Añade cabeceras HTTP de seguridad: HSTS, CSP, X-Frame-Options.
8. Activa DNSSEC en tu proveedor de DNS.

Si necesitas ayuda con cada check, tenemos guías específicas en el blog:

• Cómo configurar DMARC paso a paso
• Diferencias entre SPF, DKIM y DMARC
• Guía completa de cabeceras HTTP de seguridad
• Cómo verificar si tu SSL está bien configurado

7. Conclusión

El Health Score es una forma objetiva, gratuita y reproducible de medir la seguridad de tu web. No es perfecto, pero es infinitamente mejor que no tener ningún tipo de referencia. Te permite:

1. Saber dónde estás frente a la media.
2. Priorizar remediaciones con impacto medible.
3. Comunicar tu postura a clientes y usuarios con un sello verificable.
4. Mejorar continuamente re-auditando cada 3-6 meses.

Y recuerda: el Health Score no es un destino, es un termómetro. Lo importante no es tener un 100, sino mejorar tu postura defensiva de forma continua.