¡Hola!, lo primero que te diría es que cumplieras todos los estándares de XHTML 1.1, que es el que estas utilizando, te recomiendo que entres en el validados de la w3c (click me!) ahí te dirán que errores tiene tu web a nivel de estándares.

Algunas cositas por encima:

• Elimina los indices del servidor, lo puedes hacer desde el htaccess.
• Usa HttpOnly en tus sesiones.
• La búsqueda por mucho que la estés cacheando es demasiado lenta, están generando mal la consulta o bien tienes un error en la arquitectura de la base de datos.

Por ultimo decirte que si quieres hacer una web profesional y que este segura, lo mejor es que hagas alguna auditoria con algún profesional del sector.

Saludos!

Hola, warghost, he validado la página y había errores, aunque la mayoría de ellos eran por los botones de twitter y facebook, que necesitaban html5 y lo tenía puesto en html4, ya lo he cambiado. Sobre lo de eliminar los índices del servidor ¿cómo se hace? He buscado por google y no lo he encontrado. Lo del httponly, he puesto ini_set('session.cookie_httponly', 1); en el index, que es la página desde la que llamo a todas las demás, ya que es lo que he leído por ahí. Gracias Warghost.

Stakewinner, he probado lo del nessus (no lo había oído nunca) y no sé si me funciona o no, he hecho una política para la web y he puesto un nuevo scan con http://www.tuzine.es pero no sé si está haciendo algo o no, ¿cuánto tiempo le suele costar? Lleva en running un rato largo ya...

Un saludo!

¡Hecho! Gracias, ¿el resto de las cosas están bien?

Un saludo!

Una forma fácil de evitar los XSS y los SQLi es crear una clase que filtre absolutamente todos los inputs que recibe tu aplicación y las guarde ya filtradas en atributos.

Cuando digo filtrar todos los inputs, digo TODOS xD, tanto las variables que se reciben del servidor, como de variables get, post, como cookies, como sesiones, como encabezados etc...

Esto te hará ahorrar muchísimo tiempo y al menos la vulnerabilidades más tontas te las quitas de un plumazo.