Documentación

Introduce cualquier URL pública y Watchpost la examina desde fuera, con la misma vista que tendría un atacante. Un análisis estándar es pasivo y de solo lectura: carga tu página de inicio y su JavaScript, realiza un handshake TLS, hace consultas DNS y solicita una lista corta de rutas conocidas como /.env o /.git/config.

Nunca envía formularios, nunca intenta iniciar sesión y nunca envía payloads de explotación. La mayoría de los análisis terminan en menos de un minuto. Los resultados de un mismo host se reutilizan durante 24 horas, así que los análisis repetidos no vuelven a consultar tu servidor.

Consulta todas las comprobaciones que realizamos en el catálogo de comprobaciones.

• Pasivo: cualquiera puede ejecutarlo contra cualquier sitio público. Solo lee lo que ya es público.
• Profundo: solo para propietarios con sesión iniciada que hayan verificado el dominio. Las comprobaciones profundas prueban activamente la configuración, por ejemplo si las tablas de Supabase o las bases de datos de Firebase se pueden leer con la clave pública incluida en tu sitio.

Las comprobaciones profundas solo registran recuentos y nombres (por ejemplo "tabla profiles: 1.204 filas legibles"), nunca los datos en sí. Los informes de análisis profundos solo son visibles para el propietario del sitio.

Añade el sitio desde tu panel. Recibirás un token; publícalo con cualquiera de estos métodos y pulsa Verificar:

1. Registro DNS TXT en el host: watchpost-verify=<token>
2. Archivo en https://your-domain/.well-known/watchpost-verify.txt que contenga el token
3. Etiqueta meta en el <head> de tu página de inicio: <meta name="watchpost-verify" content="<token>">

La propiedad se vuelve a comprobar antes de un análisis profundo cuando tiene más de 30 días. Si el token ya no está, los análisis profundos se bloquean de nuevo hasta que vuelvas a verificar.

• Análisis anónimos: 5 por minuto y 50 por día por dirección IP.
• Los resultados de un mismo host se guardan en caché durante 24 horas.
• Sitios de tu propiedad: un reanálisis pasivo cada 5 minutos y un análisis profundo por hora.
• Hasta 20 sitios por cuenta.

Cada análisis parte de 100 puntos. Cada hallazgo resta puntos según su gravedad: crítico 40, alto 15, medio 5, bajo 1. La puntuación se traduce en una calificación: A 90+, B 75+, C 60+, D 40+, F menos de 40. Cualquier hallazgo crítico limita la calificación a D.

Una buena calificación significa que no encontramos nada dentro del alcance de nuestras comprobaciones. No es una prueba de penetración ni una garantía de que un sitio sea seguro.

Los informes de análisis anónimos no están listados: cualquiera con el enlace puede abrirlos, pero se excluyen de los motores de búsqueda. Los informes de los sitios de tu cuenta, pasivos o profundos, solo los ves tú.

Los mismos endpoints que usa el sitio web están abiertos, sujetos a los límites anteriores:

• POST /api/v1/scans con {"url": "https://example.com"} devuelve {"id": "…"}
• GET /api/v1/scans/<id> devuelve el estado, la calificación y los hallazgos
• GET /api/v1/checks devuelve el catálogo de comprobaciones

Identifica tu integración con un User-Agent descriptivo.