Auditoría web
Checklist de seguridad perimetral para sitios corporativos expuestos a internet
Cloudflare, TLS, WAF, headers, hardening de origen y Zero Trust: lista accionable para reducir superficie antes del próximo intento de ataque.
13 min de lectura · Actualizado 2026-07-22
Principio: el origen no debe ser el perímetro
Exponer la IP real del servidor anula gran parte del WAF. Cloudflare Tunnel o proxy naranja oculta origen y centraliza DDoS mitigation. En arquitectura Conecta, ningún contenedor LXC de producción escucha públicamente sin capa Cloudflare delante.
Allowlist admin: /wp-admin, /directadmin, /api/internal solo desde VPN o Zero Trust Identity — nunca abierto a 0.0.0.0/0. Los bots encuentran estas rutas en minutos.
Auditoría de seguridad del Toolbox valida headers y TLS desde fuera; complementa con revisión interna de reglas firewall del nodo de virtualización y fail2ban en servicios expuestos por excepción.
TLS y certificados
TLS 1.2 mínimo, preferir 1.3. Deshabilitar cipher suites débiles. Certificado válido para todos los hostnames servidos — apex, www, subdominios de API.
Cadena completa incluyendo intermedio; monitorear expiración a 30/14/7 días. ACME automatizado en DirectAdmin reduce incidentes de fin de semana.
HSTS con includeSubDomains solo si todos los subdominios soportan HTTPS estable; de lo contrario, limita al host principal para no brickar servicios legacy en HTTP.
Cabeceras HTTP de endurecimiento
Content-Security-Policy: empieza restrictiva en report-only, migra a enforce. Documenta excepciones para GTM o pasarela de pagos embebida.
X-Frame-Options DENY o SAMEORIGIN en apps con sesión. Referrer-Policy strict-origin-when-cross-origin. Permissions-Policy para deshabilitar geolocation/camera si no se usan.
Elimina X-Powered-By y versiones en Server header donde sea posible. No es defensa principal, pero reduce fingerprinting casual.
WAF, rate limiting y bots
Reglas OWASP managed en Cloudflare para SQLi, XSS, path traversal. Custom rules para bloquear xmlrpc.php en WordPress si no se usa.
Rate limit en login, wp-login.php, /api/auth, formularios de contacto. Brute force distribuido supera captcha simple — combina con lockout temporal.
Challenge o block en países sin operación comercial si el tráfico legítimo lo permite. Distribuidoras colombianas suelen ver picos de scraping desde ASNs extranjeros en catálogos B2B.
Operación continua y respuesta
Escaneo Web Checker 360 trimestral + tras cada cambio mayor de infraestructura. Alertas automáticas si certificado cae por debajo de 14 días.
Plan de respuesta a incidente: aislar contenedor comprometido en infraestructura propia, rotar secrets, restore desde backup inmutable, post-mortem en 5 días hábiles.
DevOps Conecta implementa Zero Trust, tunnels y hardening Imunify360 en hosting administrado. Si el checklist supera 15 ítems pendientes críticos, agenda revisión de ingeniería antes del próximo ciclo de pentest externo.
Ponlo en práctica ahora
Usa las herramientas gratuitas del Toolbox para validar tu configuración en minutos.
¿Necesitas que lo resolvamos contigo?
Un ingeniero de Conecta puede aplicar esto en tu operación: servicio relacionado o conversación directa.