Qué es SiteCheck · CRM y para qué sirve

La mayoría de las webs de pymes y autónomos están expuestas de formas que sus dueños ni imaginan. Un certificado mal configurado, unas cabeceras de seguridad ausentes, un archivo .env con contraseñas accesible desde internet, un registro DNS que permite suplantar tu correo… Nada de eso se ve a simple vista, pero cualquiera con conocimientos lo encuentra en minutos. SiteCheck nació para cambiar eso: poner un analizador de seguridad web real en manos de quien presta servicios IT, dentro de un CRM pensado para la consultoría.

En este artículo te explico qué revisa de verdad un análisis de seguridad web, qué es SiteCheck · CRM, cómo funciona y a quién le sirve.

El problema: nadie mira su seguridad hasta que es tarde

Una web no es solo lo que se ve. Por debajo hay una capa técnica —certificados, cabeceras, DNS, configuración del servidor— que determina si el sitio es seguro o un coladero. Y esa capa, casi siempre, nadie la revisa. El dueño del negocio asume que "como va, está bien", hasta que un día va mal: le suplantan el correo, le indexan un archivo que no debían, o un cliente le avisa de que su web da aviso de "no seguro".

El problema tiene dos caras:

• Para el negocio: no tiene ni idea de su exposición real. No puede arreglar lo que no sabe que está roto.
• Para el consultor IT que le da servicio: revisar todo eso a mano, web por web y cliente por cliente, es lento y tedioso. Hace falta una herramienta que automatice el análisis y, además, presente los hallazgos de forma que el cliente los entienda.

SiteCheck ataca las dos caras: automatiza el análisis técnico y lo envuelve en un CRM y unos informes pensados para la relación con el cliente.

Qué revisa de verdad un análisis de seguridad web

Aquí conviene bajar al detalle, porque "análisis de seguridad" suena vago y SiteCheck hace comprobaciones muy concretas y reales. Estas son las principales:

• Matriz TLS (el "candado"). No basta con tener HTTPS; importa cómo. SiteCheck examina la configuración del cifrado: qué versiones de TLS admite, si quedan protocolos viejos e inseguros activos, el estado del certificado. Un candado mal puesto da una falsa sensación de seguridad.
• Cabeceras HTTP de seguridad. Hay una serie de cabeceras (las que controlan el contenido, el marco, el transporte seguro) cuya ausencia deja la puerta abierta a ataques conocidos. SiteCheck comprueba cuáles faltan.
• DNS, DKIM y DMARC. Esta es de las más importantes y de las más ignoradas: la configuración de correo. Sin DKIM y DMARC bien puestos, cualquiera puede enviar correos haciéndose pasar por tu dominio. Es la base del fraude del CEO y del phishing dirigido. SiteCheck revisa si tu dominio está protegido contra la suplantación.
• Exposición de archivos sensibles. Comprueba si están accesibles desde internet cosas que jamás deberían estarlo, como el directorio /.git (que puede revelar todo tu código) o un archivo /.env (que suele contener contraseñas y claves). Es uno de los fallos más graves y más comunes.
• Escáner de malware. Analiza el sitio en busca de código malicioso, devolviendo un veredicto claro: limpio, sospechoso o malicioso.

Cada una de estas comprobaciones corresponde a un fallo real que se explota a diario. Juntas, dan una foto honesta de la exposición de una web.

Captura

Qué es SiteCheck · CRM

SiteCheck · CRM es un CRM de consultoría IT cuya joya es SiteCheck: un analizador de seguridad web real (HTTP, cabeceras, matriz TLS, DNS/DKIM/DMARC, exposición de /.git y /.env, escáner de malware) con informes de auditoría en PDF. Las tres ideas que lo definen son:

1. Escaneo real de TLS, DNS, cabeceras y exposiciones. No simula ni estima: realiza comprobaciones técnicas de verdad contra el objetivo.
2. Escáner de malware con veredicto claro: limpio, sospechoso o malicioso, para que el resultado sea accionable sin ser experto.
3. Monitor multi-host sin agentes + informes PDF. Vigila varios sitios a la vez sin instalar nada en ellos, y genera informes de auditoría presentables.

En resumen: la herramienta que un consultor IT necesita para revisar la seguridad de las webs de sus clientes y demostrárselo con un informe serio, todo dentro de un CRM para gestionar esa relación.

SiteCheck: el analizador, en detalle

El corazón del producto es SiteCheck, y su valor está en que hace comprobaciones reales sin necesidad de tocar el servidor del cliente. Funciona "desde fuera", como lo haría un atacante o un auditor: pide la web, examina sus respuestas, sus certificados, sus cabeceras y sus registros DNS, y comprueba si hay archivos sensibles expuestos.

Esto tiene una ventaja enorme para la consultoría: puedes analizar la web de un cliente (o de un cliente potencial) sin pedirle accesos ni instalar nada. Le presentas un informe de su exposición real como tarjeta de presentación de tus servicios. Es una herramienta comercial además de técnica: "mira todo esto que tienes mal, y mira cómo te lo arreglo".

Por qué un CRM, y no solo un escáner

Podría haberse quedado en un escáner suelto, pero tiene mucho más sentido integrarlo en un CRM de consultoría. ¿Por qué? Porque el trabajo de un consultor IT no es solo encontrar problemas, es gestionar clientes: a quién has analizado, qué encontraste, qué le propusiste, en qué estado está cada cuenta. Un escáner sin contexto es una herramienta; un escáner dentro de un CRM es un sistema de trabajo.

Esa combinación —análisis técnico + gestión de la relación— es lo que convierte a SiteCheck · CRM en algo más que una utilidad: en una pieza central del día a día de quien presta servicios de seguridad y sistemas.

Informes en PDF y monitorización multi-host

Dos piezas rematan el producto:

• Informes de auditoría en PDF. Los hallazgos técnicos se transforman en un documento presentable que el cliente entiende y que el consultor puede entregar. Un informe en PDF profesional es la diferencia entre "te he mirado la web" y "aquí tienes tu auditoría de seguridad". Vende, y además documenta el trabajo.
• Monitor multi-host sin agentes. Permite vigilar varios sitios a la vez sin instalar software en ninguno. Esto es clave para una consultoría con cartera de clientes: ver de un vistazo el estado de todos, sin mantenimiento en cada uno.

Cómo está construido

SiteCheck · CRM se apoya en un stack pensado para hacer comprobaciones de red de bajo nivel:

• Next.js 14 para la aplicación y la interfaz: el CRM, los paneles, las vistas de resultados.
• Node con sus módulos dns, net y tls para el motor de análisis. Esta es la parte interesante: son los módulos nativos que permiten hablar directamente con DNS, abrir conexiones y examinar la capa TLS. Es lo que hace que el escaneo sea real y no una simulación: el propio Node establece las conexiones y mira lo que de verdad responde el servidor.
• JWT para la autenticación: el acceso seguro al CRM.
• PDF para la generación de los informes de auditoría.

Esa elección —Node tocando directamente la red por debajo— es lo que distingue a SiteCheck de un simple formulario que llama a una API de terceros. El análisis lo hace la propia herramienta.

A quién va dirigido

SiteCheck · CRM está pensado para consultores IT, técnicos de sistemas y pequeñas empresas de servicios informáticos que dan soporte de seguridad a otros negocios. Es la herramienta de quien necesita, por un lado, una forma rápida y rigurosa de auditar la seguridad web de sus clientes, y por otro, un sitio donde gestionar esa cartera. También es útil como herramienta comercial: un informe de exposición es una forma potentísima de demostrar valor a un cliente potencial.

No es para el usuario final que solo quiere "estar seguro" sin entender nada; es para el profesional que ofrece esa seguridad como servicio.

Casos de uso reales

• Captar un cliente. Analizas la web de un negocio, le presentas su exposición real en un PDF y le ofreces arreglarla. Difícil decir que no ante los fallos en blanco y negro.
• Auditoría periódica de cartera. Revisas con regularidad las webs de tus clientes y detectas problemas antes de que se conviertan en incidentes.
• Comprobar antes de publicar. Antes de dar por buena la web de un cliente, pasas SiteCheck para asegurarte de que no expone nada.
• Demostrar el trabajo. El informe en PDF documenta lo que has revisado y arreglado, justificando tu servicio.

Los fallos que más aparecen en una web cualquiera

Si pasas SiteCheck por la web media de una pyme, hay un puñado de problemas que aparecen una y otra vez. Vale la pena conocerlos, porque son justo los que más se explotan:

• Correo sin protección (falta DMARC/DKIM). El campeón indiscutible. La inmensa mayoría de dominios pequeños no tienen bien configurada la autenticación de correo, lo que permite a cualquiera enviar emails que parecen venir de ellos. Es la base del phishing y del fraude del CEO, y casi nadie lo sabe.
• Cabeceras de seguridad ausentes. Webs que funcionan perfectamente pero a las que les faltan las cabeceras que las protegen frente a ataques conocidos. No se nota en el uso diario, pero la puerta está abierta.
• Archivos sensibles expuestos. El clásico /.git o /.env accesible desde internet. Cuando aparece, es gravísimo: puede revelar el código fuente o, peor, contraseñas y claves de acceso.
• TLS mal configurado. Tener HTTPS no basta si admite versiones viejas e inseguras del protocolo o el certificado está a punto de caducar. El candado da una falsa tranquilidad.

Lo revelador es que casi ningún dueño de negocio sabe que tiene estos fallos. No por dejadez, sino porque son invisibles hasta que alguien los mira con la herramienta adecuada. Ese "alguien" es justo el consultor con SiteCheck.

Por qué analizar desde fuera y sin agentes

Una decisión de diseño importante de SiteCheck es que analiza desde fuera, sin instalar nada en el servidor del cliente (sin agentes). Esto tiene varias ventajas:

• Cero fricción. No necesitas accesos, permisos de instalación ni configurar nada en el sistema ajeno. Apuntas a la web y analizas.
• La perspectiva real del atacante. Ver lo que se ve desde internet es exactamente lo que importa, porque es lo que ve quien quiere atacarte.
• Escala sin mantenimiento. Vigilar diez o cien webs no implica mantener diez o cien agentes. El monitor multi-host lo hace desde un solo sitio.

Es el enfoque correcto para una consultoría con cartera: máxima cobertura, mínimo mantenimiento.

Preguntas frecuentes

¿Hace falta acceso al servidor del cliente? No. SiteCheck analiza desde fuera, como lo haría un auditor externo o un atacante.

¿Las comprobaciones son reales o estimadas? Reales. El motor en Node abre conexiones y examina TLS, DNS y respuestas de verdad.

¿Para quién es? Para consultores IT, técnicos y pequeñas empresas de servicios informáticos que dan soporte de seguridad a otros negocios.

¿Qué me llevo de un análisis? Un informe de auditoría en PDF con los hallazgos, presentable para el cliente.

Estado actual

SiteCheck · CRM está en desarrollo: el motor de análisis y el CRM están construidos y en evolución. Es un proyecto que combina dos mundos —el análisis técnico de seguridad y la gestión comercial— y crece en ambas direcciones, afinando las comprobaciones y enriqueciendo la gestión de clientes y los informes.

En resumen

SiteCheck · CRM resuelve un problema real de la consultoría IT: auditar la seguridad web de los clientes de forma rápida, rigurosa y presentable. Lo hace con un analizador que realiza comprobaciones reales (TLS, DNS/DKIM/DMARC, cabeceras, archivos expuestos, malware), informes en PDF, monitorización multi-host sin agentes, todo dentro de un CRM y construido con un motor de red de bajo nivel (Next.js 14, Node dns/net/tls, JWT, PDF).

Si prestas servicios IT y quieres una herramienta así, mira la ficha completa de SiteCheck · CRM. Y si necesitas una auditoría de seguridad para tu negocio o una herramienta a medida, hablemos.