Cómo revisa Lockpick un sitio
Qué revisan Pulse y Deep, qué dejan fuera y cómo leer un resultado.
Mira la guía
Cuatro minutos con Pick, desde añadir tu sitio hasta pasar la corrección a tu IA. Los subtítulos aparecen en pantalla, así que funciona sin sonido.
Leer la transcripción
- 0:00 Conoce Lockpick
- Pick presenta Lockpick. Lee tu sitio en vivo desde fuera, como lo haría un desconocido, y nunca necesita tu código.
- 0:44 Añade tu sitio
- Añade tu sitio con su dirección y confirma que es tuyo o que tienes permiso para probarlo.
- 1:26 Tu primer escaneo
- Ejecuta tu primer escaneo Pulse. Lee tu página de inicio y los registros públicos, normalmente en menos de 15 segundos, y no cambia nada en tu sitio.
- 2:19 Lee tu informe
- Lee la calificación y luego cada hallazgo en palabras sencillas, con la evidencia que lo respalda y lo que alguien podría hacer con él.
- 3:10 Arréglalo con tu IA
- Copia el prompt de corrección de un hallazgo en tu asistente de programación, revisa y prueba el cambio y después pulsa Volver a comprobar para confirmar la solución.
Pulse y Deep
Dos profundidades de la misma mirada desde fuera. Pulse es gratis en todos los planes. Deep viene con el plan Deep y llega mucho más lejos, en sitios de los que hayas demostrado ser propietario.
Pulse
Una mirada rápida desde fuera, como la ve un desconocido o un bot
- Qué revisamos
- La página principal y los archivos que carga, la configuración del remitente de correo (SPF y DMARC), las cabeceras de seguridad y TLS, y los registros públicos de DNS, certificados y subdominios, en un máximo de 10 solicitudes.
- Duración
- Normalmente menos de 15 segundos
- Necesita prueba de que es tuyo
- No, solo confirmas que tienes permiso
Deep
Un recorrido cuidadoso por tu sitio, como lo haría un atacante decidido
- Qué revisamos
- Hasta 30 páginas legibles y 20 scripts, archivos que no deberían ser públicos, áreas de administración y tu API si tienes una. Si tu sitio genera sus páginas en el navegador, el informe indica cuánto pudo leer Deep.
- Duración
- De 2 a 8 minutos
- Necesita prueba de que es tuyo
- Sí, un registro DNS, una etiqueta meta o un archivo, que debe seguir publicado
Ninguno de los dos cambia nada en tu sitio.
Del hallazgo a la corrección
Cada escaneo termina en el mismo ciclo, para que sepas cuándo un problema está realmente resuelto.
Escanear
Ejecuta un escaneo Pulse o Deep, o deja que una comprobación automática semanal lo haga por ti.
Lee el hallazgo
Cada hallazgo dice en palabras sencillas qué está abierto, qué podría hacer alguien con ello y la evidencia que vimos.
Entrega la corrección a tu IA
Copia el prompt de corrección en Lovable, Bolt, Replit, Cursor o Claude Code. Revisa y prueba el cambio antes de publicarlo.
Vuelve a comprobar
Volver a comprobar ejecuta el mismo escaneo para confirmar la corrección. Usa un escaneo de la cuota del mes.
En un hallazgo de DNS, Volver a leer este registro vuelve a leer el registro público gratis, sin un escaneo nuevo.
Comprobaciones automáticas semanales
Activa una comprobación automática y Lockpick escanea tu sitio una vez por semana, después te envía por correo la calificación, lo que se corrigió, lo nuevo y la primera cosa que conviene arreglar. El plan Gratis comprueba cada semana con Pulse. El plan Deep comprueba cada semana con Pulse o con Deep.
Cada comprobación automática usa un escaneo de la cuota del mes, igual que un escaneo que inicies tú. Cuando se acaben los escaneos, las comprobaciones automáticas esperan al reinicio de la cuota y te avisan por correo.
Preguntas
¿Qué sitios puedo evaluar?
Solo sitios que te pertenezcan o que tengas autorización para probar. Comprueba el origen HTTPS exacto antes de empezar. El permiso para un sitio no incluye otros dominios, infraestructura de alojamiento compartido ni servicios de terceros.
¿Necesito saber de seguridad?
Empieza por la explicación en lenguaje claro y consulta las pruebas si necesitas más detalles. Tu agente de programación puede ayudarte con la reparación, pero debes revisar y probar el cambio propuesto.
¿Mi agente de programación ejecuta el escaneo?
Lockpick ejecuta el escaneo en su propia infraestructura. Tu agente de programación puede ayudarte a aplicar el prompt de corrección en tu repositorio. Tus resultados muestran la evidencia y los siguientes pasos. Los flujos de trabajo privados y los registros internos no forman parte del informe.
¿Qué revisa Pulse?
La página principal y los archivos que carga, la configuración del remitente de correo (SPF y DMARC), las cabeceras de seguridad y TLS, y los registros públicos de DNS, certificados y subdominios, en un máximo de 10 solicitudes. No inicia sesión, no envía formularios, no accede a tu base de datos ni demuestra que los roles de usuario están aislados. Deep llega más lejos, hasta 30 páginas legibles y 20 scripts, además de tu API, una vez que demuestres que eres dueño del sitio. Cuando un sitio construye sus páginas en el navegador, el informe muestra cuánto pudo leer Deep.
¿Lockpick respeta robots.txt?
Pulse lee una página, la página de inicio que abre un visitante, y los archivos que carga, como lo hace el navegador de un visitante. También lee robots.txt, tu sitemap y security.txt, y nunca rastrea ninguna otra página. Deep lee robots.txt solo para descubrir rutas. Su directiva Sitemap y las rutas que nombra guían lo que Deep revisa, pero Deep igualmente solicita las rutas que el archivo deshabilita, porque robots.txt es una petición a los rastreadores respetuosos y no un control de acceso. Deep solo se ejecuta en sitios de los que hayas demostrado ser propietario.
¿Un resultado sin hallazgos significa que mi aplicación es segura?
No. Significa que las comprobaciones terminadas no detectaron problemas en la respuesta analizada. Las comprobaciones inciertas y las áreas no probadas siguen siendo visibles. Revisar una página de inicio pública no puede establecer la seguridad de toda la aplicación.
¿Lockpick cambiará mi código?
No se hace ningún cambio automáticamente. Revisa el prompt de corrección con tu agente de programación, prueba la solución propuesta y decide si la publicas. Copiar un prompt no resuelve un hallazgo. Vuelve a comprobar para comparar la nueva evidencia.
¿Qué pasa si el escaneo se detiene antes de terminar?
Si un escaneo se detiene antes de tiempo, el informe marca qué comprobaciones terminaron y cuáles no. Un resultado parcial nunca aparece como limpio.
¿Puedo conservar los resultados para siempre?
Los informes permanecen en tu espacio de trabajo hasta que los borres o cierres tu cuenta. Nunca pongas contraseñas, tokens de acceso ni datos de clientes en una URL de destino o en un brief de corrección.
Fuentes
El recuento en vivo de vulnerabilidades de la página de inicio parte de Zero Day Clock, que contó 57.871 CVE publicados de enero a agosto de 2026. Lo extendemos al mismo ritmo diario.
Mira lo que muestra tu sitio
Empieza con una revisión gratis de tu página de inicio y luego decide hasta dónde quieres llegar.