Cómo comprobamos cada aviso

• Qué leemos
• En quién confiamos
• Nuestras reglas
• Pruebas que puedes revisar
• ¿Te afecta?
• Lo que nunca hacemos

Qué leemos

Nuestro sistema ya lee las noticias de seguridad cada 30 minutos. Cubre tres tipos de fuente:

Las noticias suelen llegar horas o días antes que las bases de datos. Leer ambas nos permite avisarte antes.

En quién confiamos

Las fuentes confiables son empresas de seguridad y organismos oficiales que informan con cuidado sobre problemas de WordPress: Wordfence, Patchstack, WPScan, Sucuri, Sansec, CISA, NVD, WordPress.org, php.net y los grandes sitios de noticias de seguridad.

Las fuentes menos confiables son todo lo demás: blogs pequeños, foros y publicaciones en redes. Pueden llegar antes y acertar, pero también pueden equivocarse, así que cuentan menos.

Nuestras reglas

1. Leemos la página nosotros mismos. Una fuente solo cuenta si su página carga y realmente nombra el problema y el producto.
2. Las copias cuentan una vez. Un artículo que repite el reporte de otro cuenta como esa fuente original. Muchas páginas de una misma empresa cuentan una vez.
3. Las pruebas deciden el nivel. Una fuente confiable da “Esta semana”. “Hoy” necesita ataques, confirmados por dos fuentes confiables o por CISA. Una sola publicación menos confiable nunca basta. Qué significan los niveles.
4. La IA llena un formulario. El código decide. Cuando hay que leer una noticia, una IA solo responde unas preguntas (qué producto, qué versiones, si se está atacando) y debe citar el artículo palabra por palabra. Luego nuestro código revisa cada respuesta contra el artículo y las bases de datos, y descarta lo que no coincide.
5. Los niveles solo suben con pruebas nuevas. Que una fuente deje de cargar nunca baja un aviso.

Pruebas que puedes revisar

Cada aviso te muestra:

• quién lo confirmó, qué dijo y cuándo;
• cuántas fuentes están de acuerdo y cuántas no;
• tu versión y la versión segura;
• el identificador oficial (un número CVE), si lo hay;
• enlaces, para que leas cada fuente por tu cuenta.

¿Te afecta?

Tu sitio se revisa a sí mismo. El plugin descarga las partes de nuestra lista que necesita y las compara con las versiones exactas de tu sitio. Solo te enteras de lo que tu sitio realmente usa. Tu lista de plugins nunca sale de tu sitio.

Cuando no podemos estar seguros, lo decimos. Si tu hosting puede haber arreglado PHP por ti, o un plugin solo comparte nombre con uno de WordPress.org, el aviso dice “puede afectarte” y te dice a quién preguntar.

Lo que nunca hacemos

• Cambiar algo en tu sitio.
• Avisarte de cosas que tu sitio no usa.
• Mostrar contadores alarmantes o inventar urgencias.
• Pedirte tu contraseña. Ni por correo ni de ninguna otra forma.