Glosario

Revisión rápida: Una mirada gratuita a la página de inicio de un sitio, con una puntuación de 0 a 100 y una calificación de A a D en unos diez segundos. No necesitas cuenta y no usa ningún escaneo.
Pulse: El escaneo gratuito para cuentas con sesión iniciada. Suele tardar menos de 15 segundos y revisa tu página de inicio, la configuración del correo, la configuración de seguridad y los registros públicos, como lo haría un desconocido o un bot.
Escaneo Deep: El escaneo más profundo. Recorre hasta 30 páginas de tu sitio como lo haría un atacante decidido, y requiere demostrar que eres dueño del sitio.
Master Key: Una prueba que inicia sesión en tu app con dos cuentas de prueba para comprobar si un usuario puede ver los datos de otro usuario. Próximamente.
Revisión automática: Un escaneo que Lockpick ejecuta por ti según un calendario, cada semana en los planes Free y Deep, y te envía el resultado por correo.
Escaneos restantes: Lo que queda de los escaneos de este mes en tu plan. La CLI y la API siguen llamándolos créditos.
Escaneos de bonificación: Escaneos que recibes además de tu plan, por ejemplo por invitar a un amigo o por el acceso anticipado. Se muestran aparte de los escaneos de tu plan.
Calificación: Una letra de A a D que resume lo expuesto que está tu sitio, a partir de una puntuación de 0 a 100.
Problema por corregir: Algo que un escaneo encontró y que facilita un ataque. Los desarrolladores lo llaman hallazgo.
Gravedad: Lo importante que es un problema por corregir, en una sola escala: Crítica, Alta, Media, Baja o Informativa. Pulse y Deep califican hasta Alta por ahora, y los avisos de Monitor pueden ser Críticos.
Cuándo arreglarlo: Qué tan pronto ocuparte de un hallazgo. Arréglalo ya significa que se puede llegar a datos de clientes, cuentas o claves. Arréglalo esta semana significa que alguien podría usarlo en tu contra. Cuando puedas significa que facilita un ataque. Nada que hacer significa que solo conviene saberlo. Para un skill, plugin o servidor MCP que estás pensando instalar, los mismos niveles dicen No lo instales aún, Revísalo antes de instalar, Conviene saberlo y Nada que hacer.
Evidencia: Lo que el escaneo vio realmente y que demuestra el problema, como una cabecera o un registro público, con cualquier dato sensible oculto.
Cobertura: Lo que un escaneo pudo comprobar. Lo que no pudo comprobar nunca se cuenta como superado.
Creado en el navegador: Un sitio cuyas páginas se construyen con código que se ejecuta en el navegador del visitante, como ocurre con muchas apps de React. Pulse lee lo que envía tu servidor, así que ve menos de estos sitios, y la pestaña Alcance del informe indica qué dejó fuera.
Volver a revisar: Un nuevo escaneo del mismo tipo en el mismo sitio, comparado con el anterior. Siempre usa un escaneo. La CLI lo llama re-revisión.
Volver a leer este registro: Una relectura gratuita e instantánea de tus registros públicos de DNS, certificado y registro de dominio para un problema concreto. No envía nada a tu sitio y no usa ningún escaneo.
Demuestra que eres dueño de tu sitio: El paso único que necesita Deep. Añades un registro DNS, una etiqueta meta o un archivo que solo el dueño del sitio puede publicar, y Lockpick lo busca antes de cada escaneo Deep.
Declaración: Tu confirmación de que eres dueño de un sitio o de que tienes permiso para probarlo. Lockpick te la pide antes de cada escaneo.
Monitor: Lockpick vigila los problemas de seguridad publicados en el software que usan tus sitios, como Next.js o WordPress, y te avisa cuando uno puede importarte.
Aviso de seguridad: Un aviso público sobre un problema de seguridad en una pieza de software, que normalmente indica la versión que lo corrige.
Podría afectarte: Tu sitio usa el software al que se refiere un aviso, pero no podemos ver qué versión es. Si tu sitio ya usa una versión corregida, no hace falta cambiar nada.
Te afecta: Las versiones de paquetes que enviaste a Lockpick incluyen una versión afectada. Actualiza a la versión que indica el aviso.
Explotado activamente: Los atacantes ya están usando este problema contra sitios reales. Atiende primero estos.
KEV: La lista de vulnerabilidades explotadas conocidas (KEV) de CISA. CISA es la agencia de ciberseguridad del gobierno de EE. UU., y su lista nombra los problemas que los atacantes usan ahora mismo.
CVE y GHSA: Identificadores públicos de un problema de seguridad conocido, como CVE-2025-55182. Un identificador GHSA es el de GitHub para el mismo tipo de aviso. Solo los necesitas para buscar un problema.
RCE: Ejecución remota de código. Un problema que permite a un atacante ejecutar su propio código en tu servidor, uno de los tipos más graves.
Registros públicos: Datos sobre tu dominio que cualquiera puede consultar, como sus registros DNS, los registros de certificados y los datos de registro. No tienen nada que ver con registros judiciales ni gubernamentales.
DNS: La agenda de direcciones de internet. Indica dónde viven tu sitio y tu correo, y cualquiera puede leerla.
Subdominio: Una dirección dentro de tu dominio, como tienda.ejemplo.com dentro de ejemplo.com. Los registros de certificados los listan, así que cualquiera puede encontrarlos.
Registro TXT: Un registro DNS que contiene una línea de texto. Lo usan la configuración de seguridad del correo y las pruebas de propiedad.
SPF: Un registro DNS que indica qué servidores pueden enviar correo en nombre de tu dominio.
DKIM: Una firma en tus correos que demuestra que realmente vienen de tu dominio.
DMARC: Un registro DNS que indica a los proveedores de correo qué hacer con el correo que no supera SPF o DKIM, por ejemplo rechazarlo.
Certificado HTTPS: Lo que permite a los navegadores conectarse a tu sitio de forma privada y comprobar que es realmente tuyo. Todos los certificados aparecen en registros públicos.
Cabeceras de seguridad: Instrucciones que tu sitio envía con cada página para que los navegadores bloqueen ataques comunes.
Content Security Policy: Una cabecera de seguridad que indica a los navegadores qué scripts pueden ejecutarse en tu página.
HSTS: Una cabecera de seguridad que indica a los navegadores que usen siempre HTTPS con tu sitio.
CORS: Las reglas que deciden qué otros sitios web pueden leer datos de tu sitio en el navegador de un visitante.
Mapa de código fuente: Un archivo que convierte el código comprimido de tu sitio de nuevo en código fuente legible. Si queda público, puede mostrar cómo funciona tu app.
Archivo expuesto: Un archivo que nunca debería ser público, como un archivo de configuración o una copia de seguridad, que cualquiera puede descargar.
Secuestro de subdominio: Cuando un subdominio sigue apuntando a un servicio que ya no usas, alguien más puede reclamarlo y mostrar su propia página.
robots.txt: Un archivo de tu sitio que indica a los visitantes automatizados qué páginas omitir. Lockpick lo sigue para cada página que descubre, y aun así lee la página que abre un visitante y los archivos que carga.
Agente de usuario: El nombre que un programa indica al visitar tu sitio. Los escaneos de Lockpick envían el de un navegador común y, en su lugar, demuestran que son de Lockpick con una cabecera Signature-Agent firmada.
Informe de reparación: Todas las correcciones de un escaneo en un solo documento, escrito para un desarrollador o un asistente de programación.
Prompt de corrección: Instrucciones para una corrección que pegas en un asistente de programación como Claude Code o Cursor. Cada problema tiene el suyo, y puedes editarlo antes de copiarlo.
MCP: El Model Context Protocol, el estándar que usan los asistentes de IA para conectarse a herramientas como Lockpick.
OAuth: La forma estándar de permitir que una aplicación actúe en tu nombre sin darle tu contraseña. Los asistentes inician sesión en Lockpick con ella.
CLI: Lockpick en tu terminal, el comando lockpick, instalado desde npm como lockpicks.
Clave de API: Un secreto, como una contraseña para un programa, que permite a un software usar una cuenta en otro servicio. La clave de API de Lockpick permite que la CLI o tus escaneos de publicación usen tu cuenta de Lockpick. La CLI obtiene una al iniciar sesión.
Projects y runs: La CLI, la API y algunas direcciones web todavía usan project para un sitio y run para un escaneo. Significan lo mismo.