Metodología de PathScan: cómo puntúa el escáner de seguridad web gratuito

Qué es PathScan

PathScan es el escáner de seguridad web gratuito de PathSentinel. Está pensado para que cualquier responsable de una pyme o de una tienda online pueda comprobar el estado de su web en unos segundos, sin instalar nada y sin conocimientos técnicos. Es un análisis de caja negra y remoto: examina tu web tal y como la ve el mundo desde fuera, sin acceso a tu servidor, a tu panel de administración ni a tu base de datos.

Una garantía de partida: PathScan nunca modifica la web analizada. Solo la lee, la observa y la compara consigo misma. No inyecta código, no prueba contraseñas, no fuerza formularios ni deja rastro en tu sistema: pide tus páginas, como haría cualquier visitante, y estudia lo que recibe.

El doble-fetch: el núcleo anti-cloaking

La técnica central de PathScan es lo que llamamos el doble-fetch. En lugar de pedir tu web una sola vez, la pide dos veces con dos identidades distintas: primero como un visitante real (un navegador Chrome corriente) y después como el robot de Google (Googlebot). Luego compara las dos vistas.

¿Por qué importa tanto esa comparación? Porque la infección más rentable y más difícil de detectar hoy no rompe tu web ni la ensucia a la vista del cliente: la encubre. El atacante inyecta páginas de spam SEO (casinos, farmacia ilegal, réplicas), pero configura el sitio para que ese contenido solo se sirva a Google. Tú entras en tu web y la ves perfecta; Google, en cambio, indexa cientos de páginas basura que arruinan tu posicionamiento y pueden acabar con el dominio en listas negras. A esa técnica de servir una cosa a los buscadores y otra a las personas se la llama cloaking.

Con una sola vista, ese engaño es invisible. Al pedir la web como persona y como Googlebot y enfrentar las dos respuestas, PathScan pone el cloaking al descubierto: si lo que ve Google difiere de lo que ve un visitante (en el HTML, en las cabeceras HTTP o en el título), salta la alarma. Es, con diferencia, el motor más valioso del escáner.

El semáforo y la puerta anti-falso-negativo

El resultado de seguridad se resume en un semáforo de tres colores:

• Verde: no se ha detectado ningún indicio de compromiso en lo analizado.
• Ámbar: hay avisos que conviene revisar, aunque no impliquen una infección activa.
• Rojo: se han encontrado señales claras de manipulación o de contenido malicioso.

Hay además un cuarto estado deliberado: no concluyente. Si PathScan no pudo leer la web (porque un cortafuegos o un desafío de seguridad bloqueó la petición, porque el sitio estaba caído o porque respondió de forma anómala), no marca verde. El silencio nunca se interpreta como buena salud: es una puerta anti-falso-negativo. Preferimos decirte con honestidad «no hemos podido analizarla» antes que darte una falsa tranquilidad. Un verde de PathScan se gana con una lectura real, no por falta de datos.

La escala de A+ a F

Sobre el semáforo, PathScan afina el resultado con una nota de A+ a F:

• A+: verde sin ninguna salvedad.
• A: verde con una salvedad menor.
• B, C y D: escalones intermedios según los avisos de seguridad acumulados.
• F: rojo, con hallazgos que exigen actuar.

Cuantos más avisos, más baja la nota. Así, dos webs «en verde» no tienen por qué ser iguales, y sabes si tienes un A+ impecable o un B con margen de mejora. Las webs que sacan A o A+ en verde entran automáticamente en el Muro de Honor.

Las ~25 comprobaciones

Por debajo del semáforo, PathScan ejecuta unas veinticinco comprobaciones agrupadas por familias. En el bloque de seguridad revisa, entre otras cosas:

• Cloaking mediante el doble-fetch (visitante frente a Googlebot).
• Palabras de spam en varios idiomas (casino, farmacia, réplicas…).
• Divergencias entre el HTML, las cabeceras HTTP y el título según quién pregunta.
• Redirecciones sospechosas hacia dominios de parking o de terceros.
• Firmas de kits de ataque conocidos y páginas puerta (doorways) listadas en el sitemap.
• Ficheros sensibles expuestos que no deberían ser públicos.
• Indicios de phishing y de JavaScript ofuscado.
• Plugins con vulnerabilidades (CVE) conocidas.
• Si la dirección está en la lista de sitios peligrosos de Google (Google Web Risk).

Ninguna comprobación aislada dicta el veredicto: es el conjunto el que decide el color del semáforo. Además, el resultado te deja a un clic las consultas gratuitas de reputación en VirusTotal, Spamhaus, urlscan.io y el Informe de transparencia de Google. Esas consultas las haces tú, porque las condiciones de sus versiones gratuitas no permiten usarlas de forma automática dentro de un servicio profesional como el nuestro.

Seguridad frente a salud y reputación

Un principio que cuidamos es no mezclar problemas de naturaleza distinta. El semáforo responde a una sola pregunta: ¿hay señales de que esta web esté comprometida? Otras cuestiones importantes, que no significan que te hayan entrado, se muestran aparte, en un bloque azul de salud y reputación que no penaliza el semáforo de seguridad.

Como avisos ámbar tratamos, por ejemplo, la falta de DMARC, que deja tu dominio expuesto a la suplantación de correo, y la ausencia de cabeceras de seguridad recomendadas. En el bloque de salud mostramos el estado del certificado TLS, el contenido mixto, los recursos rotos, la calidad del sitemap, la plataforma detectada (WordPress, PrestaShop, Joomla…), la antigüedad del dominio (vía RDAP) y su historial en los registros de transparencia de certificados (crt.sh).

Así distingues lo urgente (un posible compromiso) de lo mejorable, sin que un detalle de higiene tiña el diagnóstico de rojo ni, al revés, un problema serio se diluya entre recomendaciones. Si el semáforo se enciende y ya sospechas que te han hackeado, ese bloque te ayuda a separar el incendio del ruido.

Lo que un análisis remoto no puede ver

Preferimos la honestidad a la promesa fácil. Un análisis remoto y de caja negra tiene un límite que declaramos sin rodeos: no ve la base de datos, ni los ficheros del servidor, ni las credenciales que hayan podido filtrarse. Observa la fachada, que es donde se manifiestan el fraude SEO y buena parte de las infecciones rentables, pero no entra en la casa.

Por eso un verde de PathScan significa «lo analizado, a fecha de hoy, está limpio», no una garantía de todo el sitio en todo momento. Para ir más allá existe el análisis profundo con acceso, que sí inspecciona ficheros, base de datos, tareas programadas y usuarios. El escáner gratuito te dice si debes preocuparte; el análisis profundo te dice qué ocurrió y cómo cerrarlo.

Qué pasa con tus datos

No pedimos registro ni datos personales para analizar. El resultado se guarda en caché una hora como máximo, y tu IP solo se usa, seudonimizada, para limitar el número de análisis por hora. Tienes todo el detalle en la política de privacidad.

Si el resultado te deja dudas, o prefieres que un análisis profundo con acceso confirme que todo está en orden, escríbenos desde contacto y te orientamos sobre el siguiente paso.

PathSentinel · Jesús Macías Rubiales