Monitor

Cada día se descubren nuevos problemas de seguridad en software popular. Monitor vigila los que afectan a lo que están hechos tus sitios y te dice qué hacer, con palabras sencillas.

De dónde vienen los problemas

Lockpick lee estas fuentes públicas todo el día.

• OSV.dev, una base de datos abierta de problemas de seguridad en paquetes de código abierto. Incluye todos los problemas revisados por la GitHub Advisory Database, y Lockpick guarda una copia completa de los paquetes de JavaScript (npm) y Python (PyPI), incluidos los informes de paquetes maliciosos, que actualiza cada hora.
• La GitHub Advisory Database directamente, una comprobación rápida cada hora del software que sigue Monitor, así que un problema nuevo aparece incluso antes de que OSV.dev lo copie.
• La lista de Known Exploited Vulnerabilities de CISA, la agencia de ciberseguridad de Estados Unidos. Un problema de esta lista se marca como Explotado activamente, porque los atacantes ya lo están usando.
• EPSS de FIRST, una predicción diaria de la probabilidad de que cada problema se explote en los próximos 30 días. Un problema del 5% superior se marca como Probablemente se explotará pronto.
• Wordfence Intelligence para el núcleo de WordPress, cuando está activado para tu Lockpick. Sus problemas llevan el aviso de copyright de Wordfence y un enlace a sus condiciones.
• Los avisos publicados por Zero Day Initiative, por sus identificadores, títulos y puntuaciones de gravedad.
• La National Vulnerability Database, solo para una puntuación de gravedad cuando las otras fuentes no la dan.

Solo con un escaneo, Monitor sigue Next.js, React, WordPress, Supabase, Clerk, Stripe, Firebase, Auth0, Sentry, Vue, Shopify, Wix, Squarespace, Webflow, Framer. Cuando envías las versiones de tus paquetes, comprueba cada paquete de JavaScript y Python que contienen.

Cómo se relaciona un problema con tu sitio

Tu último escaneo de cada sitio muestra con qué está hecho, por ejemplo Next.js o WordPress. Monitor muestra un problema por cada sitio hecho con el software afectado.

Un escaneo puede ver la tecnología, pero normalmente no qué versión usa tu sitio. Por eso Monitor dice que un problema puede afectarte, nunca que tu sitio sea vulnerable. Si tu sitio ya usa una versión corregida, no hace falta cambiar nada.

Te afecta: envía las versiones de tus paquetes

Para una respuesta exacta, envía los nombres y las versiones de los paquetes que usa el código de tu sitio. Lockpick comprueba entonces cada problema frente a las versiones que realmente usas, y una coincidencia dice Te afecta, con la versión que lo corrige, por encima de todo lo que solo puede afectarte. Un problema del que tus versiones ya están a salvo sale de tu lista, aunque el escaneo siga viendo la tecnología.

Solo se envían nombres de paquetes y versiones exactas, nunca tu código, rutas de archivos, hashes ni direcciones de registros privados. Lockpick lee package-lock.json, npm-shrinkwrap.json, pnpm-lock.yaml, yarn.lock, requirements.txt (líneas fijadas) y poetry.lock.

• Desde la terminal, ejecuta npx lockpicks deps <site> en la carpeta del proyecto. Añade --dry-run para ver exactamente qué se enviaría, y --forget para quitar la lista de Lockpick.
• Cuando inicias un Pulse o revisas de nuevo desde una carpeta de proyecto, la CLI pregunta una vez si enviar sus versiones y recuerda tu respuesta para esa carpeta. --lockfile las envía solo para ese escaneo y --no-lockfile omite el envío.
• Un agente de programación solo las envía cuando llama a lockpick_send_dependencies, después de que lo pidas o lo aceptes.

Cada envío reemplaza al anterior, así que tras una actualización vuelve a enviarlas y los problemas corregidos desaparecerán. Un problema que Pulse o Deep también vieron en el sitio en vivo se marca como Visto en el sitio en vivo. Enviar requiere una clave con permiso para gestionar sitios (lockpick login --sites) y el derecho de gestión sobre ese sitio.

Leer la página de Monitor

Abre Monitor en la barra lateral de la app. La parte superior de la página muestra cuántas tecnologías vigila Monitor en tus sitios, cuántos problemas se publicaron esta semana, cuántos pueden afectarte y, una vez que hayas enviado las versiones de los paquetes, cuántos te afectan.

Cinco vistas eligen lo que muestra la lista. Cuando tienes un sitio, Monitor se abre en Para tus sitios.

• Para tus sitios enumera los problemas del software que usan tus sitios. Primero aparecen los que afectan a una versión que enviaste, después los más urgentes: explotados activamente, luego probablemente explotados pronto, y después por gravedad. Un problema se etiqueta Puede afectarte cuando se publicó en los últimos 90 días o está explotado activamente, en un sitio que no has marcado como resuelto.
• Últimas alertas enumera todos los problemas que Monitor ha leído, del más reciente al más antiguo, usen o no tus sitios ese software.
• Explotación enumera solo los problemas que los atacantes ya usan.
• Siguiendo enumera los problemas de las tecnologías que eliges seguir para un sitio. Seguir solo los añade a esta lista. No envía correos urgentes.
• Noticias de seguridad enumera noticias recientes de seguridad, y cada titular enlaza con la noticia completa.

Busca por identificador de aviso, título o nombre de paquete. Filtros reduce la lista por idioma o plataforma, por tipo (vulnerabilidades o informes de paquetes maliciosos), por gravedad y por cuánto hacia atrás mirar. Cobertura de fuentes, al final de la página, muestra cuándo recibió Monitor noticias de cada fuente por última vez.

En tu panel

La parte superior de tu panel muestra los mismos problemas en resumen.

• Para tus sitios enumera hasta cinco problemas: primero los que afectan a una versión que enviaste, después los que pueden afectarte, con los más urgentes primero. Cada uno abre Monitor.
• Lo que está pasando muestra noticias recientes de seguridad sobre el software que usan tus sitios, de las publicaciones de seguridad de Node.js y React, Vercel, Cloudflare y Netlify, BleepingComputer y The Hacker News, además de los problemas que CISA acaba de listar como explotados activamente. Cada titular muestra su fuente, su título y un breve adelanto, y enlaza con la noticia completa en el sitio de la fuente. Lockpick nunca copia el artículo.

Ambas cosas aparecen en todos los planes.

Relevante ahora en cada sitio

El Resumen de cada sitio empieza con Relevante ahora: los problemas que importan a ese sitio, cada uno con una etiqueta y lo que lo respalda.

• Te afecta: una versión de paquete que enviaste está afectada. Muestra la versión y la versión que lo corrige.
• Puede afectarte: el escaneo vio el software, pero no su versión.
• Visto en vivo: un escaneo Pulse o Deep encontró el componente afectado en tu sitio activo.
• Explotado activamente: los atacantes ya lo usan.
• Corregido: un escaneo nuevo ya no lo encontró, o enviaste una lista con la versión corregida.

Las etiquetas se borran solas cuando un escaneo nuevo ya no encuentra el problema o cuando envías una lista actualizada, y la franja guarda un breve historial de cuándo apareció y se borró cada etiqueta. La lista de sitios muestra cuántos problemas son relevantes en cada sitio, un hallazgo vinculado a un problema conocido lo nombra en su tarjeta, Cosas por corregir puede mostrar solo esos hallazgos, y Para tus sitios del panel puede mostrar solo lo que te afecta o lo que está explotado activamente. Los asistentes de programación leen las mismas etiquetas en lockpick_site_status.

Qué te dice cada problema

Abre un problema para ver:

• Qué pasó, en dos frases sencillas;
• Qué hacer, indicando la versión corregida cuando la fuente la da;
• Tus sitios que usan el software afectado;
• la probabilidad de que se explote pronto (EPSS) y su puntuación de gravedad (CVSS), cuando se conocen;
• las fuentes originales, con sus identificadores, si tú o tu desarrollador quieren los detalles.

Las explicaciones sencillas las escribe un modelo de IA solo a partir del texto público del aviso, nunca a partir de nada sobre tus sitios. Cada respuesta se comprueba frente a la fuente, incluido cada número de versión que nombra. Cuando una comprobación falla, Monitor usa una redacción fija.

Ponerlo en marcha

• Copiar instrucciones para tu IA copia instrucciones para tu asistente de programación: comprobar qué versión usa tu código, actualizarla si está afectada, ejecutar las pruebas e informar.
• Enviar a mi desarrollador abre un correo con los mismos detalles.
• Marcar como resuelto registra, por sitio, que el problema está tratado allí, para que salga de Puede afectarte. Deshacer lo devuelve. Cualquiera que pueda revisar los hallazgos de un sitio puede marcarlo.

Alertas

Cuando un problema nuevo puede afectar a uno de tus sitios, todas las personas del espacio de trabajo que pueden ver los resultados de ese sitio lo reciben en la campana de la parte superior de la app. Al abrirla vas directo al problema. Solo los problemas publicados en los últimos 14 días, o añadidos recientemente a la lista de explotados activamente, envían una alerta, así que activar Monitor nunca te inunda con noticias antiguas.

Monitor también te envía por correo un resumen semanal de problemas nuevos, agrupados por sitio, unos 7 días después de que llegue el primero. Un problema nuevo que afecta a una versión que enviaste, y que está explotado activamente o probablemente se explotará pronto, se envía por correo al momento, en todos los planes. Cada correo dice qué hacer y enlaza con el problema en Monitor. Para dejar de recibir estos correos, abre Ajustes, después Notificaciones, y desactiva Nuevas vulnerabilidades, o usa el enlace Darse de baja de cualquier correo de Monitor.