Cursor escribió el código. ¿Quién revisó producción?
Los agentes son buenos haciendo que las cosas funcionen y malos dándose cuenta de lo que dejaron expuesto: una variable de entorno con el prefijo de cliente, un archivo .env servido como recurso estático, una cabecera que nadie añadió. Revisa el sitio en producción y devuélvele la lista a tu agente.
Gratis, sin registro. El análisis básico hace solo las peticiones que haría un navegador normal.
Lo que revisamos en un sitio hecho con Cursor
- CríticoAnálisis gratuito
Secretos del servidor que acabaron en el bundle del cliente
Un secreto puesto en una variable NEXT_PUBLIC_ o VITE_ se compila en el JavaScript que descarga cada visitante. Buscamos formatos de clave de Stripe, OpenAI, Anthropic, AWS, GitHub y otros.
- CríticoPro
.env o .git accesibles por HTTP
Tras verificar el dominio pedimos un puñado de rutas conocidas como /.env y /.git/config — los archivos que entregan todas las contraseñas de golpe.
- MedioAnálisis gratuito
Content-Security-Policy débil o ausente
No hay política, o tiene unsafe-inline y apenas frena nada. Te decimos qué directiva la debilita.
- BajoAnálisis gratuito
La versión del servidor aparece en las cabeceras
Cabeceras que le dicen a un atacante exactamente qué framework y qué versión buscar.
O deja que Cursor haga el análisis
Conecta ScanYourSite como servidor MCP y pide a tu agente que analice el sitio y arregle lo que encuentre. O copia en el chat el prompt de cualquier informe.
Corrige estos problemas en app.example.com. 1. Hay una clave secreta de Stripe (sk_live_…9Kq) en _next/static/chunks/app-4e2.js. Viene de NEXT_PUBLIC_STRIPE_KEY. Rota la clave en Stripe, renombra la variable sin el prefijo NEXT_PUBLIC_ y úsala solo en un route handler. 2. Content-Security-Policy permite 'unsafe-inline' para scripts. Usa en su lugar un nonce en el middleware. Al terminar, vuelve a revisar: https://scanyoursite.app/es?check=app.example.com
Cada merge puede deshacer un arreglo
Con Pro detectamos cada nuevo despliegue y lo revisamos en minutos, o puedes llamar a nuestro webhook de despliegue desde CI. Solo te escribimos cuando algo nuevo se rompe.
Ver planesPreguntas
¿Cómo lo conecto a Cursor?
Crea un token de API en tu cuenta y añade ScanYourSite como servidor MCP. Tu agente podrá listar tus sitios, lanzar un análisis y leer el informe.
¿Por qué solo un puñado de rutas para .env y .git?
Sondear un servidor va más allá de lo que hace un navegador, así que solo lo hacemos en dominios que has demostrado que son tuyos, y solo con una lista corta de filtraciones conocidas.
¿Analiza mi repositorio?
No. Revisamos el sitio en producción. Así se ve lo que de verdad se publicó, diga lo que diga el repositorio.
Pega tu URL. Tendrás la lista en un minuto, más o menos.
Cada hallazgo te dice qué significa para ti y cómo arreglarlo — o trae un prompt que tu herramienta de IA puede aplicar.
Gratis, sin registro. El análisis básico hace solo las peticiones que haría un navegador normal.