Seguridad

Configuración > Seguridad comprueba si tu sitio web tiene problemas de seguridad y te ayuda a corregirlos. Ejecuta tres análisis: el análisis de paquetes, el análisis de código y la revisión de seguridad de la IA. Cuando hay problemas críticos, aparece un contador rojo junto a Seguridad en la barra lateral de Configuración.

En la parte superior, una línea indica cuántos problemas hay por corregir y cuándo se comprobó tu sitio web por última vez. Haz clic en Comprobar ahora para volver a comprobarlo. Debajo encontrarás:

• Revisión de la IA: la revisión más profunda que hace la IA en el chat. Haz clic en Iniciar revisión. Usa créditos.
• Comprobaciones automáticas: los análisis gratuitos de paquetes y código, con la fecha de su última ejecución.
• Problemas en tu código: lo que encontró el análisis de código, empezando por lo más grave.
• Paquetes: cada paquete con un problema conocido, la versión instalada, la versión que lo corrige y la versión en tu sitio web publicado. Descargar lista guarda la lista como archivo.
• Actualizaciones de seguridad automáticas, Avisarme por correo de problemas críticos y Bloquear la publicación mientras haya un problema crítico abierto.

Análisis de paquetes

Tu sitio web está creado con paquetes de código abierto, como el framework que utiliza. El análisis de paquetes compara cada paquete que usa tu sitio web con la base de datos de avisos de npm sobre problemas de seguridad conocidos.

Se ejecuta automáticamente:

• Todos los días, para los sitios web activos y publicados
• Después de que la IA termine de crear
• Cada vez que publicas, para reflejar lo que está en línea

Análisis de código

El análisis de código es gratuito y se ejecuta cada vez que publicas. También puedes ejecutarlo en cualquier momento desde la pestaña Seguridad. Busca los errores que más suelen exponer los datos de un sitio web:

• Claves secretas en el código del navegador. Cualquier persona que abra tu sitio web puede leer todo lo que carga el navegador.
• Valores secretos en nombres públicos. Los secretos cuyos nombres empiezan con NEXT_PUBLIC_ llegan al navegador. Guarda las claves privadas en nombres sin ese prefijo. Consulta Valores públicos.
• Claves de servicio en el código del navegador. Una clave de servicio omite las reglas de acceso de tu base de datos, por lo que solo debe estar en el código del servidor.
• Tablas sin seguridad a nivel de fila. Sin ella, cualquiera podría leer o modificar las filas de esa tabla.
• Rutas de tareas sin protección. Tareas programadas cuyas rutas puede llamar cualquiera, no solo el programador de tareas.
• Renderizado de HTML no seguro. Mostrar HTML sin procesar puede permitir que alguien ejecute sus propios scripts en tus páginas.
• Configuración de imágenes riesgosa. Opciones de imágenes que permiten más acceso del que necesita tu sitio web.

Revisión de seguridad de la IA

La revisión de seguridad de la IA se ejecuta en el chat cuando la inicias con Iniciar revisión y usa créditos como cualquier mensaje. La IA lee todo el código de tu sitio web y las reglas de acceso de tu base de datos, si hay una conectada, y busca problemas específicos del funcionamiento de tu sitio web:

• Quién puede leer o modificar cada cosa
• Páginas y acciones que deberían comprobar si alguien inició sesión
• Pagos
• Inyección, cuando algo que escribe un visitante se trata como código o como una consulta a la base de datos
• Datos que se muestran a personas que no deberían verlos

Enumera lo que encuentra, empezando por lo más grave, y pregunta antes de cambiar algo. Los resultados quedan en el chat.

Cómo leer los resultados

Cada resultado muestra qué está mal, dónde está y su gravedad: crítica, alta, moderada o baja. Los resultados se ordenan de mayor a menor gravedad, así que empieza por arriba.

Los resultados de paquetes indican el nombre del paquete, las versiones afectadas y el aviso, que puedes abrir para leerlo completo. Los resultados del análisis de código indican el archivo y la línea, y Corregir con IA realiza el cambio. Corregir todo con IA corrige todos los problemas de tu código de una sola vez.

Para dejar un problema de lado, haz clic en Descartar y elige el motivo: Es intencionado en este sitio web, Acepto el riesgo, Es incorrecto o Hasta que haya una corrección disponible, con una nota opcional. Los problemas descartados salen de la lista; Mostrar descartados permite verlos de nuevo y Restaurar devuelve uno a la lista.

Ningún análisis detecta todos los riesgos. Un informe sin problemas significa que estas comprobaciones no encontraron ninguno, no que tu sitio web no pueda tenerlos. Prueba todo lo que gestione inicios de sesión, pagos o datos de tus usuarios antes de confiar en ello.

Cómo corregir los problemas

• Actualizaciones de paquetes. Cuando haya una versión corregida de un paquete, haz clic en Actualizar para aplicarla a tu borrador y luego publica para ponerla en línea. Las correcciones dentro de la misma versión principal no cambian el funcionamiento de tu sitio web.
• Corregir con IA. Haz clic en Corregir con IA en un resultado y la IA aplicará la corrección sugerida. El cambio se guarda en el historial de versiones, para que puedas deshacerlo.

Los problemas que requieren algo más que actualizar la versión, como una nueva versión principal o un cambio en tu código, nunca se corrigen automáticamente. Se señalan con una opción para corregirlos con un clic, para que tú decidas cuándo hacerlo.

Actualizaciones de seguridad automáticas

Cuando un paquete que usa tu sitio web tiene una vulnerabilidad crítica y la corrección está en la misma versión principal, WebTwizz actualiza tu sitio web publicado por ti:

1. Solo cambian las versiones de los paquetes. El código propio de tu sitio web nunca se modifica.
2. WebTwizz vuelve a compilar la versión publicada de tu sitio web. Los borradores sin terminar nunca se publican.
3. Si la compilación falla, tu versión actual sigue en línea.
4. Se guarda un punto de restauración en el historial de versiones. Para deshacer la actualización, restaura la versión anterior.
5. Si tu proyecto se sincroniza con GitHub, la actualización se envía allí como un commit.
6. Recibes un correo que explica qué cambió.

WebTwizz también vuelve a compilar los sitios web publicados cuando Node.js, que los ejecuta, recibe una corrección de seguridad. Nada en tu sitio web cambia y la actualización aparece en Nos encargamos por ti.

Las actualizaciones automáticas están activadas de forma predeterminada para los sitios web nuevos. Los sitios web creados antes de que existieran las actualizaciones automáticas las tienen desactivadas. Para cambiar esta opción en un sitio web, abre Configuración > Seguridad y activa o desactiva Actualizaciones de seguridad automáticas. Si un problema se está explotando activamente, WebTwizz puede aplicar la actualización de todos modos y puede dejar el sitio web fuera de línea hasta que se corrija.

Alertas por correo

• Problemas críticos. Cuando un sitio web publicado tiene un nuevo problema crítico, recibes un correo en la dirección de tu cuenta. Esta opción está activada de forma predeterminada. Para dejar de recibir estos correos, desactiva Avisarme por correo de problemas críticos en Configuración > Seguridad.
• Problemas de gravedad alta. Se incluyen en un correo semanal.

Comprobaciones al publicar

Cada publicación ejecuta el análisis de paquetes y el análisis de código. Los problemas críticos abiertos aparecen en la fila Seguridad del panel de publicación.

Para asegurarte de que un sitio web nunca se publique con un problema crítico conocido, activa Bloquear la publicación mientras haya un problema crítico abierto en Configuración > Seguridad. La publicación esperará hasta que cada problema crítico se corrija o se descarte. Esta opción está desactivada de forma predeterminada.

De qué se encarga WebTwizz

Todo esto se mantiene seguro y actualizado por ti, sin que tengas que configurar nada:

• La base inicial y las plantillas. La base con la que se crea cada sitio web nuevo y todas las plantillas de la galería.
• Tu vista previa. La vista previa de cada sitio web se ejecuta en su propia máquina virtual aislada.
• Alojamiento. Sitios web en direcciones de webtwizz.app y en sus propios dominios, con HTTPS.
• Secretos. Se almacenan cifrados. Solo los ingresas en WebTwizz, nunca en un chat con un asistente de IA. Consulta Secretos.
• Sitios web privados y protegidos con contraseña. El acceso se comprueba antes de que cargue el sitio web. Consulta Visibilidad.

Cómo informar de un problema de seguridad

Si encuentras un problema de seguridad en WebTwizz o en un sitio web alojado en la plataforma, escribe a security@webtwizz.com. Consulta webtwizz.com/security para saber qué incluir y ver los avisos anteriores.