Nuestro agente

Has visto ketrion-surface-agent en tus registros

Somos Ketrion. Revisamos dominios por fuera —como los vería cualquiera desde internet— para avisar a sus dueños de problemas de seguridad. Aquí está exactamente qué hacemos y cómo pararnos.

Por qué estamos pidiendo tu sitio

Hay dos motivos posibles, y puedes distinguirlos por lo que veas en tus registros.

Si solo ves la portada y una petición por HTTP

Fue una revisión pasiva: alguien escribió tu dominio en nuestra web y miramos lo que tu sitio le enseña a cualquier visitante —tus cabeceras, tu certificado, si HTTP lleva a HTTPS y lo que tu DNS publica al mundo—. No hace falta permiso para eso porque no te pedimos nada que no ofrezcas ya a todo el que te abre; es lo mismo que hace un navegador. Son dos peticiones y no se repite.

Si además ves /.env o /.git/config

Entonces alguien demostró ser el dueño de ese dominio. No basta con escribirlo en un formulario: hay que publicar un registro TXT en su DNS, en _ketrion.tudominio.com, con un valor que solo nosotros generamos. Pedir rutas privadas, leer tu JavaScript y sondear tu base de datos solo se le hace a un dominio verificado.

Y ese registro se vuelve a comprobar en cada revisión, no solo el día del alta. Un dominio caduca y lo compra otro; un permiso de hace seis meses no es un permiso de hoy.

Cómo reconocernos

Todas nuestras peticiones llevan estas dos marcas. Si algo dice ser Ketrion y no las lleva, no somos nosotros.

User-Agent
ketrion-surface-agent/1.0 (+https://www.ketrion.com/vigilancia)
Cabecera propia
ketrion-surface-test: 1

Qué pedimos, exactamente

  • La página principal

    Las dos revisiones

    Un GET a https://tudominio.com/ para leer sus cabeceras y su HTML.

  • La versión sin cifrar

    Las dos revisiones

    Un GET a http://tudominio.com/ solo para ver si redirige a HTTPS.

  • Hasta seis archivos JavaScript

    Solo si es tuyo

    Los que enlaza tu propia página, para buscar claves de API que se hayan colado en el código público.

  • Seis rutas concretas

    Solo si es tuyo

    /.env, /.env.local, /.env.production, /.git/config, /.git/HEAD y /backup.sql — nada más.

Y qué no hacemos nunca

  • —Ningún método que no sea GET. Ni POST, ni PUT, ni DELETE.
  • —Ninguna carga maliciosa, inyección ni intento de explotación.
  • —Ningún escaneo de puertos ni prueba de fuerza bruta.
  • —Ningún intento de acceder a zonas con contraseña.
  • —Ninguna petición sostenida: una revisión pasiva son dos peticiones, y una verificada unas quince, una vez por semana.

Los topes

Revisión pasiva
Dos peticiones, cuando alguien la pide
Vigilancia verificada
Una revisión por semana, los lunes
Peticiones por revisión verificada
Menos de veinte
Tiempo máximo por petición
8 segundos
Redirecciones que seguimos
4 saltos como máximo
Método
Solo GET

Cómo pararnos

  1. 1. Quita el registro TXT de tu DNS

    Corta la vigilancia semanal en seco: la comprobación ocurre antes de conectar, en cada revisión, así que sin ese registro no volvemos a pedirte una ruta privada ni a leer tu JavaScript. Borra _ketrion.tudominio.com y esa parte se acaba.

    No corta la revisión pasiva, porque esa no depende de ningún registro tuyo: es una visita a tu portada. Para esa, el punto 2.

  2. 2. Bloquéanos en tu servidor

    Esta sirve para las dos, y es la única que te deja fuera de la pasiva. Por el User-Agent o por la cabecera de arriba, en tu servidor web o tu cortafuegos. Nos identificamos precisamente para que puedas hacerlo. No lo tomamos como un problema: es tu servidor.

  3. 3. Escríbenos

    A hola@ketrion.com, con el dominio. Si está bajo vigilancia lo sacamos a mano y te confirmamos cuándo; si nos pides que no volvamos a revisarlo ni siquiera desde fuera, lo apuntamos y te lo decimos. Contesta una persona.

Sobre robots.txt: no lo leemos, y preferimos decirlo. Quien nos autoriza es el dueño del dominio con un registro en su DNS, no un archivo del propio sitio. Además, una revisión de seguridad que se saltara lo que dice robots.txt se saltaría justo las rutas que más importa mirar. Si no quieres que pasemos, cualquiera de los tres caminos de arriba funciona de verdad.

¿Eres el dueño del dominio y quieres ver el informe? Así funciona Ketrion