Cómo comprobamos
Lockpick lee lo que cualquiera en internet puede ver de tu sitio, dentro de límites fijos, e informa solo de lo que vio.
Lockpick revisa tu sitio desde fuera, como lo encontraría un desconocido o un atacante. Cada comprobación lee lo que tu sitio ya muestra al público, más los registros públicos de tu dominio, y nada más.
Dentro de límites fijos
Cada tipo de escaneo tiene un presupuesto fijo que no puede superar.
| Pulse | Deep | |
|---|---|---|
| En pocas palabras | Una mirada rápida desde fuera, como la ve un desconocido o un bot | Un recorrido cuidadoso por tu sitio, como lo haría un atacante decidido |
| Qué revisamos | La página principal y los archivos que carga, la configuración del remitente de correo (SPF y DMARC), las cabeceras de seguridad y TLS, y los registros públicos de DNS, certificados y subdominios, en un máximo de 10 solicitudes. | Hasta 30 páginas legibles y 20 scripts, archivos que no deberían ser públicos, áreas de administración y tu API si tienes una. Si tu sitio genera sus páginas en el navegador, el informe indica cuánto pudo leer Deep. |
| Duración | Normalmente menos de 15 segundos | De 2 a 8 minutos |
| Necesita prueba de que es tuyo | No, solo confirmas que tienes permiso | Sí, un registro DNS, una etiqueta meta o un archivo, que debe seguir publicado |
- Un Pulse envía como máximo 10 peticiones a tu sitio, y un escaneo Deep como máximo 200.
- Las peticiones se espacian, y un escaneo se detiene pronto si tu sitio se ralentiza, falla o rechaza el acceso.
- Leer registros DNS, registros de certificados y el registro de dominios nunca toca tu sitio.
Solo lo que vimos
Un hallazgo se informa solo con la evidencia que lo muestra. Un informe dice qué pudo leer cada parte del escaneo, y cualquier cosa que no pudo comprobar se marca como no comprobada, nunca como superada. Cómo calificamos los hallazgos explica la gravedad, lo que debe mostrar un hallazgo confirmado y lo que puede demostrar volver a comprobar.
Primero tu permiso
Cada escaneo empieza con tu confirmación de que eres propietario del sitio o de que puedes probarlo. Un escaneo Deep además necesita una prueba de propiedad y tu aprobación cada vez.
¿Te ha sido útil?
Referencia
Cada operación de la API de Lockpick, su permiso, sus entradas y su respuesta, generados desde la propia API. Versión 1, en beta.
Cómo calificamos los hallazgos
Cómo Lockpick asigna la gravedad, qué debe mostrar un hallazgo confirmado, cuánta certeza tiene cada hallazgo, qué corregir primero y qué puede demostrar volver a comprobar.