Subdominios y claves expuestas: lo que su web revela al exterior

El análisis de exposición muestra lo que cualquiera sabe de su web y su dominio por fuentes públicas: cuántos subdominios y de qué tipo revelan los registros de certificados, registros DNS hacia servicios dados de baja, claves secretas en el código y dominios con una errata en su nombre. WebMeter lo comprueba gratis y de forma pasiva, sin forzar nada.

Actualizado 28/10/2026

Qué significa la exposición de una web

Registros de Certificate Transparency (CT)

Todo certificado HTTPS de confianza pública se anota en registros públicos. Chrome lo exige para los certificados emitidos después del 30 de abril de 2018. En el registro figura también el nombre del subdominio, por ejemplo test., db. o vpn., y cualquiera puede leerlo.

Registros DNS huérfanos y toma de subdominio

Un registro DNS huérfano es un alias (CNAME) o una delegación de subdominio hacia un servicio o dominio que ya no existe. Quien vuelva a crear el servicio se queda con su subdominio (toma de subdominio, en inglés subdomain takeover) y publica contenido propio en su dirección, incluso con HTTPS válido. Evitarlo es sencillo: borrar el registro DNS el mismo día que el servicio. Caducidad, DNSSEC y servidores de nombres los revisa la comprobación de dominio y DNS.

Código de la web

El HTML y el JavaScript los descarga cada visitante. Lo que acabe en ellos, por ejemplo una clave de un servicio de pago, es público. Los scripts externos los trata la guía sobre terceros en su web.

Por qué la exposición web importa a una pyme

Los robots automáticos leen estas fuentes de forma continua y buscan objetivos fáciles, como una versión de prueba olvidada. No es un ataque dirigido a su empresa, sino un rastreo masivo de internet.

Si las normas de ciberseguridad NIS2 afectan a su empresa y qué suponen para la web lo explica otra guía.

Problemas habituales de exposición web

Hallazgos habituales, riesgos y solución
Hallazgo	Riesgo	Solución
Versión de prueba o antigua olvidada en un subdominio	Los robots la hallan en los registros de certificados; a menudo sin actualizar.	Apagarla o restringir el acceso.
Administración de bases de datos, escritorio remoto o sistema interno accesible desde internet	Atrae intentos automáticos de acceso.	Llevarlo tras una VPN o un cortafuegos.
Tienda online o servicio en la nube dado de baja con su CNAME aún en el DNS	Toma de subdominio: contenido ajeno en su dirección.	Borrar el registro; al dar de baja un servicio, limpiar el DNS.
Clave de pago, correo o IA en el JavaScript de la web	Cualquiera puede usarla a su costa, para pagos o correos.	Revocarla, emitir otra y guardarla solo en el servidor.
Clave de la API de Google para mapas sin restricción de dominio	Otra web puede usarla a su costa.	Restringirla a su dominio y a las API necesarias.
Dominio con una errata en su nombre y servidor de correo	Facturas y correos falsos que parecen suyos.	Valorar registrar las variantes principales; avisar al registrador si es fraudulento.

La solución suele encargarse a quien gestiona su web, alojamiento o DNS.

Subdominios y claves expuestas: qué comprobamos

La comprobación es pasiva: WebMeter lee fuentes públicas y lo que la propia web envía a cada visitante. No intenta forzar nada.

Subdominios de los registros CT (crt.sh y, como respaldo, Cert Spotter), solo de certificados válidos. Según el nombre los clasifica por tipos, como base de datos, administración remota, administración interna, ERP, correo, desarrollo y pruebas. Para un máximo de 25 nombres verifica en el DNS que siguen existiendo. La clasificación se basa solo en el nombre y no confirma que el servicio sea accesible desde internet. El informe público muestra solo recuentos por tipo, no los nombres completos.
Registros huérfanos: un alias (CNAME) hacia un destino que no existe en el DNS y un subdominio delegado en un servidor de nombres de un dominio inexistente. Solo los indica ante una respuesta DNS segura.
Claves secretas en el HTML de la página de inicio y en un máximo de 8 archivos JavaScript de su dominio. Busca solo claves con un formato fijo del proveedor (por ejemplo Stripe, AWS, GitHub, Slack, OpenAI o una clave privada). Nunca usa ni guarda una clave; el informe muestra solo su comienzo enmascarado.
Dominios similares: hasta 40 variantes (otra extensión, errata, carácter de aspecto parecido), solo con consultas DNS. No cuenta los dominios con los mismos servidores de nombres o la misma dirección que el suyo.

WebMeter no es una prueba de penetración ni un escáner de vulnerabilidades: no prueba contraseñas ni fallos conocidos, no rellena formularios y no escanea puertos. Las comprobaciones lanzadas desde webmeter.eu no prueban direcciones de administración ni buscan en el servidor archivos como .git o .env. No se conecta a los subdominios ni a los dominios similares, así que no ve qué funciona en ellos. Las versiones obsoletas del gestor de contenidos y de PHP las valora la comprobación de CMS, WordPress y PHP.

Cómo se ve el resultado lo muestra el informe de ejemplo, en el área Exposición.

Compruebe la exposición de su web gratis

Introduzca un dominio y vea qué revelan las fuentes públicas sobre su web, junto con las demás áreas.

Medir la web →

¿No sabe qué hacer con el resultado? Ofrecemos una consulta sin compromiso: basta con escribir a kontakt@webmeter.eu.

Diseño web que no revela más de lo necesario

Una web antigua suele dejar atrás subdominios de prueba, registros DNS olvidados y claves en el código de las páginas. Construimos una web nueva desde cero sin ellos, con la seguridad del correo y del dominio configurada. Antes de la entrega la pasamos por la misma comprobación que aquí.

Cómo es el diseño web → Caso práctico: de 73 a 97 puntos →

Preguntas frecuentes sobre la exposición de su web

¿Es un análisis de vulnerabilidades o una prueba de penetración?

No. WebMeter solo lee de forma pasiva lo que es públicamente accesible sobre la web y no intenta forzar nada. Una prueba de penetración la realiza un especialista con el consentimiento del titular y prueba activamente qué se puede aprovechar. Por eso, el resultado de WebMeter no significa que la web no tenga vulnerabilidades.

¿Cómo encontrar todos los subdominios de mi dominio?

La lista completa está en la configuración de la zona DNS de quien gestiona su dominio. Los subdominios con certificado HTTPS público figuran además en los registros públicos de Certificate Transparency, que cualquiera puede leer. De ahí los conoce también WebMeter, que verifica en el DNS cuáles siguen existiendo. El informe público muestra solo recuentos por tipo.

¿Guarda WebMeter las claves secretas que encuentra?

No. El valor completo solo está en memoria un momento durante la comprobación. El informe indica el tipo de clave y su comienzo enmascarado, y la clave nunca se prueba. Considere expuesta una clave encontrada, porque cualquiera podía leerla en el código de la página: hay que revocarla en el proveedor y sustituirla por una nueva.

¿Puede alguien enviar correos fraudulentos desde un dominio parecido al mío?

Sí. Cualquiera puede registrar un dominio con una errata u otra extensión y configurar en él un servidor de correo. WebMeter revisa hasta 40 variantes y señala las que probablemente no son suyas, también si tienen servidor de correo. A menudo, eso sí, las tiene legítimamente otra empresa. La comprobación de SPF, DKIM y DMARC verifica los registros que protegen su propio dominio de la suplantación.

Otras áreas revisadas

Cómo trata la comprobación su web se explica en la página sobre el robot WebMeterBot; qué se guarda y durante cuánto tiempo, en la política de tratamiento de datos.