Seguridad

Análisis de seguridad

Cada sitio web cuenta con tres análisis. Los encontrarás en el editor, en Configuración > Seguridad.

Análisis de paquetes

Tu sitio web está creado con paquetes de código abierto, como el framework en el que se ejecuta. El análisis de paquetes comprueba cada paquete que usa tu sitio web en la base de datos de avisos de npm sobre problemas de seguridad conocidos. Se ejecuta todos los días en sitios web activos y publicados, después de que la IA termine de crear y cada vez que publicas, para reflejar lo que está realmente en línea.

Análisis de código

El análisis de código es automático y gratuito. Se ejecuta cada vez que publicas y cuando lo inicias. Busca los errores que más suelen dejar expuestos los datos de un sitio web:

• Claves secretas en código visible para los navegadores
• Valores secretos en variables de entorno públicas (con nombres que empiezan por NEXT_PUBLIC_), que cualquiera que abra tu sitio web puede leer
• Claves de servicio, que omiten las reglas de acceso de tu base de datos, usadas en el código del navegador
• Tablas de bases de datos sin seguridad a nivel de fila, que cualquiera podría leer o modificar
• Rutas de tareas programadas que cualquiera puede invocar
• Renderizado de HTML no seguro, que puede permitir que alguien ejecute sus propios scripts en tus páginas
• Configuraciones de imágenes con más permisos de los necesarios

Revisión de seguridad con IA

La revisión de seguridad con IA se ejecuta en el chat cuando la solicitas y consume créditos como cualquier mensaje. Una IA lee todo el código de tu sitio web y busca problemas específicos de su funcionamiento:

• Quién puede leer o cambiar cada cosa
• Páginas y acciones que deben comprobar que la persona haya iniciado sesión
• Pagos
• Inyección, cuando lo que introduce un visitante se interpreta como código o como una consulta a la base de datos
• Datos visibles para personas que no deberían verlos

Cada problema detectado incluye una explicación clara y una solución sugerida. Corregir con IA aplica una solución.

Gravedad

Cada problema detectado se clasifica como crítico, alto, moderado o bajo. Empieza por los críticos y altos.

Lo que los análisis no pueden hacer

Ningún análisis detecta todos los riesgos. Un informe sin problemas significa que ninguna de estas comprobaciones encontró uno, no que tu sitio web no tenga ninguno. Prueba todo lo que gestione inicios de sesión, pagos o datos de tus usuarios antes de confiar en ello.

Actualizaciones de seguridad automáticas

Cuando un paquete que usa tu sitio web tiene una vulnerabilidad crítica y la corrección está en la misma versión principal, WebTwizz actualiza tu sitio web por ti:

• Solo cambian las versiones de los paquetes. El código de tu sitio web nunca se modifica.
• Volvemos a generar la versión publicada de tu sitio. Los borradores sin terminar nunca se publican.
• Si falla la recompilación, tu versión actual sigue publicada.
• Se guarda un punto de restauración en tu historial de versiones.
• Si tu proyecto se sincroniza con GitHub, la actualización se envía allí como un commit.
• Recibes un correo que explica qué cambió.

Las actualizaciones automáticas están activadas de forma predeterminada para los sitios nuevos. Los sitios creados antes de que existieran las actualizaciones automáticas las tienen desactivadas. Puedes activarlas o desactivarlas para cualquier sitio en Configuración > Seguridad. Si se está explotando una vulnerabilidad, podemos aplicar la actualización de todos modos y suspender el sitio hasta que se solucione. Consulta nuestros Términos del servicio.

Algunos problemas requieren más que una actualización menor, como una nueva versión principal o un cambio en tu código. Nunca aplicamos esos cambios por nuestra cuenta. Te los señalamos con una solución que puedes aplicar con un clic.

Alertas por correo electrónico

• Problemas críticos: cuando un sitio web publicado tiene un nuevo problema crítico, su propietario recibe un correo electrónico. Esta opción está activada de forma predeterminada y puedes desactivarla en Configuración > Seguridad.
• Problemas de gravedad alta: se reúnen en un resumen semanal.

Comprobaciones de publicación

Cada vez que publicas, se ejecutan los análisis de paquetes y de código, y los resultados aparecen en la ventana de publicación.

Si prefieres no publicar mientras haya un problema crítico sin resolver, puedes bloquear la publicación hasta que se corrija. Esta opción está desactivada de forma predeterminada y puedes activarla en Configuración > Seguridad.

De qué se encarga WebTwizz

No necesitas hacer nada con estos elementos. Los mantenemos seguros y actualizados:

• La base inicial y las plantillas: la base a partir de la que se crea cada sitio web nuevo y todas las plantillas de la galería
• Entornos de vista previa: la vista previa de cada sitio web se ejecuta en su propia máquina virtual aislada
• Alojamiento: alojamiento de WebTwizz para sitios web con direcciones webtwizz.app y con dominios propios
• Secretos: las claves de API y otros valores secretos se almacenan cifrados. Solo los introduces en WebTwizz, nunca en un chat con un asistente de IA
• Sitios web privados y protegidos con contraseña: el acceso se verifica antes de que cargue el sitio web

Tiempos de respuesta

Cuando un paquete que proporciona WebTwizz tiene un problema de seguridad conocido, lo corregimos en estos plazos:

• Críticos: 72 horas
• Gravedad alta: 14 días

Cómo reportar una vulnerabilidad

Si encuentras un problema de seguridad, escribe a security@webtwizz.com. Te responderemos y te mantendremos al tanto mientras lo corregimos.

Qué incluir

• Qué encontraste y dónde: la dirección, la página o la función
• Los pasos para reproducirlo
• Qué podría hacer alguien con esto
• Cómo contactarte si tenemos preguntas

Alcance

La plataforma WebTwizz, incluidos webtwizz.com, el editor y el panel de control, y los sitios alojados en WebTwizz, en direcciones de webtwizz.app o en sus propios dominios.

Protección legal

Si investigas de buena fe y sigues las indicaciones de esta página, no tomaremos medidas legales contra ti y consideraremos tu investigación autorizada. Por favor:

• No accedas a los datos de otras personas, ni los cambies ni los elimines. Si accedes a datos ajenos por accidente, detente, no guardes ninguna copia y avísanos
• Haz pruebas solo con cuentas y sitios web que te pertenezcan o que tengas permiso para probar
• No ejecutes pruebas que ralenticen o dejen fuera de servicio a WebTwizz o a los sitios web que aloja
• Danos un plazo razonable para corregir un problema antes de compartirlo públicamente

Avisos

Actualizaciones de seguridad que afectaron o pudieron afectar a sitios web en WebTwizz y qué hicimos al respecto.

Octubre de 2026: actualización de seguridad de Next.js

• De qué se trataba: correcciones para tres vulnerabilidades en Next.js, dos críticas y una de gravedad alta
• Sitios web de WebTwizz afectados: sí, los sitios web con versiones anteriores de Next.js
• Qué hicimos: migramos la base inicial y todas las plantillas de la galería a Next.js 16.4.2, que incluye las correcciones, y actualizamos los entornos de vista previa. Los sitios web publicados afectados se están actualizando.

Contáctanos

Para reportar problemas de seguridad, escribe a security@webtwizz.com. Para cualquier otro asunto: