Alcance de la comprobación

Métodos, fiabilidad y límites

Qué hace realmente PHP Checker, qué afirma un resultado y dónde están los límites.

Tres vías de comprobación, una sola evaluación

Todas las vías usan las mismas reglas de evaluación fijas. No se utiliza IA generativa. Lo que cambia es el origen del dato:

Comprobar sitio web: la indicación de versión procede de una cabecera de respuesta HTTP. Se considera una indicación de versión no verificada.
Archivo de verificación: un pequeño archivo PHP firmado en tu espacio web informa de la versión que tu sitio ejecuta realmente. Es un dato confirmado.
Evaluar versión: el dato lo aportas tú. Se considera una indicación manual y el servicio no lo verifica.

Así funciona la comprobación externa

La dirección se valida en nuestro servidor: solo http:// o https://, puertos estándar, sin credenciales, sin parámetros y sin direcciones IP. Si falta el protocolo, se añade https://; los nombres de dominio internacionales se convierten a su forma ASCII.
El nombre de dominio se resuelve por DNS. Si una sola de las direcciones apunta a una red interna, reservada o bloqueada, no se realiza la consulta.
La conexión se vincula de forma fija a la dirección IP comprobada. El certificado y el nombre del servidor se verifican con normalidad.
A continuación se envía una petición HEAD. Solo si el servidor no admite HEAD (HTTP 405 o 501) se envía un GET cuyo cuerpo de respuesta se interrumpe de inmediato.
Se siguen como máximo tres redirecciones y cada destino se vuelve a comprobar. No se rebaja de HTTPS a HTTP.
Solo se evalúa la respuesta final. Se analizan las cabeceras X-Powered-By y Server, y solo los datos marcados expresamente como PHP (p. ej. PHP/8.3.36).

Todo el proceso está limitado a 20 segundos. Las cookies, credenciales o cabeceras de tu navegador no se transmiten al sitio de destino. El sitio de destino ve la dirección IP de nuestro servidor (195.90.214.181) y el identificador PHP-Checker/1.0 (+https://php-checker.de/pruefumfang).

Resultados y su significado

Indicación de versión inferior a la versión corregida: La versión indicada está, dentro de la misma rama, por debajo de la primera versión corregida. Comprueba si tu proveedor ha aplicado un backport de la corrección y aclara la actualización.
Indicación de versión con nivel corregido: La versión indicada alcanza el nivel corregido. La indicación no está verificada y no se aplica automáticamente a todos los procesos PHP.
Requiere comprobación del fabricante: Un paquete del fabricante con una versión base anterior. Un backport solo queda acreditado con la prueba correspondiente del fabricante para ese paquete exacto y ambos CVE.
Versión preliminar: requiere comprobación aparte: Las versiones alfa, beta, RC o de desarrollo no reciben aprobación para producción.
Rama sin versión corregida oficial: Para ramas antiguas (p. ej. 8.1 y anteriores), el proyecto PHP no indica ninguna corrección. No se consideran corregidas por su número de versión.
Rama no incluida en los datos de comprobación: Las ramas nuevas o desconocidas solo se evalúan una vez incorporadas fuentes fiables.
Estado de parches no determinable desde fuera: No hay ninguna indicación de PHP utilizable, inequívoca o sin contradicciones. No es un juicio sobre la seguridad, ni positivo ni negativo.
Comprobación no completada: Error, tiempo agotado, bloqueo o interrupción. Una comprobación no completada nunca equivale a una señal de «todo en orden».

Límites del resultado

Una indicación de versión no prueba que el parche esté aplicado. Las cabeceras pueden proceder de una caché, un proxy, un sistema de protección, una página de error u otra aplicación.
Una versión correcta no confirma ni el paquete instalado ni todos los procesos PHP en ejecución. PHP-FPM no queda excluido de las vulnerabilidades de forma general.
No se comprueba si la vulnerabilidad es realmente explotable.
Infección: no comprobada. Una actualización no descarta una infección anterior.

Lo que PHP Checker no ofrece

La detección de malware, el escaneo de puertos, las revisiones completas de WordPress u otros CMS, las comprobaciones de otro software y las reparaciones automáticas del servidor no forman parte de sus funciones. Cada una de estas tareas requeriría su propio alcance de comprobación definido.

Protección contra abusos

Para que el servicio no se use indebidamente como proxy abierto ni contra servidores ajenos, se aplican límites fijos por usuario, por sitio de destino y para todo el servicio, además de un número limitado de comprobaciones simultáneas. Si se alcanza un límite, recibirás un aviso para esperar. Si la limitación falla, no se inicia ninguna consulta.