La web es solo el punto de partida
La superficie de ataque externa de una empresa incluye sus sitios web, portales y otros servicios accesibles públicamente. Después de migrar un sitio, pueden seguir existiendo antiguas direcciones de campañas o portales de pruebas. Un inventario permite saber qué servicios se necesitan y quién decide si deben mantenerse.
Los dominios y los certificados digitales también forman parte del inventario. El NCSC británico recomienda mantener los registros actualizados y contrastarlos con varias fuentes. Para una empresa con pocos servicios puede bastar una lista revisada periódicamente. [1]
Descubrir un elemento no demuestra una vulnerabilidad
Un subdominio descubierto es, inicialmente, un elemento que debe aclararse. La dirección puede corresponder a un servicio necesario, una redirección o una referencia antigua. Para evaluarla hacen falta una atribución coherente, fechas de observación y evidencias técnicas concretas. El número de direcciones encontradas dice poco sobre las medidas necesarias.
Separe las observaciones de las decisiones. «Dirección encontrada en una fuente pública» describe la evidencia. «El proveedor confirma que el servicio está vinculado a nuestra cuenta» documenta la atribución. «El responsable debe decidir si se retira» establece el siguiente paso. Ninguna de estas afirmaciones demuestra, por sí sola, una vulnerabilidad explotable.
Un registro que permita actuar
Para una organización pequeña proponemos una breve lista de trabajo. Empiece por los servicios conocidos y añada los descubrimientos pendientes de aclaración. Una persona de la empresa coordina las respuestas, que pueden proceder de la agencia, del soporte informático o del proveedor del servicio.
Anote al menos los siguientes datos para cada entrada. Si falta una respuesta, asigne la consulta y una fecha límite. «Desconocido» resulta más útil que una suposición que después acaba tratándose como un hecho confirmado.
- Sistema: dirección exacta, servicio asociado y finalidad empresarial.
- Responsable: persona de la empresa que decide sobre su uso y sus cambios.
- Proveedor: empresa, referencia de la cuenta de cliente y contacto responsable; sin contraseñas.
- Evidencia: fuente, fecha y qué se ha observado o confirmado realmente.
- Siguiente paso: mantener, aclarar o autorizar la retirada, con una fecha límite.
- Cierre: quién verificó el cambio y dónde consta la confirmación.
Cancelar un contrato no elimina los registros DNS
El DNS es el directorio que relaciona los nombres con sus destinos técnicos. Al cambiar de proveedor, pida que se identifiquen expresamente los registros vinculados a la solución anterior. La cancelación del contrato no responde a esa pregunta técnica.
Microsoft describe un riesgo concreto en Azure: si el DNS sigue apuntando a un recurso eliminado, en determinadas condiciones puede producirse una toma de control del subdominio. Revise conjuntamente la referencia DNS y su destino; una referencia antigua no confirma una toma de control. [3]
Qué permite comprobar la perspectiva externa
Un análisis externo puede ordenar los servicios observables y los indicios de problemas de configuración. La información pública existente y las consultas directas de bajo impacto mediante DNS, TLS o HTTP deben distinguirse tanto en el encargo como en los resultados. «Externo» no significa automáticamente «totalmente pasivo».
El alcance de nivel 1 aquí descrito aporta una base documentada sin iniciar sesión en las aplicaciones. Comprobar la separación de roles o los permisos después del inicio de sesión requiere una evaluación acordada por separado y cuentas de prueba adecuadas.
El NCSC también distingue la observación de recursos accesibles desde Internet del examen de riesgos internos. Lo que puede verse desde fuera determina qué preguntas permite responder esa perspectiva. [2]
Cerrar la tarea y volver al registro
Para la próxima revisión proponemos tres tareas concretas: aclarar responsabilidades, someter los servicios sin uso a una decisión y dar seguimiento a los cambios acordados. Revise también la lista después de cambiar de agencia, lanzar campañas o terminar proyectos.
Al retirar activos, el NCSC recomienda considerar previamente las dependencias, verificar el resultado y conservar evidencias. Solicite la confirmación de que el trabajo técnico ha terminado y actualice después la entrada. [4]
Lecturas relacionadas
Fuentes y lecturas
Publicado el:
Fuentes primarias verificadas el 29.09.2026.
Las fuentes y los límites se indican en el artículo.