Saltar al contenidoLockpick
Cómo funcionaPreciosDocumentación

Leer

  • BlogRespuestas claras a preguntas comunes de seguridad
  • GuíasSoluciones paso a paso para configuraciones comunes
  • Comprobaciones de seguridadCada comprobación que hacemos, explicada

Aprender

  • Aprende con PickLecciones de dos minutos sobre cómo atacan los sitios
  • Lockpick para ClaudeComprueba sitios desde Claude y otros asistentes
  • GlosarioLas palabras que usamos, en lenguaje sencillo

Empresa

  • Registro de cambiosQué ha cambiado, lo más reciente primero
  • EstadoSi los escaneos están en marcha ahora mismo
  • Seguridad y confianzaCómo comprobamos y qué nunca hacemos
Iniciar sesiónRevisarlo

Lo construiste.Descubre qué dejaste expuesto.

Antivirus para apps, sitios web, skills y repos hechos con vibe coding.

Prueba

Sitios web, repos de GitHub, skills y servidores MCP. Gratis, sin cuenta.

¿Quieres el panorama completo? Regístrate para un escaneo Pulse gratuito.

Este análisis lee información pública del sitio y del dominio. Conservamos resultados y pruebas censuradas. Cómo se usan tus datos

57.87101234567890123456789.01234567890123456789012345678957.871 nuevas vulnerabilidades publicadas este año. Una estimación en vivo con datos de Zero Day Clock.

  1. Revisamos tu página de inicio como lo haría un atacante.Desde fuera, como cualquiera podría hacerlo. Los escaneos de sitios nunca necesitan tu código. Las revisiones de repos y skills leen código público y nunca lo ejecutan.
  2. Explicamos lo que encontramos con palabras claras.Cada hallazgo indica lo que vimos y lo que alguien podría hacer con ello. Sin jerga.
  3. Redactamos las instrucciones para corregirlo.Funciona con Lovable, Bolt, Replit, Cursor y Claude Code.

El reloj va más rápido.

Tu sitio público es el primer lugar donde alguien mira.

  • 57.87101234567890123456789.01234567890123456789012345678957.871vulnerabilidades publicadas en todo el mundo en 2026, una estimación en vivo
  • 2,7×0123456789,0123456789×el último trimestre frente a un año antes, 30.000 contra 11.000
  • 135012345678901234567890123456789explotadas al hacerse públicas, primer semestre de 2026
  • N.º 1N.º 0123456789las apps web y los plugins fueron la categoría más explotada en 2026, 211 de 679

Fuentes

Un hallazgo, de principio a fin.

Un ejemplo de lo que encuentra un escaneo Pulse. Este error es habitual.

atlas.example
AAtlasStudio

Buenos días, Studio

1248 clientes37 facturas pendientes

Código fuente/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. SUPABASE_SERVICE_ROLE_KEY:"eyJhbGciOiJI…"},
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_SERVICE_ROLE_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersCualquiera que abra atlas.example

NombreCorreo
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
y 1245 filas másBorrar los 1248

LockpickEjemplo

Clave de administración de la base de datos en el código del sitio

EncontradoEscaneo Pulse

atlas.example
AAtlasStudio

Buenos días, Studio

1248 clientes37 facturas pendientes

Código fuente/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. Clave eliminada
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_ANON_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersCualquiera que abra atlas.example

NombreCorreo
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
y 1245 filas másBorrar los 1248

permiso denegado para la tabla customersLa clave pública del sitio no puede leer esta tabla.

LockpickEjemplo

Clave de administración de la base de datos en el código del sitio

CorregidoVolvido a comprobar

Antes. La clave de administración de la base de datos de Atlas está en el código del sitio, y cualquiera que abra el sitio puede abrir la tabla de clientes.

Lo que vimos

Una clave que abre toda la base de datos estaba en el código del sitio.

Detalles técnicos

Encontrado en 1 de los 4 scripts que carga la página de inicio, /_next/static/chunks/app.js. Un JWT de Supabase que empieza por eyJhbGciOiJI (recortado aquí) lleva el rol service_role, que se salta la seguridad a nivel de fila. Lockpick leyó el script como cualquier navegador y no usó la clave.

Lo que alguien podría hacer

Leer, cambiar o borrar cada registro de cliente. Sin contraseña.

Las instrucciones

Un prompt listo para pegar en tu agente de programación. Rota la clave, muévela al servidor, bloquea la tabla y vuelve a comprobar.

Gratis para empezar. Deep cuando quieras más.

Gratis

No hace falta tarjeta

  • 5 escaneos Pulse gratuitos al mes en un sitio
  • Tu página de inicio y sus registros públicos de DNS, correo y certificado
  • Como máximo 10 solicitudes, normalmente menos de 15 segundos
  • Las comprobaciones automáticas semanales usan un escaneo cada una
  • Sin inicio de sesión, sin envío de formularios, sin datos de clientes

Deep

$19 al mes o $190 al año

  • 100 escaneos Pulse y 20 Deep al mes en 3 sitios
  • Hasta 30 páginas, sus scripts y la API que hay detrás
  • Comprobaciones automáticas semanales
  • Demuestra primero que el sitio es tuyo
RevisarloVer Deep

Master Key llegará pronto.

Solo páginas HTTPS públicas. Escanea únicamente sitios que estés autorizado a probar.

Preguntas antes de escanear.

¿Es seguro escanear mi sitio?

Sí. Un escaneo Pulse lee solo lo que ya puede ver cualquier navegador o servidor de correo. Cubre la página de inicio y los archivos que carga, la configuración de remitente de correo (SPF y DMARC), las cabeceras de seguridad y TLS, y los registros públicos de DNS, certificados y subdominios, en un máximo de 10 solicitudes. Nunca inicia sesión ni envía formularios.

¿Necesitáis mi código?

Para tu sitio, no. Los escaneos de sitios comprueban tu sitio en vivo desde fuera, como lo haría un atacante, así que nunca necesitan tu código. Las revisiones de repos y skills solo leen el código público de un enlace de GitHub que pegues, y nunca lo ejecutan.

¿Con qué constructores funciona?

Con cualquier sitio web público en HTTPS, independientemente de cómo se haya creado. Cada hallazgo incluye un prompt de corrección para tu asistente de programación, sea Lovable, Bolt, Replit, Cursor, Claude Code u otro.

¿Qué significa «autorizado a probar»?

Significa que el sitio es tuyo o que su propietario te ha dicho que puedes comprobarlo. Lo confirmas antes de un escaneo Pulse, y un escaneo Deep también te pide que demuestres que eres el propietario del sitio.

¿Qué obtienen los miembros de Early AI-dopters?

Los miembros obtienen 10 escaneos Pulse al mes en 2 sitios y un mes gratis de Deep. Los miembros VIP obtienen 20 en 3 sitios y 2 meses gratis de Deep. Reclámalo desde el icono de Lockpick en EA Apps.

¿Puedo cancelar en cualquier momento?

Sí. Cancela Deep desde Facturación cuando quieras. El plan Free no tiene nada que cancelar.

Mira de cerca antes de que lo hagan otros.

Revisarlo

Abre solo las cerraduras que son tuyas.

Lockpick
PreciosMetodologíaDocumentaciónBlogGuíasComprobaciones de seguridadAprende con PickSeguridad y confianzaLockpick para ClaudeRegistro de cambiosEstadoDatos para asistentes de IA

Lockpick es un escáner de seguridad para apps creadas con vibe coding. Comprueba lo que expone tu sitio en producción y lo que haría un repo de GitHub o una skill de IA antes de que lo instales, y te da un prompt de corrección para Lovable, Bolt, Replit, Cursor o Claude Code.

Lockpick evalúa páginas públicas que tienes autorización para probar, y código público de GitHub que nunca ejecuta.

© 2026 LockpickTérminosPrivacidadContactoIniciar sesión