Analizar mi sitio

Analizador de seguridad web

Revise en segundos la seguridad visible de un sitio: HTTPS, certificado, cabeceras, cookies y componentes, con un informe mapeado al OWASP Top 10.

Solo el nombre de dominio, sin puerto ni ruta. Analice únicamente sitios propios o con autorización.

Qué hace este análisis

  • Es pasivo y superficial: hace lo mismo que un navegador al abrir el sitio (una solicitud HTTP, una HTTPS y una conexión TLS). No ataca, no prueba contraseñas ni envía datos.
  • Revisa HTTPS y su redirección, HSTS, el certificado y el protocolo TLS, las cabeceras de seguridad, los atributos de las cookies (incluido el riesgo de "web cache deception"), la divulgación de versiones y el HTML de la portada (contenido mixto, recursos externos sin SRI, formularios, librerías antiguas).
  • También revisa el DNS y el correo del dominio: SPF, DMARC, DKIM (mejor esfuerzo), registro CAA, DNSSEC y redundancia de servidores de nombres.
  • No sustituye una prueba de penetración. Un informe sin hallazgos no garantiza que el sitio sea seguro: cada informe indica qué categorías del OWASP Top 10 no se pueden evaluar así.
  • Las pruebas más profundas requieren demostrar que usted controla el dominio: archivos sensibles expuestos, métodos HTTP y CORS, consistencia de cabeceras y cookies en otras páginas del sitio (no solo la de inicio), subdominios "colgantes" (apuntando a un recurso Cloud no reclamado), STARTTLS y políticas modernas del correo (MTA-STS, TLS-RPT, BIMI), introspección de GraphQL expuesta, y subdominios hallados en Certificate Transparency. Cree una cuenta gratuita (o acceda) para verificar sus dominios y usar el análisis profundo, con historial y comparación entre análisis.
  • ¿Necesita ir más allá de un análisis automatizado? Contamos con un servicio de pentesting manual a medida, adaptado al alcance que necesite. Consúltenos sin compromiso.

Gratis lo que en otros analizadores es "Pro"

Comparamos nuestro informe contra otros analizadores de seguridad web conocidos: esto es lo que en varios de ellos queda bloqueado detrás de un plan pago, y acá se incluye sin costo con solo verificar que el dominio es suyo.

  • Archivos y rutas sensibles expuestos (.env, .git, backups, phpinfo, adminer/phpMyAdmin)
  • Métodos HTTP riesgosos y CORS con credenciales reflejadas
  • Redundancia de servidores de nombres (DNS)
  • Subdominios "colgantes" apuntando a un recurso Cloud no reclamado
  • STARTTLS y políticas modernas del correo (MTA-STS, TLS-RPT)
  • Introspección de GraphQL expuesta
  • Subdominios hallados en Certificate Transparency
  • Consistencia de cabeceras y cookies en todo el sitio, no solo en la portada

Límites y privacidad

  • Hasta 5 análisis por hora desde cada conexión, y un máximo por dominio.
  • El informe queda accesible solo con su enlace secreto durante 30 días y luego se elimina. Se guarda el dominio analizado, el resultado y la dirección IP de quien lo solicita, solo para controlar abusos.
  • Lea el uso responsable y la política de privacidad.