Mira lo que tu sitio le cuenta a un desconocido.
Escribe una URL y la miramos igual que el navegador de un visitante: una petición para la página y luego los scripts que carga. Sin registro, sin agente que instalar, y nada que tu propio navegador no fuera a pedir ya.
Qué miramos, y qué no vamos a hacer
Secretos en tu código
Los scripts que carga tu página, leídos en busca de claves de base de datos, claves de pago, claves de API de modelos y cadenas de conexión que nunca deberían salir de tu servidor.
Conexión
HTTPS, si quien llega por http acaba redirigido, y cuánto tiempo se le dice al navegador que lo recuerde.
Cabeceras de respuesta
La política de contenido, la protección contra incrustación, la fuga de referrer y lo que tu servidor anuncia sobre sí mismo.
Cookies
Si una cookie de sesión puede viajar sin cifrar, ser leída por scripts o enviarse desde otro sitio.
Página y código cliente
Recursos, formularios y WebSockets inseguros, integridad de scripts externos, trazas y source maps en producción.
Este es un análisis pasivo
Pedimos la página y los scripts que referencia, y nada más. No adivinamos rutas ocultas, no enviamos formularios, no probamos credenciales ni mandamos nada diseñado para romper el sitio. Nuestras peticiones se identifican como VibeZero-Scanner en tu registro de acceso. No analizamos una dirección privada o interna, y solo deberías analizar sitios que sean tuyos o que tengas autorización para probar.
Con qué lo construiste
Nombramos el constructor, el framework, la base de datos y el proveedor de autenticación que se ven desde fuera, porque la mitad de las respuestas de esta página dependen del stack. Algunas comprobaciones solo existen para ciertas tecnologías: preguntamos si hay un servidor de desarrollo expuesto solo cuando vemos que era posible. Es información, no un hallazgo. Nada de esta lista te cuesta un punto.