Permite a Lockpick pasar por tu cortafuegos

Los cortafuegos, las comprobaciones de bots y los muros de inicio de sesión pueden detener un escaneo. Cuando uno bloquea el escaneo antes de que vea tu sitio, el informe aparece como Bloqueado y nombra lo que lo detuvo, como la comprobación de bots de Cloudflare o de Vercel. No recibe puntuación, aun así comprueba tus registros públicos, y una comprobación automática se pausa y te lo indica. Cuando la protección contra bots se activa a mitad de un escaneo Deep, el informe conserva todo lo leído antes, indica que tu protección contra bots funciona y ofrece un prompt para tu agente de IA que añade la regla de abajo. Permitir a Lockpick pasar hace que el siguiente escaneo pueda terminar.

Cómo se presenta Lockpick

Los escaneos envían las mismas cabeceras que un navegador Chrome o Edge normal, incluido su user agent, así que un escaneo ve tu sitio como lo vería un visitante. De todos modos, un user agent no prueba nada: cualquiera puede copiar uno.

En su lugar, Lockpick firma cada petición que envía a tu sitio con Web Bot Auth, el estándar abierto para que los bots demuestren quiénes son. Cada petición lleva esta cabecera, una firma de corta duración para tu dominio que solo la clave de Lockpick puede generar, y la cabecera Signature-Input correspondiente.

Signature-Agent: "https://bots.lockpick.app"

Las claves públicas se publican en https://bots.lockpick.app/.well-known/http-message-signatures-directory. La protección contra bots que comprueba estas firmas puede distinguir un escaneo real de Lockpick de alguien que usa su nombre, y los proveedores que listan a Lockpick como bot verificado lo dejan pasar sin una regla propia. Hasta que tu proveedor lo haga, o si una regla tuya bloquea o desafía a todos los bots, añade la regla de abajo.

Permitirlo

Añade una regla en tu cortafuegos o protección contra bots que omita las comprobaciones de bots y los límites de peticiones cuando la cabecera Signature-Agent contenga bots.lockpick.app. Lockpick no escanea desde una lista fija de direcciones IP, así que permítelo por esta cabecera y no por dirección.

• Vercel. En el Firewall de tu proyecto, añade una regla personalizada cuya condición sea Request Header signature-agent contains bots.lockpick.app y cuya acción sea Bypass, por encima de cualquier regla personalizada que desafíe o deniegue. El Modo de Desafío ante Ataques desafía a todos los visitantes salvo a los bots conocidos mientras está activo, y una regla personalizada no lo anula, así que vuelve a comprobarlo una vez desactivado.
• Cloudflare. Añade una regla personalizada con la expresión any(http.request.headers["signature-agent"][*] contains "bots.lockpick.app") y la acción Skip, omitiendo las demás reglas personalizadas, los límites de peticiones, las reglas gestionadas y Super Bot Fight Mode (en planes de pago), y colócala la primera. El Bot Fight Mode del plan gratuito no puede omitirlo ninguna regla, así que hay que desactivarlo para que Lockpick pueda pasar.
• Otros cortafuegos. Busca una regla que omita la protección contra bots por una cabecera de la petición. El informe nombra a Akamai, Imperva, Sucuri, AWS WAF, Azure Front Door, DataDome o PerimeterX cuando su página de bloqueo dice quién la sirvió, y dice "un cortafuegos" cuando no puede saber cuál respondió.

Comprobaciones de bots de Cloudflare y Vercel

Una comprobación de bots es la página que pide a un visitante que espere o demuestre que es humano, a veces con un estado normal "200 OK". Lockpick reconoce las de Cloudflare y Vercel por las marcas que envían, se detiene de inmediato y nunca intenta resolverlas ni saltárselas. Tampoco reintenta desde otra dirección.

Un cortafuegos que bloquea una ruta sensible está cumpliendo su función, así que eso por sí solo nunca detiene un escaneo. Cuando Lockpick busca archivos que no deberían ser públicos (como /.env o /wp-config.php.bak) o rutas comunes (como /admin) y tu cortafuegos responde con su página de bloqueo o de desafío, el informe registra esa ruta como protegida y el escaneo continúa. Solo cuando varias de esas comprobaciones se rechazan seguidas, Lockpick vuelve a leer tu página principal. Si el cortafuegos rechaza la página que sirvió hace un minuto, te está bloqueando a Lockpick, y el escaneo se detiene. Las comprobaciones Deep de esos archivos sensibles se hacen al final, tras las comprobaciones de rutas y de API, y en un orden distinto en cada escaneo. Además, solo comprueba los archivos que tu alojamiento podría servir: en Vercel, Netlify o un creador de sitios como Shopify o Webflow, donde solo se publica el resultado de tu compilación, omite .env, .git, volcados de bases de datos y archivos del servidor, y comprueba tus propias rutas.

Por qué es suave con tu sitio

• Cada escaneo tiene un límite fijo, como máximo 10 peticiones para un Pulse y 200 para un escaneo Deep.
• Las peticiones se espacian, no se envían todas a la vez.
• Un escaneo se detiene pronto si tu sitio responde "demasiadas peticiones", empieza a fallar o deniega el acceso.
• Sigue las reglas de tu robots.txt para cada página que descubre, usando las reglas escritas para Lockpick o, si no las hay, las reglas para todos los rastreadores.
• La página que abre un visitante y los archivos que carga son la excepción. Como el navegador de un visitante, un escaneo lee tu página principal, los scripts que carga y /.well-known/security.txt, incluso cuando robots.txt pide a los rastreadores que se mantengan alejados.
• Si no se puede leer robots.txt, un escaneo lee solo esos archivos y omite todas las demás páginas.
• Nunca inicia sesión, no envía formularios y no cambia nada.