Analizador PCAP

Suelta una captura de paquetes —.pcap o .pcapng— y obtén la vista de los primeros diez minutos: las conversaciones que movieron los bytes, cada pregunta y respuesta DNS, las peticiones HTTP en claro, los nombres de servidor TLS y las huellas JA3, y una breve lista de credenciales que cruzaron la red sin cifrar. El archivo nunca sale de tu dispositivo: se analiza en esta página, no se sube, porque una captura es una prueba y las pruebas no se publican en servidores ajenos.

O suelta el archivo en cualquier parte de este recuadro. El análisis se hace por trozos con un indicador de progreso, para que una captura de varios megabytes no congele la pestaña.

Para qué sirven los primeros diez minutos

Una captura suele tomarse con prisa —algo va lento, algo habla con el lugar equivocado, algo es sospechoso— y abrirse bajo presión. El orden de las preguntas importa más que cualquier respuesta aislada. Empieza por las conversaciones: ordenadas por bytes, dicen quién usó realmente la red en esa ventana, y la sorpresa suele verse de inmediato: una estación con una larga conversación con una dirección que nadie reconoce, un servidor que sube mucho más de lo que descarga, un protocolo que no debería estar ahí. Luego el DNS, porque los nombres son intención: las consultas que hizo un host son lo más parecido que tiene una captura a un historial de navegación de lo que intentaba alcanzar, y las respuestas fijan esos nombres a direcciones en el momento de la captura, no como resuelve el DNS hoy. Luego los metadatos TLS: el cifrado oculta el contenido, no la existencia; los nombres SNI y las huellas JA3 aún dicen qué servicios se contactaron y qué tipo de software cliente hizo la conexión. Por último, las sorpresas en claro: las peticiones HTTP y los avisos de credenciales, porque en 2026 cualquier contraseña que cruce una red legible por un observador pasivo es un incidente en sí misma, fuera cual fuera la pregunta original. La guía complementaria, los primeros diez minutos con una captura de paquetes, recorre ese orden como un flujo de trabajo, incluido cuándo dejar de clasificar y abrir Wireshark.

Tres límites honestos definen lo que esta página afirma. No reensambla flujos TCP: lee los paquetes uno a uno y los agrega en flujos, así que una petición HTTP o un ClientHello que la captura partió entre segmentos puede escaparse; las capturas tomadas en un host (y no en un tap) también muestran artefactos de descarga de segmentación, una salvedad que explica la guía. No descifra nada: no hay dónde pegar un registro de claves, deliberadamente, porque los registros de claves están entre los archivos más sensibles que existen y no pertenecen a una página web. Y su lista de credenciales es un conjunto de patrones reconocidos, no una auditoría: la ausencia de un aviso no es prueba de ausencia. Lo que sí garantiza es la dirección del flujo de datos: tu captura la lee código que se ejecuta en la pestaña de tu navegador y nunca se sube, se registra ni se comparte, así que la propia clasificación no puede convertirse en la fuga. Para capturas que empiezan en un servidor en producción, el escáner de puertos muestra lo que expone el host y el analizador de cabeceras de correo cubre el otro archivo que llega durante un incidente: el propio mensaje sospechoso.

Preguntas frecuentes

¿Adónde va mi archivo de captura?

A ninguna parte. El archivo se lee y se analiza en esta página, en tu dispositivo, y nada se sube, se transmite ni se almacena: la página no hace ninguna petición de red cuando analiza un archivo. Es un diseño deliberado, porque una captura de paquetes es uno de los archivos más sensibles de una red: contiene direcciones internas, nombres de host y —en los protocolos en claro— credenciales literales. También funciona sin conexión una vez cargada la página, que es donde una captura suele leerse de todos modos: en la máquina que la tomó, a menudo durante un incidente.

¿Qué formatos de captura y tipos de enlace se admiten?

PCAP clásico en cualquier orden de bytes, con marcas de tiempo de microsegundos o nanosegundos, y PCAPNG: bloques de sección, interfaz, paquetes mejorados y simples, además de bloques de resolución de nombres, cuyos nombres registrados se muestran en el resumen. Tipos de enlace: Ethernet (incluidas las tramas etiquetadas VLAN), IP en bruto, bucle BSD y Linux cooked SLL y SLL2. Se decodifican IPv4 e IPv6, TCP, UDP e ICMP. Otros tipos de enlace se cuentan en la mezcla de protocolos pero no se decodifican, y el resumen lo dice en lugar de callarlo.

¿Qué no puede hacer?

Tres límites, dichos con claridad. No reensambla flujos TCP: el análisis es por paquete más agregación por flujo, así que un ClientHello o una petición HTTP partida entre segmentos puede escaparse. No puede descifrar nada: TLS y el resto del tráfico cifrado solo producen metadatos (nombre de servidor, ALPN, JA3), nunca contenido. Y sus hallazgos de credenciales son avistamientos, no un certificado de buena salud: marca los patrones en claro que reconoce (HTTP Basic, FTP, SMTP AUTH, POP3, IMAP, telnet), y la ausencia de una marca no prueba nada sobre los protocolos que no inspecciona. Para el trabajo profundo —seguir flujos, disectores de protocolos, descifrado con registros de claves— usa Wireshark; esta página son los primeros diez minutos, no toda la investigación. La guía complementaria, los primeros diez minutos con una captura de paquetes, expone ese orden de clasificación.

¿Qué es la huella JA3 que se muestra para las conexiones TLS?

JA3 es una forma estándar de identificar un cliente TLS a partir de su ClientHello: la versión de TLS, las suites de cifrado, las extensiones, las curvas elípticas y los formatos de punto, enumerados en orden como números decimales (con los valores GREASE eliminados), unidos en una cadena y resumidos con MD5. Dos clientes con la misma biblioteca y los mismos ajustes producen el mismo JA3; un escáner o una familia de malware suele tener uno característico. Identifica los hábitos del software cliente, no al usuario, y cambia cuando las bibliotecas se actualizan: trátalo como una pista de agrupación, no como una identidad.

¿Qué tamaño de captura puedo abrir?

Archivos de hasta 25 MB. Ese techo es deliberado: todo el archivo más las estructuras del análisis viven en la memoria de tu pestaña, y un navegador de escritorio lo maneja cómodamente, mientras que un teléfono quizá no. En las pruebas, una captura de 10 MB con unos 90.000 paquetes se analizó en aproximadamente un segundo. Para algo mayor, filtra primero en el momento de la captura o con editcap/tcpdump en tu propia máquina —tcpdump -r big.pcap -w slice.pcap host 203.0.113.10— y trae aquí el fragmento.