📊 Metodología del Health Score

Cómo calculamos el Índice de Resiliencia Perimetral (0-100) y otorgamos el sello de confianza web.

Nota previa: Esta metodología es propia de Sealgrade y se basa en buenas prácticas reconocidas (OWASP Top 10, CISA KEV, NIST CSF). No constituye un estándar formal de la industria como CVSS o NIST SP 800-30, ni sustituye a una auditoría profesional con acceso autenticado (pentesting).

🎯 Qué evalúa nuestro análisis

Realizamos 15 comprobaciones automatizadas de superficie externa sin credenciales. 14 de ellas penalizan la puntuación según su criticidad (clasificada en 4 niveles: CRÍTICO ALTO MEDIO BAJO). La comprobación restante (escaneo de puertos) es informativa y no afecta al score.

Hallazgos críticos

Hallazgo	Penalización	Referencia	Justificación
Ficheros sensibles expuestos (`.env`, `.git`, backups, dumps SQL…)	`−25`	OWASP A05:2021	Fuga directa de credenciales y código fuente. Es el hallazgo más crítico en la práctica: permite acceso inmediato al sistema.

Hallazgos altos

Hallazgo	Penalización	Referencia	Justificación
Sin redirección HTTPS forzada	`−15`	OWASP A02:2021	Tráfico en claro expuesto a ataques man-in-the-middle y downgrade. Incumple RGPD Art. 32 y ENS.
Certificado SSL/TLS inválido o expirado	`−10`	OWASP A02:2021	Riesgo de interceptación de tráfico y suplantación de identidad. Afecta al RGPD y al ENS.
SPF ausente	`−10`	OWASP A07:2021	Permite suplantación de identidad por correo electrónico (spoofing).
DMARC ausente	`−10`	OWASP A07:2021	Sin política de rechazo de correos falsos. Riesgo directo de phishing y Business Email Compromise.

Hallazgos medios

Hallazgo	Penalización	Referencia	Justificación
HSTS ausente	`−5`	OWASP A05:2021	Sin Strict-Transport-Security, el navegador puede aceptar conexiones por HTTP y ser víctima de downgrade attacks.
Content-Security-Policy ausente	`−5`	OWASP A05:2021	Sin CSP, cualquier inyección de script (XSS) tiene vía libre para ejecutarse en el navegador del usuario.
DKIM no detectado	`−5`	RFC 6376	Sin firma DKIM, los correos salientes pueden ser manipulados en tránsito sin detección. (Nota: puede haber falsos negativos si el selector no es estándar.)
DNSSEC ausente	`−5`	CISA DNS	Sin firma criptográfica del DNS, el dominio es vulnerable a DNS spoofing y cache poisoning.
Cookies de sesión sin flags de seguridad	`−5`	OWASP A07:2021	Sin `Secure`, `HttpOnly` y `SameSite`, las cookies son robables vía XSS o MITM.
Contenido mixto (Mixed Content)	`−5`	CWE-1021	Una web servida por HTTPS carga recursos (imágenes, scripts, CSS, iframes, vídeo, base) por HTTP. El navegador los bloquea o los marca como inseguros.

Hallazgos bajos

Hallazgo	Penalización	Referencia	Justificación
X-Frame-Options ausente	`−2`	OWASP A05:2021	Sin esta cabecera, la web es vulnerable a ataques de clickjacking.
X-Content-Type-Options ausente	`−2`	OWASP A05:2021	El navegador puede hacer MIME sniffing y ejecutar contenido malicioso disfrazado.
Referrer-Policy ausente	`−2`	OWASP A05:2021	Sin política de referrer, se pueden filtrar URLs internas a terceros.
Versiones de software expuestas	`−2`	OWASP A06:2021	Revelar versiones exactas facilita ataques dirigidos contra CVEs conocidos.

Fórmula de cálculo

Score = max(10, 100 − suma de penalizaciones)

El resultado se acota entre 10 y 100. Un dominio perfecto (sin hallazgos) obtendría 100; un dominio con todos los problemas, 10.

ℹ️ Sobre el escaneo de puertos: aunque detectamos puertos peligrosos abiertos (MySQL, RDP, SSH, FTP…), este hallazgo es informativo y no penaliza el Health Score. El motivo es que este escaneo solo se ejecuta cuando el dominio ha sido verificado por DNS, así que penalizarlo haría que el mismo dominio obtuviera puntuaciones distintas según el nivel de verificación. El detalle completo de puertos abiertos aparece en el informe técnico (disponible con verificación de dominio), donde se recomienda su cierre o filtrado.

Comprobaciones complementarias (informativas, no penalizan)

Además de las 15 comprobaciones anteriores, el informe incluye estas que no afectan a la puntuación pero aportan contexto:

Puertos peligrosos abiertos: escaneo de puertos comunes (MySQL, RDP, SSH, FTP…) cuando el dominio está verificado por DNS. Solo informativo, no penaliza el Health Score.
Subdominios: superficie de ataque perimetral indexada.
Rendimiento web: Core Web Vitals (LCP, CLS, INP) vía Google PageSpeed.
Reputación en listas negras: blacklists públicas y brechas de credenciales conocidas.
Tecnologías detectadas: CMS, servidor web, CDN, etc.
Anexo técnico: cabeceras HTTP en bruto, puertos escaneados y datos crudos.

🏆 Niveles de certificación

Según el score obtenido, se asigna un nivel de resiliencia que se refleja en el sello web:

Score	Nivel	Texto del sello	Descripción
`90-100`	ORO	`BLINDADO`	Postura defensiva excelente. Superficie perimetral endurecida con prácticamente todas las comprobaciones superadas.
`70-89`	PLATA	`PROTEGIDO`	Postura defensiva sólida. Puede haber 1-2 hallazgos menores pendientes de remediar.
`50-69`	BRONCE	`VERIFICADO`	Postura defensiva básica. Varios hallazgos que requieren atención prioritaria.
`0-49`	SIN SELLO	`NO AUDITADO`	Postura defensiva deficiente. Requiere intervención urgente antes de obtener sello.

⚠️ Sobre el "Certificado Sealgrade": El certificado emitido tras la auditoría refleja el score obtenido en el momento del análisis y tiene una validez de 12 meses. No constituye una certificación oficial reconocida por organismos como AENOR, BSI o ISO, sino una acreditación técnica propia de Sealgrade basada en la metodología descrita en esta página.

🔍 Limitaciones y alcance

Es importante que conozcas qué NO cubre nuestra auditoría:

No es un pentest. No realizamos pruebas de intrusión autenticadas ni explotación de vulnerabilidades.
No analiza lógica de negocio. No evaluamos flujos de autenticación, permisos ni reglas de aplicación.
No analiza código fuente. No revisamos el código de tu aplicación.
No detecta vulnerabilidades internas. Solo superficie externa accesible sin credenciales.
No sustituye a un análisis profesional. Recomendamos complementar con auditorías autenticadas periódicas.

📅 Vigencia de los resultados

El score y el certificado tienen una validez de 12 meses desde la fecha de emisión. Pasado ese plazo, se recomienda volver a ejecutar la auditoría para reflejar el estado actual del dominio.

El sello web y la página de verificación pública muestran siempre los resultados del último informe registrado. Si han pasado más de 12 meses, el certificado se considera caducado y el sello mostrará "NO AUDITADO".

🤝 Transparencia

Nos comprometemos a ser transparentes sobre los límites de nuestro análisis. Si tienes dudas sobre la puntuación obtenida por tu dominio, puedes contactarnos y te explicaremos con detalle cada hallazgo detectado y cómo remediarlo.

📧 ¿Tienes dudas? Escríbenos a contacto@sealgrade.com