La radiografía de tu app,antes de que alguien la encuentre

Abrimos cada página en un navegador y solo la leemos cuando terminó de cargar de verdad: red detenida, DOM estable, animaciones concluidas. Nada de adivinar por la palabra “cargando”.

Mapeamos lo que cualquier visitante alcanza y, con tu sesión, lo que solo existe después de iniciar sesión. Es la diferencia entre fotografiar la fachada y entrar en la casa.

Registramos lo que tu app realmente llamó: método, host, plantilla de la ruta y señalizaciones (autenticada, de escritura, con dato sensible). Si publicas OpenAPI/Swagger, leemos también el contrato declarado.

Cuando encontramos muchas páginas con la misma forma (productos, artículos, perfiles), preguntamos si es un catálogo y las colapsamos en una sola línea. Probar el mismo molde trescientas veces no mide nada más y no se come tu cuota.

Además de los enlaces, partimos de tu sitemap.xml y de tu robots.txt. Y el prefijo de idioma (/pt-BR/…) no colapsa el sitio entero en una sola ruta.

El mapeo guarda cada 10 páginas. Si se agota el tiempo, no pierdes lo que ya se descubrió.

Inicias sesión una vez dentro de un navegador remoto, resolviendo MFA, modal y desafío anti-bot como humano. Guardamos solo la sesión, cifrada. Tu contraseña nunca se almacena.

La sesión se lee de las cuatro superficies, incluidas las cookies httpOnly. Funciona con inicio de sesión por modal, en dos pasos o con proveedor externo.

Registra “Admin”, “Cliente free”, “Cliente pago” una vez y reutilízalos en cada análisis, con el estado de la sesión siempre visible.

Es la única forma de ver lo que la cuenta de un cliente alcanza dentro de los datos de otro. Un inicio de sesión en el plan Basic, dos en el Pro, tres en el Premium.

Navegamos cada página con tu sesión y registramos lo que ocurrió: el estado, dónde se detuvo la navegación y si llegó contenido real o una pantalla de inicio de sesión.

En todas las páginas elegidas: CSP, HSTS, X-Frame-Options y frame-ancestors, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, aislamiento cross-origin y exposición de Server/X-Powered-By.

Buscamos clave de servicio, clave de administrador, token de storage y clave de pago filtrados en el bundle. Guardamos la evidencia enmascarada: el origen, nunca el valor.

RLS desactivada, catálogo público, bucket abierto, Firestore y Realtime Database abiertos, colección pública, introspección de GraphQL activada.

Sondeamos /.env, appsettings.json, config.json y similares, con tres guardas contra falso positivo para no llamar filtración a la página de error de tu framework.

Dos cuentas, el mismo identificador: ¿un usuario alcanza el dato del otro? Es la prueba definitiva de filtración entre clientes, y exige dos inicios de sesión.

Clave secreta filtrada, sandbox ejecutándose en producción, monto definido por el cliente, confirmación en el navegador y falta de idempotencia. Nunca completamos una compra ni tocamos una tarjeta real.

Escaneo con el corpus de nuclei: 10.518 plantillas, más cerca de 249 específicas de aplicación web. Se ejecuta solo con la titularidad validada y tu aceptación explícita.

DNS (DNSSEC, CAA, subdominio huérfano) y caducidad del dominio, SPF/DKIM/DMARC, validez del certificado TLS y redirección HTTPS, SEO técnico, búsqueda por IA y cumplimiento de la LGPD (la ley brasileña de protección de datos).

Portada, veredicto de riesgo, resumen ejecutivo, nota de preparación, distribución por severidad, nota por página y cada hallazgo numerado con evidencia, cómo corregirlo y referencia OWASP/CWE. Listo para imprimir o mandar al cliente.

El árbol de tu sitio con nota por página y cobertura por scanner, más las pestañas de APIs, BaaS, dominio, pagos, resultados y ejecuciones.

Agrega páginas a mano, dispara un mapeo a partir de una página específica, marca lo que no es relevante, elimina lo que no interesa y etiqueta cada página (Inicio de sesión, Pago, Formulario con datos personales, Admin, Protegida).

Una nota por página y una de la app entera, con los problemas ordenados por riesgo. Lo que hay que corregir primero queda arriba.

Conecta ecoa a Cursor, a Claude o a otro asistente por nuestro servidor MCP: lee los hallazgos y recibe la guía de corrección junto con ellos, con los seguros que impiden un “arreglo” que rompa tu app.

Y por qué. Un escaneo parcial nunca se convierte en “tu sitio está limpio”. Una Server Action detectada, por ejemplo, se reporta como no probada, jamás como aprobada.

La pantalla de revisión lista cada prueba de la fila, lo que quedó fuera y por qué. Lo que está bloqueado no es una elección, es una explicación.

Línea a línea, con la dirección de cada página a medida que se analiza. Puedes dejarlo corriendo e ir por un café.

Cada ejecución guarda lo que se pidió, lo que se ejecutó, cuánto tardó y cuántos hallazgos salieron. Se puede comparar con la ejecución anterior.