Comprueba si tu app está exponiendo datos

Pega la dirección de tu app hecha con Lovable, Bolt, Replit, Cursor o v0. Solo leemos lo que ya le entrega a cualquier visitante: no tocamos tu base de datos y no te pedimos registrarte.

Descubre si tu app tiene datos expuestos. Gratis, en 30 segundos.

Ejemplo de informe

La clave service_role de Supabase está publicada en tu web

Crítico

Es la llave maestra de tu base de datos y estaba dentro del código que descarga cualquiera. Con ella se puede leer, cambiar o borrar todo, saltándose tus reglas de seguridad.

eyJhbGciOi…9k2x · /assets/index-B7dK2x.js

Cada hallazgo se explica así: qué es, por qué importa y qué hacer. Y si no encontramos nada, también te lo decimos.

Qué comprueba

Claves con acceso total
service_role de Supabase, sk_live_ de Stripe, claves de IA y de AWS.
Permisos de la base de datos
Si tu app consulta tablas directamente desde el navegador.
Código fuente descargable
Source maps públicos y ficheros expuestos en rutas conocidas.
Cabeceras de seguridad
Presencia de CSP y HSTS en las respuestas.

Quién responde

Marc Sala

IT Manager

Analista de ciberseguridad certificado por Google

No es un rating anónimo de un marketplace: es la persona que va a entrar en tu app. Reviso el código, encuentro qué falla y lo arreglo contigo delante, explicándote qué ha pasado sin jerga.

Ruido contra criterio

La diferencia no está en encontrar cadenas que parecen claves: eso lo hace cualquiera. Está en saber cuál de ellas abre algo.

[A] / Un escáner cualquiera

«Clave de API encontrada en el bundle»

Encuentra una cadena que parece una llave y la marca en rojo
No sabe qué abre cada llave, así que las trata todas igual
La anon key de Supabase, pública por diseño, sale como crítica
Te deja un informe y un susto, sin decirte qué hacer

falsos positivos:: muchos
acción:: entrar en pánico

[B] / socorrist.app

«Tu anon key está a la vista, y es correcto que lo esté»

Decodifica cada llave y mira qué permisos lleva dentro
Solo alarma si la llave se salta la seguridad de tu base de datos
Las claves públicas por diseño se usan para tranquilizarte, no para asustarte
Cada hallazgo dice qué es, por qué importa y en qué orden se cierra

falsos positivos:: es el objetivo declarado
acción:: cerrarlo sin tumbar la app

Lo que la IA deja abierto

Cualquiera puede leer los datos de todos

Es el fallo número uno. Basta con que una tabla se haya quedado sin política de acceso para que su contenido entero se pueda pedir desde el navegador, con la clave pública que va en tu código a propósito.

Leer la guía →

Tu clave de pago viaja en el navegador

Cobrar desde el navegador funciona a la primera y por eso pasa tanto. La clave secreta acaba en el código que se descarga cualquiera, y con ella se puede cobrar, devolver dinero y leer tus clientes.

Leer la guía →

La llave maestra de tu base de datos, publicada

Cuando las reglas de seguridad no dejan avanzar, el atajo más rápido es usar la llave que se las salta. Funciona, nadie vuelve a mirarlo, y no da ningún error nunca.

Leer la guía →

Método

Leer · Distinguir · Explicar · Cerrar

Leer

Descargamos lo que tu app ya le entrega a cualquier visitante. Solo GET y HEAD, sin ejecutar nada contra tu base de datos.

Distinguir

Decodificamos las llaves que aparecen y miramos qué permisos lleva cada una dentro. Es el paso que separa un aviso útil de un susto inútil.

Explicar

Cada hallazgo, en cristiano: qué es, por qué importa y qué hacer. Y si no encontramos nada, también se dice con esas palabras.

Cerrar

Si hace falta un humano, entra Marc y lo hace en el orden correcto: cortar el acceso, mirar los registros y solo entonces desplegar.

Biblioteca de errores

Guías con el error explicado en cristiano, los pasos para arreglarlo sin tocar código y un prompt listo para tu agente. 8 de ellas son de datos expuestos: fallos que no dan ningún error.

Abrir la guía

Ayuda humana

10 plazas gratis

Si el informe encuentra algo, no lo toques con prisa

Cerrar una puerta abierta tiene un orden: primero se corta el acceso, después se comprueba en los registros si alguien entró, y solo entonces se despliega. Hacerlo al revés deja la app caída y borra el rastro.

Rescate exprés Agendar revisión

Lo que suele preocupar

¿Por qué es gratis? ¿Dónde está el truco?: No hay truco, hay un intercambio y te lo cuento entero. Estoy empezando con esto y no tengo ni un caso que enseñar, así que rescato las diez primeras apps sin cobrar a cambio de poder contar después qué me encontré, sin decir de quién era la app ni enseñar datos de nadie. A mí me sirve para tener algo que demostrar y para aprender qué se rompe de verdad en estas apps. No hay tarjeta, ni suscripción, ni una versión de pago esperándote al final. Cuando se acaben las diez plazas empezaré a cobrar, y lo diré en esta misma página.
¿Es seguro que analicéis mi app?: Sí, y puedes comprobarlo. El scanner solo descarga lo que tu app le entrega a cualquier navegador que la visite: el HTML y los ficheros de JavaScript. No ejecuta nada, no rellena formularios, no prueba contraseñas y no lanza ni una sola consulta contra tu base de datos. Es exactamente lo mismo que hace un visitante cualquiera, leído con más atención.
¿Qué datos veis exactamente?: Lo público: el código que tu app publica en internet. No vemos tu base de datos, ni tus usuarios, ni tu panel de Supabase, ni tu repositorio. Si encontramos una clave, en el informe te la enseñamos recortada, nunca entera. Guardamos la dirección analizada y la fecha para poder rastrear abusos de la herramienta, y nada más.
He encontrado una clave expuesta. ¿Ya me han robado los datos?: Casi nunca. Que una clave sea accesible no significa que alguien la haya usado; significa que podría. Por eso lo primero es cerrar la puerta y después mirar los registros de acceso de tu proyecto para ver si hubo actividad rara. Ese segundo paso es parte de lo que hacemos cuando entramos.
El scanner no ha encontrado nada. ¿Estoy seguro del todo?: Estás mejor de lo que estabas hace un minuto, pero no te vamos a vender certezas que no tenemos. Un análisis desde fuera no ve tus reglas de acceso a la base de datos, ni tu código de servidor, ni quién tiene permisos en tu proyecto. Ahí es donde hace falta entrar con tu permiso y mirar por dentro.
¿Y si mi app no tiene arreglo?: Prácticamente siempre lo tiene, aunque a veces el arreglo pasa por rehacer una parte en vez de parchearla. Si al mirarlo vemos que lo que necesitas no es lo que vendemos, te lo decimos y te devolvemos el dinero. No nos interesa cobrarte por algo que no va a resolverte el problema.
No sé programar. ¿Sirve igual?: Sirve, y de hecho es el caso normal. La mayoría de la gente que llega aquí hizo su app con Lovable, Bolt, Replit o v0 y no ha escrito una línea a mano. Trabajamos contigo delante y en tu idioma: te explicamos qué pasa sin jerga y te dejamos la app funcionando.