# Auditoría de seguridad web con un informe que entiende el dueño.

> Auditoría de seguridad web para WordPress y PrestaShop con un conector de solo lectura, sin dar FTP: plugins, integridad y usuarios. Informe PDF desde 129 €.

URL: https://webintacta.com/auditoria-seguridad-web
Última actualización: 2026-10-28

**En resumen:** Una auditoría de seguridad web revisa una web por dentro y por fuera en busca de fallos conocidos y señales de intrusión, antes de que alguien los aproveche. La de WebIntacta la hago yo, Jose Soriano, en remoto para España y Latinoamérica: reviso tu WordPress, WooCommerce o PrestaShop con un conector de solo lectura, sin pedirte FTP ni contraseñas (integridad del núcleo, malware, plugins o módulos con fallos conocidos, usuarios y configuración), y te entrego un PDF con la nota y el plan de acción, que repasamos en una llamada. Cuesta 129 € una web corporativa y 169 € una tienda, IVA no incluido, y se descuenta íntegro si en 30 días contratas limpieza o mantenimiento.


Instalas un módulo o plugin de solo lectura, sin darme FTP ni contraseñas. Reviso tu web por dentro y te entrego un PDF con la nota, el resumen en lenguaje claro y el plan de acción por prioridades, con las pruebas de cada hallazgo para que tu técnico sepa aplicarlo.

## Qué trae el informe

- Portada con la nota (A–F) y un resumen para el dueño
- Plan de acción: qué hacer, cuándo y quién debería hacerlo
- Hallazgos con su prueba: la ruta, el archivo o la versión exacta
- Integridad del núcleo: archivos que no coinciden con el original
- Inventario de plugins o módulos con versiones y fallos conocidos
- Dos versiones del PDF: completa con soluciones y solo diagnóstico, para compartir

## Cómo lo hago

1. **Análisis externo.** Gratis, para empezar con lo que se ve desde fuera.
2. **Instalas el conector.** Desde el panel de WordPress o PrestaShop, en unos minutos. Solo lee.
3. **Recibes el PDF.** Y lo repasamos en una llamada. Lo aplicas tú, tu desarrollador o me lo encargas con presupuesto cerrado.

## Qué reviso en cada plataforma

## Auditoría WordPress: qué reviso, punto por punto

Una auditoría de seguridad de WordPress son estas 14 comprobaciones, por fuera y por dentro con el conector. Cada hallazgo sale en el informe con su prueba (la ruta, el archivo o la versión) y la acción concreta:

1. **Integridad del núcleo:** cada archivo de `wp-admin` y `wp-includes` comparado con el original de tu versión.
2. **Integridad de los plugins** del directorio oficial, archivo por archivo.
3. **Plugins y tema con fallos publicados**, con la versión exacta, también los desactivados.
4. **Plugins desactualizados o abandonados** frente al directorio de WordPress.org.
5. **Archivos PHP donde no toca:** en `wp-content/uploads` y otras carpetas de subidas o caché.
6. **`mu-plugins` y archivos que se cargan solos**, que no aparecen en el listado normal de plugins.
7. **Código ofuscado y puertas traseras:** `eval`, `base64_decode`, cargas remotas y patrones de malware conocidos.
8. **Usuarios administradores**, para detectar cuentas que nadie reconoce.
9. **Base de datos:** scripts inyectados en opciones, entradas y widgets, y las opciones `siteurl` y `home`.
10. **`wp-config.php`:** depuración (`WP_DEBUG`, `WP_DEBUG_DISPLAY`), claves SALT, editor de archivos (`DISALLOW_FILE_EDIT`), `FORCE_SSL_ADMIN` y prefijo de tablas.
11. **Redirecciones en `.htaccess`** según el navegador o la procedencia de la visita.
12. **Configuración de PHP:** `display_errors`, `allow_url_include`, `expose_php` y funciones peligrosas habilitadas.
13. **Archivos expuestos:** copias `.zip` o `.sql`, `.git`, `.env` y registros de depuración descargables desde internet.
14. **Lo de fuera:** HTTPS, cabeceras de seguridad, `xmlrpc.php`, correo del dominio (SPF, DKIM, DMARC) y listas negras.

En WooCommerce, además, los scripts que se cargan en el carrito y en el pago. Contexto en [seguridad WordPress](https://webintacta.com/seguridad-wordpress); si algo de esto ya indica una infección, el paso siguiente es la [limpieza de WordPress hackeado](https://webintacta.com/limpieza-malware-wordpress). Si quieres repasar tú los plugins antes, tienes los pasos en [plugins de WordPress vulnerables](https://webintacta.com/guias/plugins-wordpress-vulnerables).

> Esta auditoría es solo de seguridad. No reviso el posicionamiento SEO, la velocidad ni la accesibilidad de tu WordPress: si buscabas eso, es otro tipo de auditoría.

## Auditoría de seguridad PrestaShop

Versión del núcleo y de cada módulo, activos o no, contra los avisos de PrestaShop y la lista de módulos vulnerables de Friends of Presta; overrides y su origen; integridad de `classes/`, `controllers/` y del checkout; modo depuración, carpeta de administración y empleados. La lista completa de comprobaciones, en [seguridad PrestaShop](https://webintacta.com/seguridad-prestashop).

## Auditoría de Joomla, Drupal y Magento

También tienen su conector de solo lectura: un plugin para Joomla (3.10 a 6), un módulo para Drupal (9 a 11) y un módulo para Magento 2.4. Reviso la integridad del núcleo frente a los originales de tu versión, las extensiones o módulos instalados con fallos publicados, PHP escondido en las carpetas de imágenes y copias olvidadas en la web pública. El informe cuesta lo mismo que en WordPress o PrestaShop. Lo propio de cada plataforma, en [seguridad Joomla](https://webintacta.com/seguridad-joomla), [seguridad Drupal](https://webintacta.com/seguridad-drupal) y [seguridad Magento](https://webintacta.com/seguridad-magento).

## Shopify y webs a medida

En **Shopify** no hay servidor que revisar: la tienda crea una app personalizada de solo lectura y con ella reviso el tema, los scripts de las apps y las páginas; se presupuesta por horas (más en [seguridad en Shopify](https://webintacta.com/guias/seguridad-shopify)). En una **web a medida en PHP** uso un agente temporal que se sube por FTP, caduca a las 72 horas y se borra solo. Si no hay PHP (Node.js, Next.js, Python, Ruby, .NET, Java, Go…), el análisis externo se completa con los archivos de dependencias del proyecto (`package-lock.json`, `composer.lock`, `poetry.lock`…) para cruzar las librerías con fallos publicados y comprobar si el framework sigue con soporte.

## Cuánto cuesta una auditoría de seguridad web

| Tipo de revisión | Precio | Qué es |
| --- | --- | --- |
| Análisis externo (WebIntacta) | Gratis | Lo que se ve desde internet: versiones, archivos expuestos, HTTPS, cabeceras, correo y listas negras. |
| Informe de seguridad (WebIntacta) | 129 € una web · 169 € una tienda | Revisión por dentro con el conector de solo lectura, PDF con plan de acción y llamada. |
| Informe + puesta a punto (WebIntacta) | 299 € una web corporativa | El informe y la corrección de lo urgente, hasta 3 horas de trabajo. |
| Auditoría técnica de WordPress en el mercado | 179–350 € | Revisiones de plugins, configuración y malware que publican agencias españolas. |
| Auditoría completa de una agencia | 595–1.500 € | Revisiones más amplias que publican agencias y consultoras; el alcance varía mucho de una a otra. |
| Pentest (prueba de intrusión) | Desde unos 2.000 € | Ataque controlado y manual, con alcance pactado por escrito. |

Precios de mercado publicados por agencias españolas y consultados el 7 de octubre de 2026; pueden cambiar y no todos indican si llevan IVA. Mis precios, IVA no incluido.

La diferencia de precio no está en el nombre («auditoría», «informe», «revisión»), sino en si alguien mira por dentro (archivos, base de datos, usuarios) o solo lo que se ve desde fuera, y en si te dicen qué hacer con lo que encuentran. Si el análisis gratuito sale bien y no tienes sospechas, puede bastarte por ahora.

## Precio

Se descuenta íntegro si en 30 días contratas una limpieza o un plan de mantenimiento.

### Informe de seguridad · web corporativa — 129 € (IVA no incluido)
Análisis por dentro con el conector de solo lectura y PDF con plan de acción.

129 US$ en Latinoamérica.
- Integridad del núcleo: cada archivo comparado con el original de tu versión
- Malware, puertas traseras y PHP donde no toca
- Inventario de plugins o módulos con versiones y fallos conocidos
- Usuarios administradores, configuración y permisos
- PDF completo con soluciones y versión solo diagnóstico
- Llamada para repasarlo juntos

> Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días.

### Informe de seguridad · tienda online — 169 € (IVA no incluido)
Lo mismo que el informe web, más la revisión del pago y de los módulos de la tienda.

169 US$ en Latinoamérica.
- Todo lo del informe para webs corporativas
- Skimmers: scripts que copian tarjetas en el checkout
- Overrides y módulos de pago modificados
- Base de datos: scripts inyectados en contenidos y configuración

> Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días.

### Informe de seguridad · pack de 3 sitios — 329 € (IVA no incluido)
Para agencias y desarrolladores que llevan varias webs de clientes.

329 US$ en Latinoamérica.
- Tres informes completos (web o tienda)
- PDF con tu nombre o el de tu agencia como destinatario

### Informe + puesta a punto — 299 € (IVA no incluido)
El informe de seguridad y la corrección de lo urgente (hasta 3 horas).

299 US$ en Latinoamérica.
- Informe de seguridad completo
- Corrección de los hallazgos urgentes, hasta 3 horas de trabajo
- Nuevo análisis para comprobarlo

> Tienda online: 389 € (389 US$ en Latinoamérica).

Auditoría de seguridad de sitio web para empresas de Latinoamérica: 129 US$ una web, 169 US$ una tienda.

## Preguntas frecuentes

### ¿Cuánto cuesta una auditoría de seguridad de WordPress?

129 € una web corporativa en WordPress y 169 € una tienda WooCommerce, IVA no incluido, con el PDF y la llamada incluidos. Si además quieres que corrija lo urgente, el informe con puesta a punto cuesta 299 € en una web corporativa. El informe se descuenta íntegro si en 30 días contratas una limpieza o un plan de mantenimiento.

### ¿Haces auditorías de WordPress de SEO o de velocidad?

No. Esta auditoría es solo de seguridad: plugins con fallos, archivos modificados, malware, usuarios y configuración. El posicionamiento, la velocidad o el diseño los revisa otro tipo de profesional.

### ¿Cada cuánto conviene auditar la seguridad de una web?

Al menos una vez al año, y siempre que cambies de proveedor o de hosting, heredes una web de otra agencia o sospeches de una intrusión. Entre una revisión y otra, el [análisis gratuito](https://webintacta.com/analisis-seguridad-web-gratis) vigila lo que se ve desde fuera, y el mantenimiento repite el análisis de seguridad cada semana o cada día, según el plan.

### ¿Auditoría o pentest?

Son trabajos distintos. Un pentest (prueba de intrusión) intenta atacar activamente la web, a mano, para ver hasta dónde se puede llegar: es un encargo mucho más largo y caro, con un alcance que se pacta por escrito. Esta auditoría revisa versiones, archivos, configuración y código en busca de fallos conocidos y de señales de intrusión. Para la mayoría de pymes con WordPress o PrestaShop, lo que más riesgo quita es esto primero.

### ¿Análisis gratis o informe de pago?

El [análisis gratuito](https://webintacta.com/analisis-seguridad-web-gratis) ve lo que cualquiera ve desde internet: versiones, archivos expuestos, cabeceras, listas negras. El informe de pago mira por dentro con el conector: integridad de cada archivo, malware y puertas traseras, usuarios y configuración, y lo repasamos juntos. Si el análisis sale bien y no tienes sospechas, puede bastarte.

### ¿Qué plataformas cubre?

Con un conector de solo lectura: WordPress (y WooCommerce), PrestaShop, Joomla, Drupal y Magento. En Shopify, con una app de solo lectura que creas tú en la tienda (se presupuesta por horas). En webs a medida en PHP, con un agente temporal que caduca a las 72 horas; si no hay PHP, con los archivos de dependencias del proyecto.

### ¿Qué no ve el conector?

No lee datos de clientes, pedidos ni contraseñas, y no puede modificar nada. Está explicado en detalle en la página del [conector](https://webintacta.com/conector).

### ¿Sirve para cumplir el RGPD o la ISO 27001?

Ayuda a demostrar que revisas la seguridad de tu web, pero no es una certificación ni una auditoría de cumplimiento.

Contratar o preguntar: https://webintacta.com/soporte