Auditoría de seguridad web con un informe que entiende el dueño.
En resumen
Una auditoría de seguridad web revisa una web por dentro y por fuera en busca de fallos conocidos y señales de intrusión, antes de que alguien los aproveche. La de WebIntacta la hago yo, Jose Soriano, en remoto para España y Latinoamérica: reviso tu WordPress, WooCommerce o PrestaShop con un conector de solo lectura, sin pedirte FTP ni contraseñas (integridad del núcleo, malware, plugins o módulos con fallos conocidos, usuarios y configuración), y te entrego un PDF con la nota y el plan de acción, que repasamos en una llamada. Cuesta 129 € una web corporativa y 169 € una tienda, IVA no incluido, y se descuenta íntegro si en 30 días contratas limpieza o mantenimiento.
Instalas un módulo o plugin de solo lectura, sin darme FTP ni contraseñas. Reviso tu web por dentro y te entrego un PDF con la nota, el resumen en lenguaje claro y el plan de acción por prioridades, con las pruebas de cada hallazgo para que tu técnico sepa aplicarlo.
Gratis, para empezar con lo que se ve desde fuera.
PASO 02
Instalas el conector
Desde el panel de WordPress o PrestaShop, en unos minutos. Solo lee.
PASO 03
Recibes el PDF
Y lo repasamos en una llamada. Lo aplicas tú, tu desarrollador o me lo encargas con presupuesto cerrado.
Qué reviso en cada plataforma
Auditoría WordPress: qué reviso, punto por punto
Una auditoría de seguridad de WordPress son estas 14 comprobaciones, por fuera y por dentro con el conector. Cada hallazgo sale en el informe con su prueba (la ruta, el archivo o la versión) y la acción concreta:
Integridad del núcleo: cada archivo de wp-admin y wp-includes comparado con el original de tu versión.
Integridad de los plugins del directorio oficial, archivo por archivo.
Plugins y tema con fallos publicados, con la versión exacta, también los desactivados.
Plugins desactualizados o abandonados frente al directorio de WordPress.org.
Archivos PHP donde no toca: en wp-content/uploads y otras carpetas de subidas o caché.
mu-plugins y archivos que se cargan solos, que no aparecen en el listado normal de plugins.
Código ofuscado y puertas traseras:eval, base64_decode, cargas remotas y patrones de malware conocidos.
Usuarios administradores, para detectar cuentas que nadie reconoce.
Base de datos: scripts inyectados en opciones, entradas y widgets, y las opciones siteurl y home.
wp-config.php: depuración (WP_DEBUG, WP_DEBUG_DISPLAY), claves SALT, editor de archivos (DISALLOW_FILE_EDIT), FORCE_SSL_ADMIN y prefijo de tablas.
Redirecciones en .htaccess según el navegador o la procedencia de la visita.
Configuración de PHP:display_errors, allow_url_include, expose_php y funciones peligrosas habilitadas.
Archivos expuestos: copias .zip o .sql, .git, .env y registros de depuración descargables desde internet.
Lo de fuera: HTTPS, cabeceras de seguridad, xmlrpc.php, correo del dominio (SPF, DKIM, DMARC) y listas negras.
Versión del núcleo y de cada módulo, activos o no, contra los avisos de PrestaShop y la lista de módulos vulnerables de Friends of Presta; overrides y su origen; integridad de classes/, controllers/ y del checkout; modo depuración, carpeta de administración y empleados. La lista completa de comprobaciones, en seguridad PrestaShop.
Auditoría de Joomla, Drupal y Magento
También tienen su conector de solo lectura: un plugin para Joomla (3.10 a 6), un módulo para Drupal (9 a 11) y un módulo para Magento 2.4. Reviso la integridad del núcleo frente a los originales de tu versión, las extensiones o módulos instalados con fallos publicados, PHP escondido en las carpetas de imágenes y copias olvidadas en la web pública. El informe cuesta lo mismo que en WordPress o PrestaShop. Lo propio de cada plataforma, en seguridad Joomla, seguridad Drupal y seguridad Magento.
Shopify y webs a medida
En Shopify no hay servidor que revisar: la tienda crea una app personalizada de solo lectura y con ella reviso el tema, los scripts de las apps y las páginas; se presupuesta por horas (más en seguridad en Shopify). En una web a medida en PHP uso un agente temporal que se sube por FTP, caduca a las 72 horas y se borra solo. Si no hay PHP (Node.js, Next.js, Python, Ruby, .NET, Java, Go…), el análisis externo se completa con los archivos de dependencias del proyecto (package-lock.json, composer.lock, poetry.lock…) para cruzar las librerías con fallos publicados y comprobar si el framework sigue con soporte.
Cuánto cuesta una auditoría de seguridad web
Tipo de revisión
Precio
Qué es
Análisis externo (WebIntacta)
Gratis
Lo que se ve desde internet: versiones, archivos expuestos, HTTPS, cabeceras, correo y listas negras.
Informe de seguridad (WebIntacta)
129 € una web · 169 € una tienda
Revisión por dentro con el conector de solo lectura, PDF con plan de acción y llamada.
Informe + puesta a punto (WebIntacta)
299 € una web corporativa
El informe y la corrección de lo urgente, hasta 3 horas de trabajo.
Auditoría técnica de WordPress en el mercado
179–350 €
Revisiones de plugins, configuración y malware que publican agencias españolas.
Auditoría completa de una agencia
595–1.500 €
Revisiones más amplias que publican agencias y consultoras; el alcance varía mucho de una a otra.
Pentest (prueba de intrusión)
Desde unos 2.000 €
Ataque controlado y manual, con alcance pactado por escrito.
Precios de mercado publicados por agencias españolas y consultados el 7 de octubre de 2026; pueden cambiar y no todos indican si llevan IVA. Mis precios, IVA no incluido.
La diferencia de precio no está en el nombre («auditoría», «informe», «revisión»), sino en si alguien mira por dentro (archivos, base de datos, usuarios) o solo lo que se ve desde fuera, y en si te dicen qué hacer con lo que encuentran. Si el análisis gratuito sale bien y no tienes sospechas, puede bastarte por ahora.
Precio
Lo que cuesta.
Se descuenta íntegro si en 30 días contratas una limpieza o un plan de mantenimiento.
Informe de seguridad · web corporativa
Análisis por dentro con el conector de solo lectura y PDF con plan de acción.
129 €
IVA no incluido129 US$ en Latinoamérica
Integridad del núcleo: cada archivo comparado con el original de tu versión
Malware, puertas traseras y PHP donde no toca
Inventario de plugins o módulos con versiones y fallos conocidos
Usuarios administradores, configuración y permisos
PDF completo con soluciones y versión solo diagnóstico
Llamada para repasarlo juntos
Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días.
¿Cuánto cuesta una auditoría de seguridad de WordPress?
129 € una web corporativa en WordPress y 169 € una tienda WooCommerce, IVA no incluido, con el PDF y la llamada incluidos. Si además quieres que corrija lo urgente, el informe con puesta a punto cuesta 299 € en una web corporativa. El informe se descuenta íntegro si en 30 días contratas una limpieza o un plan de mantenimiento.
¿Haces auditorías de WordPress de SEO o de velocidad?
No. Esta auditoría es solo de seguridad: plugins con fallos, archivos modificados, malware, usuarios y configuración. El posicionamiento, la velocidad o el diseño los revisa otro tipo de profesional.
¿Cada cuánto conviene auditar la seguridad de una web?
Al menos una vez al año, y siempre que cambies de proveedor o de hosting, heredes una web de otra agencia o sospeches de una intrusión. Entre una revisión y otra, el análisis gratuito vigila lo que se ve desde fuera, y el mantenimiento repite el análisis de seguridad cada semana o cada día, según el plan.
¿Auditoría o pentest?
Son trabajos distintos. Un pentest (prueba de intrusión) intenta atacar activamente la web, a mano, para ver hasta dónde se puede llegar: es un encargo mucho más largo y caro, con un alcance que se pacta por escrito. Esta auditoría revisa versiones, archivos, configuración y código en busca de fallos conocidos y de señales de intrusión. Para la mayoría de pymes con WordPress o PrestaShop, lo que más riesgo quita es esto primero.
¿Análisis gratis o informe de pago?
El análisis gratuito ve lo que cualquiera ve desde internet: versiones, archivos expuestos, cabeceras, listas negras. El informe de pago mira por dentro con el conector: integridad de cada archivo, malware y puertas traseras, usuarios y configuración, y lo repasamos juntos. Si el análisis sale bien y no tienes sospechas, puede bastarte.
¿Qué plataformas cubre?
Con un conector de solo lectura: WordPress (y WooCommerce), PrestaShop, Joomla, Drupal y Magento. En Shopify, con una app de solo lectura que creas tú en la tienda (se presupuesta por horas). En webs a medida en PHP, con un agente temporal que caduca a las 72 horas; si no hay PHP, con los archivos de dependencias del proyecto.
¿Qué no ve el conector?
No lee datos de clientes, pedidos ni contraseñas, y no puede modificar nada. Está explicado en detalle en la página del conector.
¿Sirve para cumplir el RGPD o la ISO 27001?
Ayuda a demostrar que revisas la seguridad de tu web, pero no es una certificación ni una auditoría de cumplimiento.
Contacto
¿Lo hablamos?
Dime qué web es y qué necesitas. Te respondo con los siguientes pasos y, si hace falta, un presupuesto cerrado.
Contesto yo, en cuanto puedo y por orden. Lo marcado como urgente lo leo primero.
¿Está intacta tu web? Compruébalo ahora.
Análisis externo gratuito. Sin registro y sin instalar nada.
Recibir el resultado en PDF y avisos 30 días (opcional)
Protección de datos. Responsable: Jose Soriano Castro. Finalidad: enviarte el PDF del diagnóstico, avisarte por email durante 30 días si se publica un fallo de seguridad que afecte a tu web (con un análisis de repaso el día 30) y responder por escrito a tu consulta; las ofertas, solo si marcas esa casilla. Legitimación: tu consentimiento. Destinatarios: nadie, salvo obligación legal. Puedes darte de baja cuando quieras con el enlace de cada correo o escribiéndome. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad. Política de privacidad.