Saltar al contenido
Audixa
Audixa

Producto

Qué comprueba Audixa, y dónde se ejecuta cada comprobación

Los proyectos de código se analizan en Audixa Cloud. Los servidores, sus sitios web y WordPress se analizan en el propio servidor con audixa-agent. Los dos acaban en la misma lista de hallazgos.
Qué comprobamos en el códigoQué comprobamos en un servidor

Proyectos de código

Qué comprobamos en un repositorio

Conecta un repositorio de GitHub, GitLab o Bitbucket, o sube un ZIP. El análisis se ejecuta en un contenedor desechable sin red. Tu código nunca se ejecuta ni se conserva.

  • Secretos en código y configuración

    Claves de API, claves privadas, tokens de acceso y credenciales de base de datos subidas al repositorio. Detectadas por patrón y entropía, y enmascaradas antes de guardar nada.

    Audixa Cloud · reglas de secretos

  • Dependencias vulnerables

    Las versiones exactas de tus lockfiles, contrastadas con avisos publicados. No se instala nada ni se ejecuta ninguna compilación.

    Audixa Cloud · datos de avisos OSV

  • Reglas estáticas de control de acceso y flujos inseguros

    Inyección de comandos, evaluación dinámica, autorización comprobada solo en el frontend (IDOR/BOLA), webhooks sin verificación de firma e importes de pago manipulables desde el cliente.

    Audixa Cloud · paquetes de reglas de Audixa

  • Configuración del dominio en vivo

    TLS, cabeceras de seguridad, cookies, CORS y redirecciones, leídas del propio dominio, solo después de que demuestres que lo controlas y sin intentar explotar nada.

    Audixa Cloud · solo dominios verificados

Servidores y WordPress

Qué comprueba audixa-agent en un servidor

Instala audixa-agent en un servidor Linux, o añade la extensión de Audixa a Plesk o el plugin a cPanel/WHM. El agente descubre los sitios web y las instalaciones de WordPress del servidor y los analiza donde se ejecutan.

  • Inventario del servidor

    Los sitios web del servidor, sus raíces de documentos y TLS, y cada instalación de WordPress con su versión de núcleo, plugins y temas. Los descubre el agente; nadie tiene que escribirlos a mano.

    audixa-agent · tarea ligera

  • Auditoría de WordPress

    Componentes con vulnerabilidades conocidas, archivos del núcleo que no coinciden con los checksums oficiales, modo depuración activo, editor de archivos habilitado, PHP permitido en uploads, XML-RPC y enumeración de usuarios expuestos.

    audixa-agent · tarea estándar

  • Auditoría del servidor

    Acceso root y por contraseña en SSH, cortafuegos inactivo, actualizaciones de seguridad pendientes, sistema operativo sin soporte, ajustes de PHP arriesgados, listado de directorios, TLS antiguo y copias de seguridad expuestas.

    audixa-agent · tarea estándar

  • Análisis de malware

    Un análisis de los archivos cambiados recientemente, o uno completo de un sitio, contra patrones maliciosos conocidos. El completo es una tarea pesada: solo se ejecuta con el servidor saludable.

    audixa-agent · tarea ligera o pesada

  • Cuarentena y restauración, cuando lo confirmas

    Un archivo sospechoso puede pasar a cuarentena y volver después a su sitio. Ambas acciones las solicitas tú, piden confirmación y se comprueban contra el hash del archivo antes de darse por hechas.

    audixa-agent · cambio en el servidor

Leer las reglas de planificación completas

Lo que recibes

Cuatro cosas, en cada análisis

  1. Un hallazgo sobre el que puedes actuar

    Resumen en lenguaje claro, impacto, la evidencia de la que sale, los pasos para corregirlo y el detalle técnico debajo para quien lo quiera.

  2. Severidad y confianza, por separado

    Cuánto importa y cuán seguros estamos son dos preguntas distintas. Un hallazgo de severidad alta del que no estamos seguros lo dice, en lugar de rebajarse o subirse en silencio.

  3. Comparación con el análisis anterior

    Nuevo, persistente, resuelto o de vuelta. Un único resultado no te dice si tu corrección funcionó; dos sí.

  4. La cobertura del análisis

    Qué comprobaciones se ejecutaron, cuáles se omitieron y por qué: un dominio sin verificar, un lenguaje sin paquete de reglas, una tarea que necesita un agente más reciente. Un resultado limpio solo significa algo junto a su alcance.

Así es un hallazgo

Qué contiene la vista de un hallazgo

El orden es fijo: qué podría pasar, después la evidencia, después la corrección y por último el vocabulario. Es el orden en que alguien necesita la información.
CríticaConfianza: altaControl de acceso

Un usuario autenticado podría consultar el pedido de otro cliente cambiando un ID en la barra de direcciones

Este endpoint busca un pedido directamente por el ID en la URL y lo devuelve sin verificar la identidad de quien lo solicita. Cualquier usuario con cuenta puede introducir el ID de otro cliente y acceder a su nombre, dirección y artículos comprados. Los IDs son secuenciales, por lo que no es necesario adivinarlos.

// app/api/orders/[id]/route.ts export async function GET(request, { params }) {  const order = await db.order.findUnique({    where: { id: params.id },  });   return Response.json(order);}

Tres líneas a cada lado de la coincidencia, ofuscando previamente cualquier dato que parezca un secreto.

Cómo solucionarlo

  1. Identifica en el servidor quién está realizando la petición a partir de la sesión, nunca de parámetros en la URL o en el cuerpo.
  2. Añade el identificador de usuario a la propia consulta a la base de datos, para que no devuelva registros si el pedido no le pertenece.
  3. Responde con un código 404 (No encontrado) en lugar de 403 (Prohibido), para no confirmar la existencia de registros de otros clientes.
  4. Vuelve a ejecutar el análisis para validar que el hallazgo se ha resuelto con evidencia técnica.
Detalle técnico

Vulnerabilidad de autorización a nivel de objeto (IDOR / BOLA). El controlador realiza una búsqueda por clave primaria con un identificador suministrado por el cliente sin predicado de propiedad.

Regla authz/idor-route-param, activada en un controlador de ruta que alcanza una llamada a datos con parámetro de URL sin restricción de inquilino o propietario en la consulta.

Lo que es cierto hoy

Qué hace Audixa ahora y qué todavía no

Nada de la columna «Aún no activo» se vende en ningún plan. Cuando algo pase de una columna a la otra, esta página cambiará.

Disponible hoy

  • Análisis de repositorios y ZIP en Audixa Cloud
  • Comprobaciones en vivo de un dominio verificado
  • Auditorías de servidor y de WordPress con audixa-agent
  • Análisis de malware de un sitio, con cuarentena y restauración que tú confirmas
  • Extensión de Plesk y plugin de cPanel/WHM
  • Explicaciones con IA y correcciones sugeridas, abiertas como pull request solo si lo pides

Aún no activo

  • Monitorización de malware en tiempo real y vigilancia de integridad de archivos
  • Respuestas automáticas a un ataque
  • Aplicación de reglas WAF en el servidor web
  • Actualizaciones seguras de plugins y núcleo mediante una copia de staging

Límites claros

Qué no hace este producto

Conviene leerlo antes de registrarte, no después. Si una de estas cosas era lo que necesitabas, preferimos que lo sepas ahora.
  • Un análisis limpio significa que las comprobaciones que ejecutamos no encontraron nada — no que tu aplicación sea segura. Te decimos qué comprobaciones se ejecutaron y cuáles no.
  • No intentamos explotar nada. Sin fuerza bruta, sin escaneo de puertos, sin cargas destructivas.
  • No revisamos la lógica de negocio que solo podría evaluar una persona que conoce tu producto.
  • No somos una certificación de cumplimiento. No emitimos atestaciones ISO, SOC 2 ni PCI, y un análisis no es una auditoría.
  • El análisis automatizado encuentra patrones. Se le escapan cosas y a veces marca algo que resulta estar bien — por eso cada hallazgo lleva un nivel de confianza y su evidencia.

Una puntuación es un resumen, no una medida

La cifra de tu panel es una deducción a partir de los hallazgos, ponderada por severidad y confianza, y limitada por cuánto pudimos examinar. Sirve para ver la tendencia entre análisis.

No mide lo segura que es tu aplicación ni se compara con la de nadie. Cada puntuación enlaza a cómo se calculó y qué dejó fuera, y la preparación para publicar nunca dice «seguro»: como mucho, que no se detectaron hallazgos bloqueantes.

Pruébalo con tu proyecto o tu servidor

Conecta un repositorio o un servidor, ejecuta un análisis y lee los hallazgos. Si no hay nada que corregir, verás qué comprobaciones lo confirman.

Crear mi cuentaComparar los planes

Sin cambios automáticos en tu código ni en tus servidores.