Escanea tu sitio antes de lanzarlo. Una sola comprobación cubre lo que se cuela el día del lanzamiento: claves de API en tu JavaScript, una carpeta .env o .git pública, source maps, encabezados de seguridad débiles, contenido mixto, un noindex olvidado y títulos, etiquetas para compartir y favicon que faltan. Es gratis y no se guarda nada de lo que escaneas.
Cómo escanear tu sitio, paso a paso
- Escribe la dirección de tu sitio en el cuadro de dirección.
- Pulsa Escanear sitio y espera un momento.
- Lee los resultados. Usa las pestañas para ver Todas las comprobaciones o una categoría: Archivos y secretos, Seguridad, Búsqueda y compartir, o Básicos.
- Corrige lo que se señale, publica y vuelve a escanear para confirmarlo.
Lo que busca el escaneo
Archivos y secretos expuestos: claves de API, tokens y claves privadas dentro de tu HTML y tus scripts; archivos .env, .git y config.json públicos; y source maps que publican tu código original. Seguridad: HTTPS y la redirección desde HTTP normal, los principales encabezados de seguridad, las banderas de cookies, el contenido mixto y un contacto security.txt. Búsqueda y compartir: el título, la descripción y las etiquetas Open Graph, robots.txt, sitemap.xml y cualquier noindex sobrante de pruebas. Básicos: el viewport, el idioma de la página, el favicon y los enlaces a una política de privacidad y unos términos.
Qué pasa cuando escaneas
Esta herramienta hace solicitudes de red, así que esto es exactamente lo que hace. El servidor de Snowkit descarga tu página de inicio, robots.txt, sitemap.xml, security.txt, el favicon, hasta 5 de tus propios scripts y sus source maps, y 4 rutas comunes de fugas. Son 30 solicitudes como máximo, sin rastreo. Las claves y las etiquetas se comprueban en tu navegador y no se guarda nada. Escanea solo sitios que administres o que tengas permiso de probar.
Si aparece una clave
Trátala como filtrada, aunque el sitio aún no sea público. Revócala o rótala primero con el proveedor y luego sácala del código del front-end y llévala a una variable de entorno del servidor o a una función de backend. Las claves pensadas para navegadores, como las claves de pago publicables o las claves de mapas restringidas, se pueden publicar sin problema, pero bloquéalas a tu dominio en el panel del proveedor.
Lo que no puede ver
Revisa la página de inicio y los archivos a los que enlaza, no todas las páginas. No ve el contenido que solo aparece después de ejecutar JavaScript, las páginas protegidas por inicio de sesión ni el código del lado del servidor. Un escaneo limpio significa que los errores comunes de lanzamiento están cubiertos, no que el sitio sea totalmente seguro.
Una lista de verificación de lanzamiento sencilla
- Ejecuta el escaneo sobre la dirección real, no sobre un enlace de borrador.
- Quita cualquier noindex que haya quedado de la fase de pruebas.
- Añade un título, una descripción y una imagen para compartir a cada página clave con el generador de etiquetas meta.
- Publica un sitemap con el generador de sitemap y una página de privacidad con el generador de política de privacidad.
- Revisa tu propio código con el escáner de secretos antes de publicar.
Preguntas
¿Puedo escanear cualquier sitio?
Escanea solo sitios que administres o que tengas permiso de probar.
¿Guarda mis resultados?
No. No se guarda nada de lo que escaneas.
¿Un resultado limpio es una garantía?
No. Cubre errores comunes de lanzamiento en las páginas que puede ver, no todas las debilidades posibles.