Checklist para preparar una auditoría de aplicación PHP

Utiliza esta lista para reunir evidencia y formular mejores preguntas. No asigna una puntuación automática: ayuda a distinguir hechos, supuestos y áreas que necesitan una revisión especializada.

Cómo utilizarlo

Marca únicamente los puntos que puedas respaldar con una ruta, documento, consulta, captura o responsable. Un “no sabemos” es un hallazgo útil.

ContenidoContexto y propiedad Código y dependencias Datos e integraciones Seguridad Pruebas y entrega Operación

Contexto y propiedad

Quién decide, opera y conoce el sistema.

Objetivo, usuarios y flujos críticos están documentados.Repositorios, dominios, infraestructura y proveedores tienen propietario.Existe una lista de responsables de negocio, producto, código, datos y operación.Se conocen las ventanas y tolerancia a interrupción.

Código y dependencias

Qué puede cambiarse con seguridad.

La versión de PHP, framework, extensiones y Composer está inventariada.El proyecto se instala desde una copia limpia siguiendo instrucciones verificadas.Los límites entre dominio, infraestructura e interfaz son comprensibles.Dependencias abandonadas y código duplicado están identificados.

Datos e integraciones

Origen, calidad y consistencia.

Tablas, volumen, retención y datos sensibles están identificados.Migraciones de esquema tienen versión, revisión y reversión.APIs, webhooks, importaciones y tareas programadas están inventariados.Los reintentos evitan operaciones duplicadas.

Seguridad

Controles relacionados con riesgo real.

Autenticación, autorización y sesiones tienen una política conocida.Entradas, consultas, HTML y archivos se validan por contexto.Secretos y credenciales no están incrustados en el repositorio.Dependencias vulnerables tienen un proceso de evaluación y respuesta.

Pruebas y entrega

Capacidad de cambiar sin depender de memoria.

Los flujos críticos tienen pruebas automáticas o un guion verificable.Existe un entorno representativo para validar cambios.El despliegue tiene pasos, responsables, comprobaciones y rollback.La definición de terminado incluye revisión, pruebas y documentación.

Operación

Capacidad de detectar y recuperar.

Logs permiten seguir una petición u operación relevante.Métricas y alertas están vinculadas a impacto y acción.Las copias se realizan y su restauración se ha probado.Existen runbooks para incidencias y tareas recurrentes.

Uso recomendado

Convertir respuestas en decisiones

Reunir enlaces y evidencias junto a cada respuesta.
Separar riesgos inmediatos de mejoras estructurales.
Asignar responsable y siguiente comprobación a cada desconocido.
Convertir hallazgos en un plan por fases, no en una lista plana.

Siguiente paso

Contenido conectado con esta decisión

Profundiza en el diagnóstico, la ejecución o una experiencia relacionada.

Auditoría PHP

Auditoría técnica de código, arquitectura, seguridad, rendimiento, datos y operación con riesgos priorizados y un plan de acción ejecutable.

Ver contenido Guía de modernización

Cómo evaluar, proteger y modernizar una aplicación PHP heredada por fases sin detener la evolución del negocio.

Ver contenido Plan de actualización PHP

Plantilla por fases para inventariar, probar, actualizar, desplegar y revertir una migración de versión PHP.

Ver contenido