--- title: "Endurecimiento y seguridad · Polargate" description: "Endurecimiento de webs y aplicaciones que ya están en producción: cabeceras, política de contenido, HSTS, cookies, TLS, dependencias y aislamiento por inquilino…" url: https://polargate.ai/es/services/care/security-hardening locale: es publisher: POLARGATE S.L. --- - [Polargate](https://polargate.ai/es) - [Servicios](https://polargate.ai/es/services) - [Care](https://polargate.ai/es/services/care) - Endurecimiento y seguridad Care // Coger un sitio que ya está en producción y dejarlo con las defensas puestas, medido antes y después. # Endurecimiento y seguridad Endurecimiento de webs y aplicaciones que ya están en producción: cabeceras, política de contenido, HSTS, cookies, TLS, dependencias y aislamiento por inquilino, con una nota medida al empezar y otra al cerrar. Cada cifra del informe lleva el host sobre el que se midió, la fecha y la herramienta que la produjo. En corto Polargate endurece sitios y aplicaciones que ya están en producción. Medimos la postura de partida (cabeceras HTTP, SSL y TLS, reputación de dominio), cerramos lo que falta (cabeceras, HSTS, política de contenido, flags de cookies, huellas del servidor, la capa de aplicación y el aislamiento por inquilino en la base de datos) y volvemos a medir al cerrar. En un encargo la nota de cabeceras pasó de F a A+, medida sobre preproducción antes del cambio de DNS, mientras que el SSL ya estaba en A antes de tocar nada. Una nota es la foto de un host en una fecha, así que el informe dice siempre sobre qué host y cuándo. ## Qué es Cogemos una web o una aplicación que ya está en producción y le ponemos las defensas, con una medición antes y otra después. Te llevas una nota de partida, la lista de lo que falta, el trabajo hecho y una segunda medición al cerrar. Una web no necesita estar hackeada para suspender una revisión de seguridad. En un encargo el disparador no fue un incidente, fue comercial: el filtro DNS corporativo de uno de sus clientes rechazaba el dominio de nuestro cliente, y eso le impedía operar como proveedor. Entregamos en una semana el informe de seguridad, SSL y reputación con herramientas públicas de referencia. La web no estaba comprometida ni en listas negras. El TLS ya estaba bien antes de empezar: certificado válido, TLS 1.3, sin cifrados débiles, cadena válida, forward secrecy y una A en el test público de SSL. Lo que disparaba la clasificación automática de "postura de seguridad baja" eran otras tres cosas: cabeceras HTTP de seguridad ausentes, un certificado de respaldo caducado y no coincidente que exponía el alojamiento compartido, y las huellas del servidor a la vista (versión del intérprete, firma del panel y cabecera de tecnología). ## Sobre qué trabajamos ### El perímetro Las cabeceras son la defensa más barata que existe y lo primero que lee un filtro corporativo. Lo que faltaba al empezar aquel encargo: HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy. Lo que se servía de verdad al terminar: HSTS con includeSubdomains, política de contenido, nosniff, X-Frame-Options SAMEORIGIN, Referrer-Policy estricta, Permissions-Policy con las APIs sensibles del navegador desactivadas y cabecera de servidor sin versión. La nota de cabeceras pasó de F a A+, medida sobre preproducción antes del cambio de DNS. También leemos la versión de TLS y sus cifrados, la cadena de certificados, cualquier segundo certificado que el alojamiento exponga en la misma dirección y los flags de las cookies (Secure, HttpOnly, SameSite). ### La aplicación Ocultar las huellas del servidor, protección contra fuerza bruta en el acceso, cortafuegos de capa de aplicación con bloqueo automático de IP, apagar los endpoints de descubrimiento y los protocolos remotos heredados, e inventariar dependencias y extensiones anotando la versión de cada una. Los rastreadores de IA se dejan permitidos a propósito: endurecer no puede costarte la visibilidad en buscadores ni en los motores de respuesta. ### El aislamiento por inquilino Cuando una base de datos guarda datos de varios clientes, el aislamiento no es un ajuste, es una prueba. Seguridad a nivel de fila en cada tabla con columna de inquilino, y un guardián que descubre las tablas en vez de enumerarlas a mano, para que una tabla nueva no se quede fuera. En nuestra propia plataforma multiempresa ese guardián vigilaba 81 tablas con identificador de inquilino en agosto de 2026, se ejecuta en cada build de integración continua, y su prueba entre dos inquilinos reales no encontró lectura cruzada. En otra plataforma que endurecimos, los avisos del analizador de seguridad de la base de datos pasaron de 4 a 0 y las políticas de fila con problema de rendimiento, de 51 a 0. ## Mover el sitio cuando no hay otra vía En aquel encargo el único acceso disponible era el panel de administración del gestor de contenidos. Sin acceso al alojamiento, endurecer a nivel de servidor no era aplicable sobre la infraestructura original. El proveedor original recibió el listado de correcciones y respondió formalmente que quedaba fuera de su alcance, y se perdieron unos tres meses en esa negociación antes de que el cliente cambiara de proveedor. Calculamos que rehacer la web en código eran de tres a seis semanas, con el dominio bloqueado todo ese tiempo. Migrar el gestor a un alojamiento bajo control del cliente y endurecerlo allí era reversible y ponía las correcciones en vivo mucho antes, así que fue el camino elegido. La reconstrucción quedó como fase diferida. Lo que afirmamos termina donde termina nuestro trabajo. Si el filtro de aquel fabricante se levantó después es decisión suya, no tenemos ninguna medición de ello y no lo presentamos como resultado. El DNS se mueve con cadena de custodia: bajada del TTL con 24 a 48 horas de antelación, cambio del registro A y registros de correo (MX, SPF, DKIM y DMARC) intactos, para no romper el correo corporativo del dominio. ## Nada está hecho hasta que se comprueba en vivo Tras el cambio de DNS hicimos una auditoría de enlaces página a página sobre 24 páginas, 12 en cada idioma. Ahí apareció que el reemplazo masivo de URLs inicial había sido incompleto: quedaban referencias a preproducción en el pie global, en los CTA del maquetador, en los enlaces de consentimiento de los formularios, en varios PDF, en textos legales y en una fuente de iconos del tema que devolvía error. El reemplazo se había ejecutado en simulación y se había dado por hecho. Un cambio no está hecho hasta que lo confirma una petición real contra el sitio en vivo. ## Cuánto vale una nota Un A+ es la foto de un host en una fecha, no una propiedad del sistema. Lo mismo vale para una prueba de aislamiento limpia: es cierta como resultado de una comprobación fechada, no como garantía permanente. Por eso cada medición del informe lleva su host, su fecha y su herramienta, y el escaneo que cuenta es el del dominio en producción después del cambio, no el de preproducción. No prometemos una web segura. Prometemos carencias medibles, medidas, cerradas y vueltas a medir. ## Qué te llevas al cerrar Un informe de entrega en PDF con el antes y el después, la auditoría de enlaces y una garantía técnica de 30 días sobre el trabajo. Si en vez de una revisión puntual quieres mantener la postura, continúa como mantenimiento mensual. Qué recibes - Diagnóstico de partida medido: cabeceras HTTP, SSL y TLS, reputación de dominio, navegación segura y análisis multi motor, con la herramienta y la fecha de cada lectura - Cabeceras servidas de verdad, no solo configuradas: HSTS con includeSubdomains, política de contenido, nosniff, X-Frame-Options, Referrer-Policy estricta y Permissions-Policy con las APIs sensibles del navegador desactivadas - Revisión de la versión de TLS y sus cifrados, la cadena de certificados, cualquier certificado de respaldo que exponga el alojamiento y los flags de cookies (Secure, HttpOnly, SameSite) - Endurecimiento de la capa de aplicación: huellas del servidor ocultas, protección contra fuerza bruta en el acceso, cortafuegos de aplicación con bloqueo automático de IP y endpoints de descubrimiento apagados, dejando permitidos a propósito los rastreadores de IA - Inventario de dependencias y extensiones con la versión de cada una anotada - Aislamiento por inquilino cuando la base de datos guarda varios clientes: seguridad a nivel de fila en cada tabla con columna de inquilino y un guardián que descubre las tablas en vez de enumerarlas, ejecutándose en integración continua - Cambio de alojamiento o de DNS con cadena de custodia cuando no hay otra vía, con los registros de correo intactos, y auditoría de enlaces página a página contra el sitio en vivo - Informe de entrega con la nota antes y después, el host y la fecha de cada medición, y garantía técnica de 30 días Formato Plazos El diagnóstico llega en una semana desde que tenemos acceso. En un sitio pequeño el endurecimiento en sí ha llevado unas doce horas efectivas, repartidas en dos sesiones intensivas más una de auditoría, y cuatro días desde la adjudicación hasta el cierre técnico. Si hay que mover el alojamiento, súmale la bajada del TTL con 24 a 48 horas de antelación y la auditoría de enlaces página a página después del cambio. Un aviso por experiencia: ese mismo proyecto duró cuatro meses de punta a punta, y unos tres se fueron en negociar las correcciones con el proveedor anterior antes de que el cliente cambiara. Equipo Somos dos, y ninguno es comercial. Pedro Ciordia, fundador y CTO de Polargate, hace el diagnóstico, el endurecimiento y la verificación él mismo, y suma especialistas de la red del estudio cuando el trabajo lo pide. Quien mide tu sitio al empezar es quien lo vuelve a medir al cerrar. Coste Precio cerrado por encargo, presupuestado tras el diagnóstico y repartido en tres fases: diagnóstico, endurecimiento, y cierre con la auditoría de enlaces y el informe. Mantener la postura después va como cuota mensual. Esto no se vende por horas. Stack - Vercel - Supabase ## Pruebas Elite Smart Build ### Una plataforma interna a medida para Elite Smart Build Elite Smart Build, constructora española especializada en reformas hoteleras que trabaja en más de veinte países, llevaba cada obra con hojas de cálculo y correo. Polargate lo sustituyó por once módulos sobre Supabase y React: Gantt diario, márgenes enmascarados por rol, avisos por departamento y recepción de material con incidencias automáticas. 2026 Ver el caso [Una plataforma interna a medida para Elite Smart Build](https://polargate.ai/es/work/hotel-refurbishment-operating-system) FAQ ## Preguntas, respondidas ¿Podéis asegurar una web que ya está en producción sin rehacerla? Normalmente sí, y rehacerla suele ser la respuesta más lenta. En un encargo calculamos que rehacer la web en código eran de tres a seis semanas, con el dominio bloqueado por un filtro DNS corporativo todo ese tiempo, mientras que migrar el gestor de contenidos a un alojamiento bajo control del cliente y endurecerlo allí era reversible y ponía las correcciones en vivo mucho antes. Solo rehacemos cuando el problema es la propia plataforma, y en ese caso entra como fase posterior aparte, no como peaje para poner bien las cabeceras. ¿Por qué un filtro corporativo bloquea mi dominio si mi web no está infectada? Porque esos filtros puntúan configuración, no solo infección. En el encargo que contamos en esta página el diagnóstico fue claro: la web no estaba comprometida ni en listas negras, y su SSL ya sacaba una A antes de tocar nada. Lo que disparaba la clasificación automática de "postura de seguridad baja" eran tres cosas: cabeceras HTTP de seguridad ausentes por completo, un certificado de respaldo caducado y no coincidente expuesto por el alojamiento compartido, y las huellas del servidor a la vista. La nota de cabeceras en ese momento era F. Eso es un problema de configuración, y la configuración se arregla en días. INITIATE ## Arranca el motor Cuéntanos qué estás construyendo en unas pocas preguntas cortas. Un ingeniero senior responde por escrito en 48 horas laborables con una primera lectura de alcance, plazos y precio. [Empieza tu proyecto](https://polargate.ai/es/start) · [Habla con nosotros](https://polargate.ai/es/start#static-brief-heading)