📊 Metodología del Health Score

Cómo calculamos el Índice de Resiliencia Perimetral (0-100) y otorgamos el sello de confianza web.

Nota previa: Esta metodología es propia de Sealgrade y se basa en buenas prácticas reconocidas (OWASP Top 10, CISA KEV, NIST CSF). No constituye un estándar formal de la industria como CVSS o NIST SP 800-30, ni sustituye a una auditoría profesional con acceso autenticado (pentesting).

🎯 Qué evalúa nuestro análisis

Realizamos más de 20 comprobaciones automatizadas de superficie externa sin credenciales, agrupadas en 6 categorías. Cada hallazgo penaliza la puntuación según su criticidad:

Hallazgo	Penalización	Referencia	Justificación
Certificado SSL/TLS inválido o expirado	`−25`	OWASP A02:2021	Riesgo de interceptación de tráfico y suplantación de identidad. Afecta también al RGPD y al ENS.
Ficheros sensibles expuestos (`.env`, `.git`, backups, dumps SQL…)	`−20`	OWASP A05:2021	Fuga directa de credenciales y código fuente. Es el hallazgo más crítico en la práctica.
Sin redirección HTTPS forzada	`−15`	OWASP A02:2021	Tráfico en claro expuesto a ataques man-in-the-middle y downgrade.
Puertos peligrosos abiertos (MySQL, RDP, SSH, FTP…)	`−15`	OWASP A05:2021	Superficie de ataque ampliada y servicios internos accesibles desde Internet.
SPF o DMARC ausentes	`−15`	OWASP A07:2021	Riesgo de phishing y suplantación de identidad por correo electrónico.
Versiones de software expuestas	`−10`	OWASP A06:2021	Facilita ataques dirigidos contra versiones vulnerables conocidas (CVE / CISA KEV).

Fórmula de cálculo

Score = max(10, 100 − suma de penalizaciones)

El resultado se acota entre 10 y 100. Un dominio perfecto (sin hallazgos) obtendría 100; un dominio con todos los problemas, 10.

Comprobaciones complementarias (informativas, no penalizan)

Además de las 6 categorías anteriores, el informe incluye estas comprobaciones que no afectan a la puntuación pero aportan contexto:

DNSSEC: protección criptográfica de integridad del DNS.
DKIM: firma de correo saliente (no penaliza porque los selectores son infinitos y pueden dar falsos negativos).
Cabeceras HTTP: HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
Cookies de sesión: flags Secure, HttpOnly, SameSite.
Subdominios: superficie de ataque perimetral.
Rendimiento web: Core Web Vitals (LCP, CLS, INP).

🏆 Niveles de certificación

Según el score obtenido, se asigna un nivel de resiliencia que se refleja en el sello web:

Score	Nivel	Texto del sello	Descripción
`90-100`	ORO	`BLINDADO`	Postura defensiva excelente. Superficie perimetral endurecida con prácticamente todas las comprobaciones superadas.
`70-89`	PLATA	`PROTEGIDO`	Postura defensiva sólida. Puede haber 1-2 hallazgos menores pendientes de remediar.
`50-69`	BRONCE	`VERIFICADO`	Postura defensiva básica. Varios hallazgos que requieren atención prioritaria.
`0-49`	SIN SELLO	`NO AUDITADO`	Postura defensiva deficiente. Requiere intervención urgente antes de obtener sello.

⚠️ Sobre el "Certificado Sealgrade": El certificado emitido tras la auditoría refleja el score obtenido en el momento del análisis y tiene una validez de 12 meses. No constituye una certificación oficial reconocida por organismos como AENOR, BSI o ISO, sino una acreditación técnica propia de Sealgrade basada en la metodología descrita en esta página.

🔍 Limitaciones y alcance

Es importante que conozcas qué NO cubre nuestra auditoría:

No es un pentest. No realizamos pruebas de intrusión autenticadas ni explotación de vulnerabilidades.
No analiza lógica de negocio. No evaluamos flujos de autenticación, permisos ni reglas de aplicación.
No analiza código fuente. No revisamos el código de tu aplicación.
No detecta vulnerabilidades internas. Solo superficie externa accesible sin credenciales.
No sustituye a un análisis profesional. Recomendamos complementar con auditorías autenticadas periódicas.

📅 Vigencia de los resultados

El score y el certificado tienen una validez de 12 meses desde la fecha de emisión. Pasado ese plazo, se recomienda volver a ejecutar la auditoría para reflejar el estado actual del dominio.

El sello web y la página de verificación pública muestran siempre los resultados del último informe registrado. Si han pasado más de 12 meses, el certificado se considera caducado y el sello mostrará "NO AUDITADO".

🤝 Transparencia

Nos comprometemos a ser transparentes sobre los límites de nuestro análisis. Si tienes dudas sobre la puntuación obtenida por tu dominio, puedes contactarnos y te explicaremos con detalle cada hallazgo detectado y cómo remediarlo.

📧 ¿Tienes dudas? Escríbenos a contacto@sealgrade.com