Datahorses
Notas prácticas sobre cómo vigilar una empresa desde fuera: autenticación del correo, dominios, certificados, DNS y los servicios que su empresa expone en internet. Un artículo nuevo cada 3 días.
El proyecto PHP corrigió 2 fallos críticos el 21 de octubre de 2026. Le explicamos qué versiones incluyen el parche, qué indica su servidor y qué preguntar a su proveedor de hosting.
Un proveedor de seguridad obtiene una visión profunda de su empresa y a veces acceso a ella. Estas son las preguntas y los documentos que conviene revisar antes de firmar nada.
3 registros DNS deciden si alguien puede enviar correos que parezcan venir de su dominio. Esto es lo que hace cada uno y cómo revisar los suyos en minutos.
Un mensaje que parece venir de su CEO pide un pago urgente y confidencial. Así funciona la suplantación de directivos y estas son las reglas sencillas que la desactivan.
Un cliente paga una factura que parece suya, pero a una cuenta bancaria que no lo es. Así se monta la estafa y esto es lo que la hace mucho más difícil.
NIS2 exige a las empresas de la UE gestionar la seguridad de sus proveedores directos. Si usted es uno de ellos, espere cuestionarios, cláusulas contractuales y peticiones de evidencias.
Una copia de su página de inicio de sesión en un dominio parecido puede recopilar las contraseñas de sus clientes. Así aparecen estas páginas, así se detectan pronto y así se consigue su retirada.
Todo certificado TLS de confianza para su dominio acaba en un registro abierto. Ese registro es un mapa de sus subdominios y un aviso temprano de certificados que usted nunca pidió.
EDR y XDR miran hacia dentro: equipos, inicios de sesión y procesos. La monitorización externa mira su empresa desde internet. Por qué le conviene tener ambas vistas.
Las bases de datos están hechas para hablar con su aplicación, no con todo internet. Así puede saber si la suya es accesible desde fuera y cómo cerrarla.
Desde febrero de 2024, Gmail y Yahoo esperan de los envíos masivos correo autenticado y alineado y bajas sencillas. Esto dicen las reglas y así puede revisar su propio dominio.
Unas pocas líneas en la respuesta del servidor indican al navegador que use HTTPS, bloquee el enmarcado y limite los scripts. Estas son las cabeceras que vale la pena enviar.
Un certificado caducado bloquea a los visitantes con un aviso del navegador a pantalla completa y puede romper APIs y correo. Las vigencias se acortan, así que la renovación debe funcionar siempre.
Los servidores de staging y de pruebas nacen para ser temporales y luego sobreviven en silencio al proyecto. Así puede encontrar los suyos y decidir qué conservar, proteger o apagar.
Un solo archivo olvidado en la raíz web puede entregar contraseñas de bases de datos y claves de API. Así quedan expuestos los archivos .env, .git y las copias de seguridad, y así puede revisar su sitio.
Si el correo a hotmail.com u outlook.com rebota con 550 5.7.515, Microsoft le indica que su dominio no cumple sus reglas de autenticación. Esto es lo que exige y cómo corregirlo.
Un subdominio que sigue apuntando a un servicio en la nube eliminado puede reclamarlo cualquiera que registre ese servicio. Así ocurre y así puede revisar su propio DNS.
Quien controla sus servidores de nombres controla adónde van su web y su correo. Así puede detectar pronto un cambio inesperado y así puede bloquear su dominio.
Cuando un dominio caduca, la web y el correo suelen ser lo primero que deja de funcionar, y más adelante el nombre puede perderse para siempre. Este es el calendario y así se evita.
Un dominio a una letra del suyo puede recibir el correo de sus clientes y alojar una copia de su página de acceso. Así se encuentran estos dominios y así se actúa contra ellos.
La vigilancia de la superficie de ataque externa muestra su empresa como la ve alguien de fuera: cada dominio, servidor y certificado en internet, revisado a diario en busca de cambios y errores.
Nuestro equipo se formó el 4 de diciembre de 2020 como equipo de élite de desarrolladores especializados en seguridad dentro de Functu. Hoy Datahorses es una empresa de seguridad independiente.