Escaneo gratuito de vulnerabilidades web: qué detecta un escaneo pasivo y qué no
Ejecute con Ostorlab un escaneo gratuito de seguridad web seguro para producción: TLS, encabezados de seguridad y componentes con vulnerabilidades conocidas. Descubra qué detecta un escaneo pasivo, qué no puede detectar y cuándo necesita una prueba activa.
Escaneo gratuito de vulnerabilidades web: qué detecta un escaneo pasivo y qué no
Respuesta rápida: El escaneo web gratuito de Ostorlab comprueba TLS, los encabezados de seguridad y los componentes con vulnerabilidades conocidas de su sitio sin atacarlo. Es pasivo, por lo que puede ejecutarlo en producción. Introduzca una URL propia o para la que tenga autorización de prueba y recibirá el informe por correo electrónico.
Qué detecta un escaneo pasivo
- Problemas de TLS. Certificados caducados o débiles, versiones antiguas del protocolo y algoritmos de cifrado débiles.
- Encabezados de seguridad ausentes. Content-Security-Policy, Strict-Transport-Security, X-Frame-Options y otros que bloquean ataques habituales en el navegador.
- Componentes con vulnerabilidades conocidas. Bibliotecas JavaScript obsoletas, versiones de CMS y software de servidor con CVE públicos.
- Información expuesta. Banners de versión y páginas que indican al atacante qué software utiliza.
Estos son los problemas que los atacantes encuentran primero, porque las herramientas automatizadas los buscan a diario en todo Internet.
Qué no puede detectar
Un escaneo pasivo no inicia sesión, envía formularios ni manda payloads de ataque. Eso significa que no puede detectar:
- controles de acceso defectuosos que permiten al usuario A leer los datos del usuario B (IDOR, BOLA)
- fallos de lógica de negocio, como un descuento aplicado dos veces
- fallos de inyección que solo se activan al enviar un formulario o hacer una llamada a la API
Estos problemas provocan la mayoría de las brechas graves. Encontrarlos requiere una prueba activa con sesión iniciada. Agentic Deep Scan para web de Ostorlab explora la aplicación como un atacante. Con la configuración de prueba, gestiona los inicios de sesión con SSO y MFA y demuestra cada hallazgo con evidencias reproducibles. Para conocer el funcionamiento general de las pruebas dinámicas, consulte DAST (análisis dinámico): ¿cómo funciona?.
¿Escaneo gratuito o Agentic Deep Scan?
| Escaneo web gratuito | Agentic Deep Scan | |
|---|---|---|
| Inicio de sesión | No | Sí, incluidos SSO y MFA, con configuración de prueba |
| Payloads de ataque | No | Sí, controlados |
| API | No | Sí |
| Seguro en producción | Sí | Configurable |
| Evidencia para cada hallazgo | No | Sí |
| Precio | Gratuito | Plan de pago |
Vea qué comunica una prueba activa en el informe web de ejemplo.
Pruébelo en su propio sitio: escanee su sitio web gratis.
Preguntas frecuentes
¿Es seguro el escaneo web gratuito en producción? Sí. Solo rastrea y lee respuestas. No envía formularios ni payloads.
¿Necesito ser propietario del sitio web? Sí. Debe ser propietario del sitio o tener autorización para probarlo, y debe confirmarlo en el formulario.
¿El escaneo gratuito prueba mi API? No. Las pruebas de API forman parte de Agentic Deep Scan.
¿Cuál es la diferencia entre un escaneo web pasivo y uno activo? Un escaneo pasivo lee lo que el sitio expone: certificados, encabezados y versiones de componentes. Un escaneo activo inicia sesión y envía solicitudes de prueba para detectar fallos de control de acceso, lógica e inyección.