Revisión pasiva de la superficie pública de una empresa. Muestra qué vería un atacante antes de intentar nada, sin tocar los sistemas del cliente.
Ejemplo ilustrativo · datos ficticiosLa empresa tiene una presencia pública ordenada y su sitio funciona bien. El problema principal está en el correo. Hoy el dominio se puede suplantar, así que un tercero podría enviar correos que parezcan venir de la empresa y usarlos para engañar a clientes o proveedores. Es un riesgo de fraude concreto y se corrige rápido. Junto a eso aparecen ajustes menores de configuración que conviene cerrar para dejar la superficie limpia.
Un hallazgo alto de fraude por correo, sumado a ajustes de configuración pendientes.
El diagnóstico se hizo de forma pasiva y sobre información pública. No se ingresó a ningún sistema, no se probaron contraseñas y no se generó carga sobre los servidores del cliente. Todo el trabajo se hace con autorización escrita y dentro del marco de la Ley 21.459.
Registros SPF, DKIM y DMARC del dominio, para ver si es suplantable.
Configuración de nombres, subdominios visibles y registros públicos.
Cabeceras de seguridad HTTP y certificado TLS del sitio.
Rastro visible en registros de transparencia de certificados y buscadores.
El dominio no tiene una política DMARC publicada. En la práctica, cualquiera puede enviar correos que aparenten venir de la empresa. Es la puerta habitual del fraude por correo, desde una factura falsa a un proveedor hasta un engaño a un cliente que confía en el remitente.
El registro SPF termina en ~all (softfail), que marca el correo no autorizado como sospechoso pero no lo bloquea. Deja un margen para que envíos no legítimos igual lleguen a la bandeja de entrada del destinatario.
El sitio no entrega varias cabeceras de seguridad recomendadas, como HSTS y política de contenido. No es una falla que se explote sola, pero deja al navegador sin protecciones que hoy son estándar y facilita otros ataques sobre el visitante.
En los registros públicos de transparencia de certificados aparecen subdominios internos, por ejemplo entornos de prueba y paneles de administración. No es una filtración, pero le da a un atacante un mapa de por dónde empezar a mirar.
El certificado del sitio es válido y está bien configurado. Vence dentro de pocas semanas. No es un riesgo hoy, pero si la renovación no está automatizada, un olvido dejaría el sitio marcado como no seguro.
Publicar DMARC y ordenar SPF. Es el hallazgo alto y el de mayor impacto por menor esfuerzo.
Sumar las cabeceras de seguridad faltantes y confirmar la renovación automática del certificado.
Depurar subdominios en desuso y sacar los entornos internos de la vista pública.
Una vez corregido, el monitoreo mensual revisa SPF, DMARC, TLS y exposición, y avisa apenas algo cambia. USD 30 al mes.
El diagnóstico de exposición parte igual que este ejemplo, con tus datos reales y sin compromiso.
Quiero mi diagnóstico →