Acerca del escáner
El escáner de seguridad web lee la configuración que un sitio público envía a cualquier visitante. Esta página describe sus peticiones y cómo bloquearlo.
Qué analiza
El escáner evalúa la conexión segura, las cabeceras, las cookies y el contenido de la página principal de un dominio.
También revisa los registros DNS que protegen el correo del dominio: SPF, DMARC y CAA.
No es una auditoría ni una prueba de intrusión: solo lee lo que el sitio envía a cualquier visitante.
Cómo se identifica
Cada petición del escáner lleva este User-Agent:
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/153.0.0.0 Safari/537.36 AlexHerreraScanner/1.0 (+https://www.alexherrera.dev/en/tools/scanner/about)Las peticiones salen de la red de Vercel, que no usa direcciones IP fijas.
Qué peticiones hace
- Consultas DNS a 1.1.1.1: las direcciones del dominio y sus registros TXT, MX y CAA.
- Hasta seis conexiones TLS al puerto 443: una normal y otras dos con TLS 1.0 y TLS 1.1, cada una con un reintento.
- Una petición GET a la página principal por HTTPS: 10 segundos y 2 MB como máximo, y hasta 5 redirecciones en el mismo sitio.
- Peticiones GET a la página principal por HTTP, hasta la primera redirección a HTTPS, para comprobar que existe.
- Una petición GET a /.well-known/security.txt.
El escáner no envía formularios, no prueba contraseñas y no visita otras páginas del sitio.
Quién inicia un análisis
Cada análisis lo inicia una persona que escribe el dominio en el formulario del escáner. Cada envío pasa la verificación anti-bots de Cloudflare Turnstile.
Cada dirección IP puede iniciar 5 análisis por hora, y el escáner hace como máximo 500 análisis al día.
Cómo bloquearlo
Bloquee el User-Agent «AlexHerreraScanner» en el servidor o en el cortafuegos del sitio. El escáner muestra el bloqueo en el resultado y no intenta evitarlo.
Qué datos guarda
El escáner guarda el reporte y el dominio analizado durante 30 días, para que pueda compartir su enlace. Cualquiera con el enlace puede ver el reporte, que no incluye la dirección IP de quien analiza.
Para aplicar el límite por hora, guarda un hash HMAC de la dirección IP de quien analiza. El hash cambia cada hora, no permite recuperar la IP y se borra a las 48 horas.
Contacto
Para cualquier consulta sobre el escáner, escriba a alexhmanzanares@gmail.com.