Scanfull abre tu sitio publicado como lo haría cualquier visitante, encuentra lo que quedó expuesto y prueba cada falla. Después te entrega el prompt listo para que tu asistente lo corrija — y vuelve para confirmar que se cerró.
Úsalo solo en aplicaciones tuyas o con autorización. No pongas contraseñas ni tokens en la URL.
1281import { createClient } from "@supabase/supabase-js"1282// generado automáticamente — no editar1283const url = "https://xyzcompany.supabase.co"1284const db = createClient(url, "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9")1285// rol: service_role · ignora toda la RLSAnalizamos el sitio publicado — la herramienta que generó el código no importa
¿Qué puede hacer un extraño más allá de lo que planeaste?
Cuando una credencial privada termina en el código que el navegador descarga, deja de ser tuya. Quien abra el archivo empieza a gastar en tu cuenta.
GET /assets/index-4f2b.js → 200 · sk_live_4eC3••••
Con Row Level Security apagado, la misma llamada que trae tus pedidos trae los de todos. El sitio funciona igual — la fuga es silenciosa.
GET /rest/v1/orders (sin sesión) → 200 · 3.418 filas
Archivos de entorno, respaldos y directorios de código siguen servidos por el servidor porque nadie le dijo que los bloqueara.
GET /.env → 200 · 1,2 KB
Sin SPF y DMARC publicados, un tercero manda phishing firmando con tu dominio. Quien paga la cuenta de la confianza es tu cliente.
TXT _dmarc.tu-dominio.com → no encontrado
Casi nadie se despierta decidido a atacar tu sistema. Lo que existe es rastreo automático, todo el día, buscando el mismo puñado de descuidos en cada dirección que responde. No tienes que ser un objetivo — basta con estar en línea.
230 millones
de objetivos rastreados por una sola campaña
Una operación de extorsión recolectó archivos .env de unos 110.000 dominios y usó las máquinas comprometidas para rastrear internet en busca de más. Nadie eligió a esas víctimas: solo respondieron.
Unit 42, Palo Alto Networks · 202422 minutos
entre que la falla se hace pública y el primer intento
Fue el lapso medido entre la publicación de una prueba de concepto y el primer ataque real usándola. No es tiempo para reaccionar después — es tiempo para ya estar cerrado antes.
Cloudflare, State of Application Security · 2024170 de 1.645
sitios de la propia vitrina de Lovable con la base abierta
Un investigador rastreó la galería oficial y encontró 10% con la protección de fila de la base apagada. Se podía leer nombre, correo, teléfono, dirección y monto de deuda de personas reales.
CVE-2025-48757 · Matt PalmerLee la tabla de usuarios
Nombre, correo, teléfono y dirección de tus clientes, de una vez, con una petición que hace cualquier navegador.
Escribe en ella
Sin regla de fila, leer y escribir son el mismo permiso. Puede editar su propio registro y volverse suscriptor sin pasar por el pago.
Gasta en tu cuenta
Con la clave de API en el bundle, el consumo es de él y la factura es tuya — y te enteras recién a fin de mes.
Ninguna de estas requiere talento. Requiere que la puerta esté abierta — y el rastreo que encuentra la puerta es el mismo para todos. Por eso cerrar esta capa corta el origen de casi todo incidente en un sitio nuevo.
No es solo lo que decimos
Investigadores y la prensa de seguridad ya midieron lo que pasa con los sitios hechos con IA. Las cifras vienen de fuentes públicas — haz clic y compruébalo.
1 de 5
apps de IA con una falla grave
Wiz — una de las mayores empresas de seguridad del mundo — analizó apps hechas con IA y encontró claves de API expuestas, bases de datos abiertas y login inseguro en 1 de cada 5.
Wiz Research · 2025Ver la fuente380.000
sitios de IA expuestos hoy
Investigación de RedAccess, publicada por VentureBeat y verificada por Axios y Wired: 380.000 sitios hechos con IA accesibles públicamente — cerca de 5.000 filtrando datos sensibles.
VentureBeat · Axios · WiredVer la fuente9.3/10
CVE-2025-48757 — Supabase abierto
Una falla con registro oficial (CVE): más de 170 apps hechas con Lovable dejaron la base de datos abierta. Cualquiera podía leer usuarios, pagos y claves — solo abriendo el sitio.
Registro oficial de CVEVer la fuenteCualquier escáner encuentra una clave que parece clave. La pregunta que decide si tienes que despertarte a las tres de la mañana es otra: ¿funciona?
Escáner de superficie
«Encontramos una credencial que parece ser privada. Validez no verificada. Confianza: por confirmar.»
Recibes una sospecha y el trabajo de investigar solo.
Scanfull
«Usamos la clave. Abrió 3 tablas sin autenticación y devolvió 3.418 registros — incluyendo correo y dirección de clientes.»
Recibes un hecho, con la lista de las tablas que se abrieron.
La prueba que interactúa de verdad con tu sistema solo corre después de que demuestras que el dominio es tuyo. Sin eso, sería una prueba de intrusión en el sitio ajeno — y no lo hacemos ni cuando lo piden.
Cuatro pasos. El tercero es gratis y el cuarto es lo que casi nadie entrega.
Sin registro, sin tarjeta, sin instalar nada. Solo la URL pública de tu sitio.
No es un curl mirando una cabecera. Es Chromium recorriendo hasta 120 páginas, leyendo los bundles, el storage, las cookies y el DNS del dominio — por eso encuentra lo que encuentra. Por lo general, menos de 1 minuto.
Gratis, con el plan de acción priorizado: qué atacar hoy, cuánto tarda y cuánto riesgo se va.
El informe completo muestra dónde está cada falla y el prompt listo. Después, el retest lo confirma en vivo — incluido por 7 días después de la compra.
El hallazgo, la prueba que lo sostiene, la corrección y la confirmación — en ese orden, porque es el orden en que necesitas actuar.
Veredicto
Cuatro fallas críticas dejan tu base, tus pagos y los datos de tus clientes al alcance de cualquier visitante — y bastan dos para poner la nota en cero. Lo peor: el sitio está en línea, bonito y funcionando. Eso es justo lo que hace que nadie lo note, hasta que llega el perjuicio.
Plan de acción: el primer bloque tarda ~1h40 y elimina 90% del riesgo.
El sello Scanfull
El informe pago termina con un sello “Verificado por Scanfull” — tu nota, la fecha, el nivel. Lo pegas en el pie con una línea de código. Lleva a una página pública de verificación y nunca expone ningún hallazgo: prueba, para quien visita, de que la seguridad fue mirada de verdad.
En el pie de tu cliente
© 2026 mi-app.lovable.app
Los niveles
Bronce
Superficie pública
Plata
+ Área logueada
Oro
+ Admin y escalada
Platino
Hecho para ti
Es en vivo: el sello muestra siempre la nota actual de tu sitio, y sube a medida que corriges. Ponlo en tu sitio — o no. Tú decides.
93 tipos de chequeo en 14 familias, cada uno clasificado por OWASP Top 10 y CWE. Cada tipo corre contra cada página, cada archivo y cada cabecera que tu sitio entrega — tu informe muestra cuántas verificaciones se ejecutaron de verdad.
Stripe, OpenAI, Anthropic, AWS, Google, GitHub, claves PEM — y la service_role de Supabase, que ignora todo el RLS. En los bundles y en el HTML renderizado en el servidor (SSR).
Prueba activa: intentamos leer tus tablas sin autenticación. Si vuelve una fila, la base está abierta — y contamos cuántas.
Realtime Database y Firestore que responden sin login, y Storage listable — el atajo de backend de las apps de IA, muchas veces dejado abierto.
Buckets S3 y Google Cloud Storage listables: lo que debería ser privado se puede enumerar — y descargar.
.env, .git y respaldos de configuración servidos públicamente. Un secreto a un clic, sin ninguna técnica.
Subdominios olvidados (api., staging., admin.) vía Certificate Transparency, y endpoints internos — Actuator, Swagger, phpinfo, GraphQL — que filtran configuración y el mapa de tu API.
CSP, HSTS, clickjacking, nosniff, Referrer-Policy, y las flags de la cookie de sesión.
Redirect faltante, certificado por vencer, TLS obsoleto y recursos HTTP dentro de una página HTTPS.
Origen comodín (con y sin credenciales), token de sesión donde cualquier script lo alcanza, y dato personal — tarjeta, identificación — guardado en el navegador.
SPF, DMARC y CAA ausentes — los huecos que casi ningún escáner de sitios mira, y que se vuelven phishing en tu nombre o un certificado emitido por quien no debe.
Scripts de terceros sin Subresource Integrity: si el CDN se ve comprometido, código ajeno entra directo a tu sitio.
jQuery, lodash, axios, Handlebars y otras: cruzamos la versión que tu sitio carga con fallas públicas ya corregidas.
Indicios de CDN o WAF delante del sitio. Sin esa capa de borde, un pico de accesos — o un bot — puede tumbar tu origen.
Usuarios enumerables por la API REST, xmlrpc.php abierto y readme.html exponiendo la versión — las primeras puertas que golpean los bots.
En los niveles +Usuario y +Admin: datos de un usuario accesibles por otro (IDOR) y escalada de privilegios — un usuario común alcanzando lo que es solo de admin.
Cada hallazgo sale con OWASP Top 10, CWE, esfuerzo estimado y una señal de protección de datos cuando hay dato personal en riesgo.
Para la mitad de las cosas, sí — y no vamos a fingir lo contrario. Si el informe dice que falta una cabecera de seguridad, la pegas en tu asistente y se resuelve. Por eso el escaneo y la lista de fallas son gratis.
Lo que no puede es mirar tu sitio publicado. No sabe cuál clave se filtró ni en qué archivo dentro de un bundle de un megabyte. No sabe cuáles tablas de tu base responden sin autenticación. Y, sobre todo, no puede confirmar que la corrección llegó a producción — cree que corrigió, que no es lo mismo.
Esa es la diferencia que cobramos: la prueba de dónde está, y la prueba de que se cerró.
Pagas por qué tan profundo quieres llegar — cada nivel incluye el anterior. El informe es pago único; el monitoreo continuo es un add-on opcional aparte (justo abajo).
Escaneo gratis · US$ 0 — sin registro, sin tarjeta
Nota de 0 a 100 de tu sitio · La lista completa de fallas, por gravedad · Clasificación OWASP, CWE y señal de protección de datos · Plan de acción priorizado, con estimación de tiempo
US$ 49 / sitio
La home y todas las páginas públicas — más todo lo que el navegador descarga (bundles, configs). Ahí es donde aparece la mayoría de las fugas de sitios hechos con IA.
US$ 99 / sitio
Todo lo del Público + el área con sesión de usuario. Creas una cuenta de prueba; la ejecutamos en una sesión aislada y la borramos después.
US$ 199 / sitio
La auditoría completa: todo lo de los niveles anteriores + el panel de admin y la prueba más valiosa de todas.
El primer escaneo es gratis — solo pagas si quieres la prueba y la corrección.
¿Tienes un cupón de una comunidad aliada? Aplícalo en el checkout — el descuento se aplica automáticamente.
Monitoreo continuo
La misma barredura automática que te encuentra hoy vuelve mañana — y tu código cambia en cada deploy, así que lo que estaba cerrado la semana pasada pudo reabrirse ayer, sin que nadie lo note. Por eso la seguridad de verdad no es un evento, es acompañamiento: Scanfull re-escanea sola la superficie pública de tu sitio, con la frecuencia que elijas, y te avisa por correo apenas aparece una falla nueva. La corriges antes de que se vuelva un incidente.
Diario o semanal, sin que lo recuerdes. El robot de Scanfull abre tu sitio de nuevo y rehace las verificaciones de la superficie pública.
Compara corrida a corrida por la huella de cada hallazgo — y te alerta solo cuando aparece una falla nueva relevante. Sin ruido.
La falla nueva llega al correo de la compra, con el enlace al informe actualizado. Actúas el mismo día, no a fin de mes.
Actívalo en un clic en tu informe pago, en el panel “Mis informes”.
El monitoreo cubre la superficie pública. El área logueada (+Usuario/+Admin) no entra — esa auditoría necesita tu sesión cada vez, y nunca guardamos tu sesión. Para reconfirmar el área logueada, corre una nueva auditoría logueada cuando quieras.
El momento en que el sitio deja de ser solo tuyo es el momento en que su superficie empieza a valer algo para un extraño.
Permisos, sesión e integraciones son justo donde el asistente de código improvisa cuando no miras.
Un informe con evidencia y retest cambia la conversación: entregas software con un peritaje, no con una promesa.
La superficie cambia con el código. Lo que estaba cerrado la semana pasada pudo reabrirse ayer.
Alcance, seguridad, corrección y cobro — sin letra chica.
No. Scanfull mira el sitio publicado, desde afuera, como cualquier visitante: abre las páginas en un navegador de verdad, lee los archivos que el sitio entrega y consulta el DNS del dominio. Sin plugin, sin SDK, sin acceso al repositorio y sin cambiar una línea de tu proyecto.
No escribe nada. Los chequeos de superficie solo observan respuestas. Los chequeos que interactúan de verdad con el sistema — como la prueba de RLS — solo corren después de que demuestras que el dominio es tuyo, y aun así son de lectura.
Funciona, y es justo el caso para el que Scanfull fue hecho. Como analizamos lo que está publicado, la herramienta que generó el código no importa. Lo que cambia es la salida: el prompt de corrección viene en el formato del asistente que usas.
Para los fáciles, puede — y está bien, el escaneo gratis existe para eso. Lo que tu IA no puede es mirar el sitio publicado: no sabe cuál clave se filtró ni en qué archivo, no sabe cuáles tablas de la base están abiertas, y no puede confirmar que la corrección llegó a producción. Eso es lo que vendemos.
La ubicación de cada falla con la evidencia, la causa raíz y el impacto, el código antes y después, el prompt de corrección para tu asistente, la instrucción de cómo verificar que se cerró, el retest por 7 días después de la compra y el informe exportable a Markdown o PDF.
Después de corregir, disparas la segunda pasada en la misma dirección. Comparamos hallazgo por hallazgo por la huella de cada uno y te decimos qué salió de la lista, qué sigue y qué apareció después. Está incluido en lo que pagaste, por 7 días después de la compra.
Nunca en texto claro. Apenas se detecta un secreto, se enmascara antes de guardar nada — lo que queda en la base es la versión enmascarada y un hash, que sirve para reconocer la misma clave en un escaneo futuro. Es una regla del producto, verificada por una prueba automatizada y por una restricción en la propia base de datos.
Solo con su autorización. La parte de superficie es lo que cualquier visitante ve, pero los chequeos que interactúan con el sistema exigen verificación del dominio, justamente para que nadie pruebe lo que no debe. Si eres agencia o software house, verifica el dominio junto con el cliente y el informe sale listo para entregar.
Descubrirlo después suele costar el cliente que confió en ti.
scanfull