Tu WordPress, auditado sin tocarlo

Qué hace, en una frase

Lee tu instalación, te dice qué está mal y qué hacer, y guarda el resultado para que veas qué ha cambiado desde la última vez.

WordPress ya trae Salud del sitio, y hace veinticinco cosas bien. Este plugin no las repite: mira las doce que no mira, las explica en castellano y no toca nada. Se puede ejecutar en una web en producción sin miedo, porque no escribe ni bloquea.

Las doce comprobaciones

1. Cabeceras de seguridad: HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy, una a una.
2. Content-Security-Policy: si existe y si de verdad bloquea o solo informa.
3. Plugins y temas abandonados: más de dos años sin actualizar, o retirados del directorio.
4. Ficheros olvidados en la raíz: .git/config, .env, wp-config.php.bak, debug.log, backup.sql, backup.zip y readme.html.
5. PHP dentro de subidas: con límite de ficheros y de tiempo, para que una fototeca grande no cuelgue el panel.
6. XML-RPC: si responde y si algo lo cierra.
7. Usuarios y administradores: si hay un usuario llamado «admin», cuántos administradores hay y si usan correo gratuito.
8. Editor de ficheros del panel: activo o desactivado.
9. Prefijo de base de datos por defecto: wp_, con una nota honesta: es comodidad, no un agujero.
10. Banderas de las cookies: Secure, HttpOnly y SameSite, en la portada y en el acceso.
11. security.txt: si existe, con un generador que te da el fichero listo para subir.
12. Permisos de los ficheros: de wp-config.php y de la raíz.

Tres estados, no dos

Cada comprobación dice una de tres cosas: en orden, por arreglar o por comprobar. El tercero es el que importa. Muchas webs contestan 200 a cualquier dirección (un maquetador, un proxy, una pantalla de acceso): en ese caso el plugin dice «no he podido comprobarlo» en vez de inventarse un hallazgo crítico.

Una falsa alarma en los primeros cinco minutos es la forma más rápida de perder a quien lo instala.

Historial: qué cambió

Cada auditoría se guarda y se compara con la anterior: «esto estaba bien y dejó de estarlo», con su fecha. Se ven las diferencias por comprobación y la evolución del número de problemas. Eso no lo hace ningún plugin gratuito del directorio.

Informes

El informe se descarga en JSON o como página HTML imprimible (imprimir a PDF desde el navegador). Incluye qué se ha encontrado, por qué importa, qué hacer y la fecha de cada dato.

Cómo se ve

Lo que no hace

• No es un cortafuegos ni un WAF, y no bloquea nada.
• No detecta malware ni ficheros modificados.
• No escanea puertos ni servicios desde fuera.
• No es una auditoría certificada ni sustituye a un pentest.
• No sabe si un plugin es seguro: solo si está mantenido.

Privacidad: no manda ningún dato a ningún sitio. Las únicas peticiones externas van a api.wordpress.org, una por plugin y tema instalado, para preguntar la fecha de la última actualización: la misma que ya hace WordPress al buscar actualizaciones.

Descargar

Faro Auditoría 0.1.0 (gratis, GPL)

Instálalo desde Plugins → Añadir nuevo → Subir plugin. También está en el directorio de WordPress.org.

Requisitos

• WordPress 6.5 o superior (probado hasta 7.1).
• PHP 8.1 o superior.
• Permisos de administrador para ver el panel.
• Nada más: ni cuenta, ni clave, ni conexión con farowp.com.