Herramientas

Herramientas que se ejecutan en tu navegador

Las veinticuatro herramientas del lado del navegador no necesitan ida y vuelta al servidor para su trabajo principal. Las más recientes son dos herramientas para tratar secretos e instaladores localmente: la suite PGP genera pares de claves, cifra y descifra mensajes y crea y verifica firmas en tu navegador, porque las claves privadas y las frases de contraseña nunca deben pegarse en chats ni subirse, y el analizador de APK lee las declaraciones y los certificados de firma de un instalador Android antes de que lo instales, con el archivo analizado en tu dispositivo y nunca subido. Antes de ellas llegó el triaje de paquetes: el analizador PCAP lee capturas .pcap y .pcapng — conversaciones, DNS, metadatos TLS, avisos de texto claro — bajo la misma regla que todo lo demás en esta lista, porque un archivo de captura es una prueba y nunca se sube para leerlo. Antes llegó una pareja de herramientas forenses de correo: el analizador de informes DMARC abre los informes agregados que envían los receptores (XML, comprimidos con gzip o en zip) y los fusiona en una tabla por origen, y el analizador de cabeceras de correo disecciona un mensaje sospechoso — cadena Received, resultados de autenticación, dominios que no coinciden, enlaces neutralizados — porque ambos trabajos empiezan con un archivo lleno de detalles de tu infraestructura, y esos archivos no deberían subirse para ser leídos. La calculadora de subredes es aritmética pura; el analizador de registros y el generador de datos de prueba se ejecutan por completo en tu máquina, y por eso un registro de producción o una base de datos de pruebas pueden pasar por ellos sin riesgo. Las cinco más recientes existen para los trabajos que la gente intenta en chats de IA y luego lamenta: calcular hashes (un chat inventa los resúmenes), identificar hashes, decodificar y verificar JWT, convertir Base64 y generar contraseñas — trabajos cuyas entradas son credenciales y cuyas respuestas deben calcularse, así que las cinco se ejecutan localmente y no transmiten nada. El lote de planificación trabaja con entradas que nunca deberían pegarse en el servidor de un extraño: el programador de guardias trabaja con la lista de tu equipo, el generador de certificados crea claves privadas — localmente, nunca subidas — y las calculadoras de retención de copias y de presupuesto de errores trabajan con tus políticas internas y tus cifras de incidentes. Las tres más recientes extienden la misma regla: el validador de .env analiza el archivo con más secretos de tu pila sin transmitir ni un byte, el planificador de reuniones hace su aritmética de zonas horarias con los datos Intl de tu propio navegador, y el estimador de capacidad convierte tus cifras internas de tráfico en un plan de flota al instante. La consulta DNS, el analizador de certificados y la consulta de dominios sí llaman a servicios públicos — Google o Cloudflare para DNS, crt.sh para el historial de certificados, los registros RDAP para los datos de dominios — y cada una de esas páginas nombra el servicio que consulta, para que siempre sepas adónde fue realmente un dominio que escribiste. Cuando un trabajo tiene forma de navegador y de servidor, las páginas se enlazan entre sí: el analizador de certificados apunta al comprobador SSL en vivo, la consulta de dominios apunta al comprobador de caducidad, y la consulta DNS apunta a la comprobación de salud para ver el panorama completo.

Cómo funcionan los comprobadores

Cada comprobador acepta un nombre de dominio simple, nada más. No hay URL, rutas ni puertos que proporcionar, y el servicio solo se conecta a los puertos web estándar del dominio que nombras. Después recorre sus comprobaciones de forma independiente: una sonda HTTP para la alcanzabilidad y el tiempo de respuesta, un handshake TLS para el certificado, una consulta al registro (RDAP) para los datos de registro del dominio, y consultas DNS para los registros que enrutan el tráfico y el correo. Como las secciones son independientes, una parte que falla nunca oculta el resto: un sitio con el servidor web roto sigue mostrando su certificado y sus fechas de caducidad, que suele ser exactamente lo que necesitas para arreglarlo. Dos comprobaciones más recientes rompen la regla del dominio simple a propósito: la cadena de estado HTTP acepta una URL completa, porque una cadena es una propiedad de una dirección, no de un dominio; y la comprobación de propagación DNS plantea la misma pregunta a cuatro resolutores públicos, porque la propagación es una propiedad de las cachés, no solo del dominio. La mesa de triaje de CVE la rompe de una tercera manera: acepta una lista de identificadores de vulnerabilidades, porque su pregunta trata de una cola de parches, no de un host — y sus respuestas proceden de conjuntos de datos que el servidor actualiza a diario, no de sondear nada.

Los resultados se guardan en caché brevemente, de modo que un informe que compartes con un colega muestra la misma instantánea que viste tú, etiquetada con la hora en que se tomó. Cuando a un certificado o un dominio le quedan menos de noventa días para caducar, el informe lo dice en voz alta y ofrece supervisión continua gratuita a través de myeventwatch, porque una cuenta atrás que tienes que acordarte de volver a mirar es solo media solución.