Tu IA construyó la app.
Nosotros comprobamos si tiene fugas.
Millones de personas publican apps que no escribieron del todo — y esas apps filtran claves API, exponen bases de datos y funcionan sin protección. Pega una URL y obtén un informe de seguridad en segundos.
Seis formas en que las apps vibe-coded filtran datos
Claves API y secretos expuestos
Leemos tus páginas y cada archivo JavaScript con más de 50 formatos de claves — OpenAI, Anthropic, Stripe, AWS, Supabase, GitHub, URL de bases de datos y más.
Reglas de Supabase y Firebase
La fuga n.º 1 del vibe coding. Detectamos tu backend y comprobamos si cualquiera puede leer tablas, colecciones o archivos — sin iniciar sesión.
Fallos de autenticación y sesión
Cookies sin HttpOnly/Secure/SameSite, CORS peligroso, formularios de inicio de sesión inseguros y claves de servicio que se saltan todas las protecciones.
Endpoints abiertos y archivos filtrados
Buscamos archivos .env, directorios .git expuestos, volcados de bases de datos, consolas de administración y archivos de configuración que nunca deberían ser públicos.
Inteligencia de CVE y malware en vivo
Las librerías y lockfiles se comprueban en vivo con OSV.dev, CISA KEV y EPSS, además de más de 960 pruebas de CVE y exposiciones de solo lectura que crecen cada día.
Riesgos de IA, MCP y CI/CD
Claves de LLM en el navegador, servidores MCP sin autenticación, bypass del middleware de Next.js e inyección de scripts en GitHub Actions.
De la URL al informe en tres pasos
- 01
Indica un objetivo
Pega la URL de tu app en línea, o un repositorio de GitHub — público, o privado con un token de solo lectura. Todo es gratis y sin cuenta.
- 02
Rastreo ligero o profundo
SafeVibe recorre tu sitio como un visitante y muestra los problemas en vivo a medida que analiza cada página. El escaneo profundo añade sondas activas cuando demuestras que el sitio es tuyo.
- 03
Recibe tu informe
Un informe con nota, gravedad, evidencias ocultas y la solución exacta para cada hallazgo.
Un escáner que mejora cada día
SafeVibe mantiene una biblioteca permanente de pruebas de seguridad. Las vulnerabilidades conocidas se convierten en pruebas una sola vez, con código determinista — sin IA ni conjeturas. Cada hora la biblioteca solo añade lo nuevo. La IA se reserva para investigar vulnerabilidades para las que nadie ha escrito aún una prueba.
- 1
Recopilar
Cada hora SafeVibe lee fuentes públicas de vulnerabilidades: ProjectDiscovery nuclei-templates, el catálogo de CISA de vulnerabilidades explotadas activamente, OSV.dev y FIRST EPSS.
- 2
Convertir una vez
Cada vulnerabilidad se convierte en prueba una sola vez y queda registrada. Todo lo que atacaría un sitio — exploits, cargas maliciosas, fuerza bruta — se rechaza para siempre.
- 3
Crecer de forma incremental
Las siguientes sincronizaciones solo procesan lo nuevo o modificado en origen, retiran las pruebas eliminadas y actualizan qué vulnerabilidades se explotan activamente.
- 4
IA para lo nuevo
Las vulnerabilidades recién publicadas y sin prueba van al investigador de IA, una sola vez cada una. Cada propuesta se revisa antes de llegar a tus escaneos.
Salvaguardas en cada prueba
Una sola petición GET o HEAD, sin cuerpo, sin carga de ataque, criterios específicos del producto y una batería completa de tests antes de publicar.
Inteligente al escanear
SafeVibe identifica tu stack (Next.js, Supabase, WordPress…) y solo ejecuta las pruebas que aplican. Las páginas de respaldo de las apps de una sola página nunca cuentan como hallazgo.
Inteligencia en vivo además
Cada escaneo comprueba las librerías con OSV.dev; las CVE explotadas activamente se priorizan y se ordenan por probabilidad de explotación (EPSS).
Claude, usado donde aporta algo
SafeVibe usa Claude Opus 5.5 de Anthropic (modelo claude-opus-5-5) mediante el SDK oficial de Anthropic, con respuestas restringidas por un esquema. Tiene dos funciones — y nunca vuelve a comprobar lo que la biblioteca de pruebas ya conoce.
Investigador de amenazas con IA
- Toma las CVE recién añadidas a CISA KEV que aún no tienen prueba y, cada semana, busca en la web vulnerabilidades recién publicadas en el stack del vibe coding.
- Lee los avisos de seguridad y redacta una prueba pasiva — o explica por qué no existe una prueba segura.
- Cada CVE se investiga una sola vez; un identificador CVE solo se acepta si aparece en resultados de búsqueda reales.
- Sus propuestas siguen reglas más estrictas que las pruebas de la comunidad y se revisan antes de publicarse.
Analista de IA
- Revisa el código de tu sitio en busca de fallos de lógica que las reglas no ven: autorización solo en el navegador, API de administración ocultas, consultas a la base de datos sin filtro.
- Los secretos se ocultan antes de enviar nada; el contenido de tu sitio se trata como no confiable (protección contra inyección de prompts).
- Un hallazgo solo se conserva si cita código que existe realmente en tu archivo.
- SafeVibe prueba por sí mismo, sin credenciales, las API que señala, y solo informa si la respuesta demuestra una fuga.
Gratis y pensado para un uso responsable
Todos los escaneos son gratis y sin cuenta. Los escaneos pasivos solo leen lo que descarga cualquier navegador. Los escaneos profundos envían sondas activas, por lo que solo se ejecutan en sitios cuyo propietario ha publicado un token de verificación de SafeVibe, que el servidor vuelve a comprobar al inicio de cada escaneo profundo. Los repositorios de GitHub no necesitan verificación; los privados usan un token de solo lectura que tú proporcionas.
Preguntas sobre SafeVibe
¿Qué es SafeVibe?
SafeVibe es un escáner de seguridad gratuito para aplicaciones creadas con herramientas de IA (vibe coding). Analiza un sitio web en línea o un repositorio de GitHub en busca de secretos expuestos, reglas de bases de datos abiertas, librerías vulnerables, CVE conocidas y configuraciones de riesgo, y explica cómo corregir cada hallazgo.
¿SafeVibe es gratis?
Sí. Todos los tipos de escaneo son gratuitos y sin cuenta: sitios web, escaneos profundos de sitios que te pertenecen y repositorios de GitHub públicos o privados.
¿Qué comprueba SafeVibe?
Claves API expuestas (OpenAI, Anthropic, Stripe, AWS, Supabase…), Row Level Security de Supabase y reglas de Firebase, cookies y CORS, archivos filtrados como .env o .git, paneles de administración, librerías JavaScript vulnerables, más de 960 pruebas de CVE y exposiciones, riesgos de GitHub Actions y paquetes npm maliciosos.
¿Es seguro escanear mi sitio web?
Sí. Un escaneo ligero solo lee lo que un navegador ya descarga. Un escaneo profundo envía sondas de solo lectura y solo se ejecuta después de que demuestres que el sitio es tuyo con una etiqueta meta, un archivo /.well-known o un registro DNS. Ningún control modifica datos ni envía cargas de ataque.
¿Puede SafeVibe escanear repositorios privados de GitHub?
Sí. Crea un token de GitHub de grano fino con acceso de solo lectura a ese repositorio y pégalo en el escáner. Se envía en el cuerpo de la petición por HTTPS, se usa en memoria solo durante el escaneo y nunca se guarda ni se registra.
¿Cómo se mantiene actualizado SafeVibe?
Una sincronización cada hora lee plantillas públicas de detección y la lista de CISA de vulnerabilidades explotadas. Cada vulnerabilidad se convierte en prueba una sola vez y pasa a un catálogo permanente; solo se vuelve a procesar lo nuevo o modificado.
¿SafeVibe usa IA y qué pasa con mi código?
La IA (Claude de Anthropic) investiga en segundo plano las vulnerabilidades más recientes. El analista de IA opcional durante el escaneo está desactivado por defecto; si lo activas, los secretos se ocultan antes de enviar tu código del lado del cliente, y cada hallazgo de la IA se verifica en el código.