Auditamos tu superficie de ataque desde fuera: subdominios, certificados, archivos expuestos, configuración de correo y cabeceras. Sin instalar nada. Sin credenciales. Informe reproducible en 48 horas.
Todo empieza con la misma pregunta: ¿qué ve un atacante cuando mira tu dominio? Desde ahí, tú eliges el nivel de cobertura.
Recon externo completo de tu dominio. Lo que un atacante ve en su primer minuto — documentado, priorizado y con comandos para remediar.
La auditoría es una foto. El monitor es la cámara. Vigilamos tu superficie cada día y avisamos cuando algo cambia — antes de que lo use otro.
Aplicamos las remediaciones sobre tu stack: WordPress, nginx/Apache, correo. Ejecución, no teoría — con verificación posterior incluida.
Cada hallazgo llega con el comando exacto que lo encuentra. Puedes verificarlo tú mismo, o mostrarlo a tu proveedor. Nada de cajas negras.
CT logs, DNS, HTTP(S), configuración MX, índices públicos. Solo fuentes abiertas: tu servidor no nota nada.
Cada superficie se clasifica por severidad real: explotable hoy, vector de suplantación, o hygiene pendiente.
PDF con evidencia, comando de verificación y remediación exacta. Legible por dirección y ejecutable por tu dev.
Tras aplicar los fixes, re-auditoría gratuita. Un hallazgo no se cierra hasta que el comando deja de devolverlo.
# H-01 · Cabeceras de seguridad ausentes target: https://objetivo.com impacto: clickjacking + MIME-sniffing + downgrade TLS evidencia: $ curl -sI https://objetivo.com | grep -iE "content-security|x-frame|strict-transport" (sin resultados — 6 cabeceras ausentes) fix (nginx): add_header X-Frame-Options "SAMEORIGIN" always; add_header Content-Security-Policy "default-src 'self'" always; add_header Strict-Transport-Security "max-age=63072000" always; verificación: $ curl -sI https://objetivo.com | grep -ic "strict-transport" 1 ← hallazgo cerrado
No. Todo el recon es pasivo: consultamos fuentes públicas (CT logs, DNS, respuestas HTTP, registros MX). Es exactamente lo que haría un atacante en su primer minuto. Por eso podemos auditar cualquier dominio sin credenciales, agentes ni cambios en tu infraestructura.
Lo decimos. Un informe limpio con la evidencia de cada verificación vale tanto como uno con hallazgos: es la prueba de que tu superficie está controlada. Y si contrataste el monitor, es la línea base contra la que medimos los cambios futuros.
Sí, y es nuestro formato preferido. El informe lleva marca blanca disponible y tu margen queda protegido: tú facturas a tu cliente, nosotros facturamos a ti. Las agencias de diseño/web son nuestro canal principal.
Cobramos en cripto para no pedirte datos fiscales ni pasarelas bancarias. Si tu empresa necesita documentación, emitimos justificante de servicio con nuestros datos y el alcance — pero el pago es siempre cripto, sin KYC.
Las exposiciones críticas (archivos sensibles indexados, DMARC caído a none) generan alerta en la siguiente pasada. Las pasadas de monitor corren en ciclo corto; el informe diario resume el resto. Si necesitas SLA de minutos, hablamos.
Mándanos el dominio. Empezamos el recon hoy y entregamos el informe en dos días. Sin llamadas de venta, sin demo de 45 minutos.
crox@croxsec.como por nostr: npub1grgfze827hsgh8hn2eh3glswg7fyyun3yrjx3uchqszguwwxufuq8uazte