Área: Web y certificados

Cloudflare

Con vuestra zona de Cloudflare conectada (solo lectura): cifrado hasta el origen, HTTPS forzado, TLS mínimo, DNSSEC, nivel de seguridad y registros sin proxy.

Qué puede encontrar

Abre cada uno para ver qué significa y cómo arreglarlo.

SSL de Cloudflare en off o flexible

Qué significa

El modo SSL de Cloudflare está en off o flexible: los visitantes ven HTTPS, pero el tramo de Cloudflare a vuestro servidor no va cifrado (o no hay TLS).

Qué te podría pasar

Quien esté en la ruta entre Cloudflare y vuestro origen puede leer o cambiar el tráfico: contraseñas, cookies y datos de formularios incluidos.

Cómo lo aprovecharía un atacante

Un atacante en la misma red que vuestro alojamiento lee las cookies de sesión entre Cloudflare y el servidor y las reutiliza para entrar al escritorio.

Cómo arreglarlo

Instalad un certificado válido en el origen (Let's Encrypt basta).
En el panel de Cloudflare, id a SSL/TLS y poned el modo en Completo (estricto).
Comprobad que la web sigue cargando por HTTPS tras el cambio.

Cómo comprobar que está arreglado

Ward lee el ajuste SSL en cada análisis. El hallazgo desaparece cuando el modo es Completo o Completo (estricto).

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

HTTPS no forzado en Cloudflare

Qué significa

Always Use HTTPS está apagado: los visitantes pueden seguir abriendo la web por HTTP plano.

Qué te podría pasar

Quien caiga en http:// puede ser espiado o redirigido antes de que Cloudflare lo pase a HTTPS. Los marcadores y enlaces viejos suelen seguir en HTTP.

Cómo lo aprovecharía un atacante

Un visitante sigue un enlace antiguo sin cifrar. En un Wi-Fi abierto, un atacante inyecta una página de acceso falsa antes de que el navegador llegue al HTTPS.

Cómo arreglarlo

En el panel de Cloudflare, id a SSL/TLS → Certificados perimetrales.
Activad Always Use HTTPS.
Si queréis, activad también Automatic HTTPS Rewrites para el contenido mixto de la página.

Cómo comprobar que está arreglado

Ward lee el ajuste Always Use HTTPS en cada análisis. El hallazgo desaparece cuando está activado.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

TLS mínimo de Cloudflare demasiado bajo

Qué significa

Cloudflare aún acepta versiones de TLS por debajo de 1.2. Esas versiones están obsoletas y son débiles.

Qué te podría pasar

Un atacante que pueda influir en la conexión puede forzar una versión antigua y debilitar o romper el cifrado.

Cómo lo aprovecharía un atacante

En una red que controla, el atacante baja el saludo a TLS 1.0 e intenta ataques conocidos contra esa versión.

Cómo arreglarlo

En el panel de Cloudflare, id a SSL/TLS → Certificados perimetrales.
Poned la versión mínima de TLS en 1.2 o 1.3.
Comprobad que clientes críticos (terminals de pago viejos, etc.) siguen funcionando; casi todos los navegadores modernos van bien.

Cómo comprobar que está arreglado

Ward lee la versión mínima de TLS en cada análisis. El hallazgo desaparece cuando es 1.2 o superior.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

IP de origen expuesta sin proxy de Cloudflare

Qué significa

Los registros DNS del dominio o de www apuntan al servidor sin el proxy de Cloudflare (nube gris). La IP real es pública.

Qué te podría pasar

Los atacantes pueden golpear vuestro origen directamente y saltarse el cortafuegos, la protección DDoS y los filtros de bots de Cloudflare.

Cómo lo aprovecharía un atacante

Consultan el registro A, atacan la IP de origen con una inundación o un exploit, y vuestras reglas de Cloudflare no ven el tráfico.

Cómo arreglarlo

En el panel de Cloudflare, id a DNS.
Activad el proxy (nube naranja) en los registros A, AAAA y CNAME del dominio y de www.
Si el alojamiento lo permite, restringid el cortafuegos del origen a los rangos de IP de Cloudflare.

Cómo comprobar que está arreglado

Ward lista los registros sin proxy en cada análisis. El hallazgo desaparece cuando el apex y www van con proxy.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

DNSSEC desactivado en Cloudflare

Qué significa

DNSSEC no está activado en esta zona de Cloudflare. Los resolutores no pueden comprobar que las respuestas DNS vienen de verdad de vosotros.

Qué te podría pasar

Sin DNSSEC, un resolutor o una ruta envenenados pueden mandar a los visitantes a una IP falsa mientras el nombre de dominio parece correcto.

Cómo lo aprovecharía un atacante

En una ruta de red comprometida, respuestas DNS falsas envían a vuestros clientes a una web de phishing que parece la vuestra.

Cómo arreglarlo

En el panel de Cloudflare, id a DNS → Ajustes.
Activad DNSSEC.
Si Cloudflare muestra un registro DS, añadidlo en el registrador del dominio.

Cómo comprobar que está arreglado

Ward lee el estado de DNSSEC en cada análisis. El hallazgo desaparece cuando DNSSEC está activo (o pendiente mientras propaga el DS).

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.

Nivel de seguridad de Cloudflare demasiado bajo

Qué significa

El nivel de seguridad de Cloudflare está en essentially off o low: casi ningún visitante recibe un reto.

Qué te podría pasar

Los ataques automáticos obvios y los rastreadores encuentran poco roce. Subir el nivel ayuda sin bloquear a la gente normal.

Cómo lo aprovecharía un atacante

Una botnet barata machaca los accesos y formularios; con el nivel bajo, Cloudflare casi nunca presenta un reto.

Cómo arreglarlo

En el panel de Cloudflare, id a Seguridad → Ajustes.
Poned el nivel de seguridad en Medio (o Alto si estáis bajo ataque).
Mirad un día los eventos del cortafuegos por si alguna integración legítima recibe un reto.

Cómo comprobar que está arreglado

Ward lee el nivel de seguridad en cada análisis. El hallazgo desaparece cuando es medio o superior.

Quién suele arreglarlo

Tu informático

Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.