Auditoría de seguridad del sitio
Una comprobación de alcance limitado de un sitio que posees o administras: exposición de secretos (.env/.git/volcados de BD), certificado TLS, encabezados HTTP de seguridad, debilidades de CSP y errores de configuración de CORS, atributos de cookies, autenticación de correo (SPF/DKIM/DMARC) y CAA, además de la correlación de los productos expuestos con nuestro catálogo CISA KEV (explotados activamente). Un informe con calificación, correcciones y un prompt de IA.
- Envío
- El dominio, al servidor de este sitio
- Almacenamiento
- Los resultados no se guardan (cookie de verificación hasta 8 horas)
- API externa
- Tras verificar la propiedad, el servidor obtiene rutas fijas del sitio
- Destino
- Solo sitios verificados con el código colocado
Detalles
- Al preparar el código se fija una cookie necesaria (hasta 8 horas) para verificar este navegador. No se usa para anuncios ni analítica.
- Al ejecutar la auditoría, el servidor comprueba el código colocado por DNS y HTTPS y, solo si lo encuentra, hace un número limitado de solicitudes a rutas y ajustes fijos. No ejecuta código de ataque y bloquea destinos internos y redirecciones a hosts no verificados.
- Los resultados no se guardan en el servidor; se devuelven a esta página. El dominio que introduces puede quedar en URL o registros de acceso.
- La carga de la página en sí queda en el registro de acceso (dirección IP, hora, agente de usuario, etc.). Las páginas de herramientas no cargan anuncios ni analítica. Política de privacidad
Visualización del resultado y dominio introducido
Al terminar, el resultado se devuelve directamente a esta página, sin guardarlo en un almacén de resultados del servidor. Recargar borra el resultado y no inicia otra auditoría. Revocar la verificación también quita el resultado de la pantalla.
El dominio introducido puede permanecer en las URL o los registros de acceso. No introduzcas contraseñas, datos de conexión ni información personal.
Cómo usarla
- 1
Introduce el dominio de tu propio sitio
p. ej. example.com. Úsalo solo en un sitio que poseas o administres. Preparar el código crea una sesión temporal del navegador sin contactar con el sitio de destino.
- 2
Coloca el código (elige una de las tres formas)
Coloca el código para este navegador y dominio mediante ①una metaetiqueta en el <head> de la página principal, ②un registro DNS TXT o ③un archivo en /.well-known/. Las comprobaciones detalladas no empiezan hasta confirmar su colocación.
- 3
Selecciona «Comprobar el código y ejecutar auditoría»
Comprueba la exposición de secretos (.env/.git/volcados de BD), el certificado TLS, los encabezados, CSP/CORS, las cookies, la autenticación de correo y la correlación con KEV (CVE explotados activamente), y muestra una calificación general de A a F.
- 4
Corrige de rojo a ámbar
Cada elemento muestra por qué es arriesgado y cómo corregirlo. Se incluye un prompt de IA para copiar y pegar: pégalo en ChatGPT / Claude para obtener pasos adaptados a tu stack.
- 5
Repite la auditoría manualmente cuando lo necesites
Las altas de monitorización están pausadas; no hay formulario de registro. Usa esta página para ejecutar otra auditoría manual cuando lo necesites.
Por qué importa
Preguntas frecuentes
Q¿Por qué se necesita un código de verificación?
Las comprobaciones de archivos sensibles deben limitarse a sitios que poseas o administres. Antes de las comprobaciones detalladas, la herramienta verifica un código específico de este navegador en DNS, en una metaetiqueta de la página principal por HTTPS o en un archivo por HTTPS. Esto confirma la colocación del código, no tu identidad ni la propiedad legal.
Q¿La auditoría carga mucho mi sitio?
La auditoría realiza solicitudes con límites a un conjunto fijo de rutas y ajustes, incluidas comprobaciones de archivos sensibles, además de consultas DNS con límites. Algunas solicitudes se ejecutan en paralelo y las redirecciones permitidas pueden añadir solicitudes. No hace fuzzing de rutas ni intenta explotar vulnerabilidades.
QSi la calificación es alta, ¿estoy completamente a salvo?
No. Comprueba elementos representativos de alta señal, no todos los riesgos posibles. No confíes en exceso en un resultado verde; combínalo con mínima exposición/mínimo privilegio y comprobaciones continuas de las dependencias (escáner OSV), los encabezados y la autenticación de correo.