¿No eres tú? Elige tu rol:
Despliega el viernes. Duerme todo el fin de semana.
Seguridad que vive en tu pipeline, no en un PDF que alguien te envía una vez al año. Escaneo baseline en cada push: el build falla solo por hallazgos NUEVOS, nunca por deuda técnica aceptada.
430+ comprobaciones · primer informe en ~2 minutos · sin tarjeta de crédito
- Último escaneo
- Jul 7
- Tests run
- 430+
- Open
- 0
Con la confianza de equipos con mentalidad de seguridad
ridolangmasdrivKontaktAppapudqi
'/%3e%3crect%20width='128'%20height='128'%20rx='30'%20fill='url(%23mdIcong)'/%3e%3c!--%20speed%20streaks%20--%3e%3cg%20fill='%23ffffff'%3e%3crect%20x='9'%20y='46'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3crect%20x='4'%20y='60'%20width='20'%20height='9'%20rx='4.5'%20opacity='0.6'/%3e%3crect%20x='9'%20y='75'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3c/g%3e%3c!--%20M%20monogram%20(optically%20centred:%20bounds%2032.5%20..%2095.5)%20--%3e%3cpath%20d='M40%2091%20V37%20L64%2064%20L88%2037%20V91'%20fill='none'%20stroke='%23ffffff'%20stroke-width='15'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/svg%3e)
Habla el idioma de tu API
Cifras agregadas de todos los escaneos de LiveAPISec hasta la fecha.
Despliega rápido y mantente seguro
Sientes este dilema cada viernes: ¿despliego o compruebo?
El mercado exige velocidad
Funciones cada semana, despliegues cada día. Frenar para una revisión manual de seguridad antes de cada release no es una opción: los competidores no esperarán.
…pero los clientes exigen seguridad
Tus clientes te confían sus datos. Cada BOLA o IDOR son sus datos en manos ajenas. Una filtración y la confianza (y el contrato) desaparecen.
¿Te suena?
Si alguno de estos te duele, este producto existe para ti.
El miedo real: desplegar algo que no es seguro y enterarte por otra persona
No un build fallido. No un ticket. El mensaje de las 3 de la mañana diciendo que los datos de clientes eran accesibles, el canal de incidentes quedándose en silencio, el post-mortem donde resulta que nadie había comprobado ese endpoint desde marzo. Tu nombre está en ese commit, y corregir el bug nunca arregla del todo la historia que la gente recuerda.
Con esto en marcha proteges tu reputación, no solo tu release: dejas de esperar y empiezas a afirmar: esta API está probada, en cada push, aquí está la evidencia.
Escáneres ruidosos que gritan lobo
Cada push se pone en rojo con 50 «hallazgos» que ya habías triado. Aprendes a ignorar el paso de seguridad, hasta que un BOLA real llega a producción.
Hallazgos sin pasos de reproducción
«Posible inyección en /search» y nada más. Dos horas adivinando si es real y otra hora demostrando que no lo es.
Revisión de seguridad como cuello de botella del release
El despliegue del viernes espera una cola de revisión humana. La elección es desplegar a ciegas o perder la ventana: ambas se sienten mal.
Rápido o seguro: elige uno (ya no)
Producto quiere despliegues el viernes; seguridad quiere una semana de revisión. Revisar manualmente las mismas rutas hace perder a ambos. La regresión automatizada en cada push acaba con el tradeoff.
Deja que tu agente de IA lo integre
La CLI es toda la superficie: no hace falta hacer clic en un panel. Así cualquier agente de código (Claude Code, Cursor, Copilot, Codex) puede añadir escaneo al software que ya ejecutas: descubre los endpoints, los sube y escribe el gate de CI por ti. Pega esto en tu agente y revisa el diff:
Añade escaneo de seguridad de API con LiveAPISec a este repositorio.
1. Instala la CLI: pipx install liveapisec
2. Detecta mi framework y los endpoints existentes.
3. Ejecuta: liveapisec scan-code --dir . --json
4. Añade una GitHub Action que ejecute:
liveapisec scan --project <project_id> \
--wait --fail-on high
API key de secrets.LIVEAPISEC_KEY.
5. Muéstrame el diff del workflow antes de hacer commit.# 1 · install once
$ pipx install liveapisec
# 2 · discover and register your endpoints
$ liveapisec scan-code --dir .
# 3 · scan and gate the build
$ liveapisec scan --project 6f2c --wait --fail-on high
✓ 430+ checks · 0 new findings · certificate updatedMisma ruta a mano: pipx install liveapisec → liveapisec scan-code --dir . → liveapisec scan --project <id> --wait --fail-on high. CLI de Python, SDK de Python y una API REST simple: lo que mejor conozca tu agente.
Ponlo en tu pipeline hoy
Una GitHub Action, configurada una vez. Cada push vuelve a probar las mismas 430+ comprobaciones automáticamente: se acabó re-comprobar endpoints a mano antes de un release. Solo las regresiones reales rompen el build.
# 430+ checks on every push to main
jobs:
pentest:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- uses: liveapisec/scan@v1
with:
api-key: ${{ secrets.LIVEAPISEC_KEY }}
spec: openapi.yaml
env: staging
verdict: true
fail-on: new:highfail-on: new:high — el build falla solo por hallazgos altos realmente nuevos. La deuda aceptada sigue en verde.
{
"verdict": "fail",
"new": [
{ "id": "F-1204", "severity": "high",
"title": "BOLA: /payments/{id} leaks
another user’s resource" }
],
"fixed": ["F-1184", "F-1183"],
"blocking": ["F-1204"]
}Los hallazgos corregidos también aparecen: la descripción de tu PR se escribe sola.
La interfaz real del informe, la misma de la homepage, con evidencia a nivel de payload por hallazgo.
Creado para tus problemas
Veredicto de CI, no ruido de CI
El endpoint de veredicto compara cada escaneo con el baseline y falla el build solo por problemas nuevos. Los hallazgos conocidos nunca bloquean tu despliegue.
Evidencia con cada hallazgo
Payloads, peticiones, respuestas: todo lo necesario para reproducir y corregir en minutos, directamente en el panel. Sin «funciona en mi máquina».
CLI-first, 2 minutos hasta el valor
liveapisec push + scan desde tu terminal o GitHub Actions. Sin llamadas de ventas, sin documentos de alcance, sin esperar 3 semanas a un PDF.
SaaS o dedicado: cubierto de ambas formas
¿Despliegas builds single-tenant u on-prem? El mismo pipeline: una base URL y una clave distintas por despliegue de cliente, cada uno con escaneos aislados y su propio certificado.
Todo lo que necesita la seguridad de tu API
Todo lo de abajo es un solo producto: sin módulos, sin laberinto de upsells.
Pruebas continuas de penetración de API
Tu API se somete a pruebas de penetración 24/7 contra el OWASP API Security Top 10: BOLA/IDOR, autenticación rota, mass assignment, inyección, límites de peticiones y más.
Certificado de confianza en vivo
Un certificado transparente y siempre actualizado que tus clientes pueden abrir. Ve exactamente qué se probó, cuándo y qué se corrigió.
Detecta desviaciones entre despliegues
La mayoría de los problemas de seguridad aparecen tras el despliegue: cambios de configuración, endpoints ocultos, límites desactivados. Vigilamos tu API de forma continua.
Webhooks de CI/CD
Lanza una prueba privada en cada despliegue. Los desarrolladores reciben resultados sin tocar el estado público del certificado.
Veredicto de CI frente a baseline
Bloquea releases solo por hallazgos NUEVOS: el endpoint de veredicto compara cada escaneo con el baseline para que los hallazgos conocidos y aceptados nunca bloqueen un despliegue.
Triaje asistido por IA
Menos falsos positivos. La IA clasifica y prioriza hallazgos, respaldada por un núcleo totalmente determinista y reproducible.
Cero almacenamiento de secretos
Las credenciales se cifran (AES-256) y nunca se registran. Solo tú y el escáner las ven.
En marcha en menos de 10 minutos
De cero al primer informe más rápido que tu pausa para el café.
Conecta tu API
Sube una especificación OpenAPI, RAML, GraphQL o SOAP/WSDL, o indícanos una URL. Añade credenciales: API key, Bearer, Basic u OAuth2.
La probamos continuamente
El motor determinista ejecuta pruebas de penetración OWASP API Top 10 con el calendario que elijas, o bajo demanda, con un ritmo prudente para no saturar tu API.
Muestra tu certificado
Incrusta la Trust Page en vivo en tu sitio. Tus clientes ven evidencia real y actual, no una insignia vacía.
Ve exactamente cómo funciona
Esto es lo que se ejecuta detrás de tu paso de pipeline.
1 · Conecta en menos de un minuto
2 · 430+ comprobaciones se ejecutan solas
Choose how you want to be informed — always.
3 · Alertas críticas en segundos
19 tipos de prueba, cero palabrería
La suite exacta de nuestra homepage: cada escaneo, cada push.
BOLA / IDOR
Intenta acceder a recursos de otros usuarios intercambiando identificadores en rutas y consultas.
Autenticación rota
Envía peticiones sin token o con un token basura para encontrar endpoints desprotegidos.
Mass assignment
Añade campos extra a los payloads para ver si el servidor vincula más de lo que debería.
Inyección (SQL / NoSQL)
Sondea inyección SQL, NoSQL y JSON con detección de firmas de error.
Rate limiting
Dispara una ráfaga de peticiones para comprobar si falta el throttling 429.
Mala configuración de CORS
Refleja un Origin hostil y comprueba si se permiten credenciales.
Cabeceras de seguridad
Comprueba HSTS, X-Content-Type-Options y otras cabeceras de hardening.
Parámetros sensibles
Busca secretos enviados en query strings en lugar de cabeceras o cuerpo.
Debilidades JWT
alg=none, payloads falsificados, secretos HMAC débiles, falta de exp, inyección de kid.
Manipulación de métodos HTTP
Métodos no declarados (DELETE, PATCH…) que saltan el control de acceso por método.
Escalada de privilegios por mass assignment
Campos de rol no declarados que el servidor devuelve exactamente.
Fingerprint de tecnología del servidor + EOL
Detección de stack con marcado de versiones al final de su vida útil.
Revelación de información
.git, .env, endpoints de debug, actuator, métricas, especificaciones públicas, stack traces.
Rate limits diferenciales + bypass por XFF
Login ilimitado junto a una API limitada; límites eludidos con X-Forwarded-For.
Versiones antiguas de API
Endpoints v1 que omiten la autenticación presente en v2; endpoints eliminados que siguen vivos.
GraphQL
Introspección en producción y falta de límites de complejidad de consultas.
Comprobación de redirect_uri de OAuth
Redirecciones abiertas en el endpoint de autorización (robo de código/token).
Cadena CORS + preflight CSRF
Origin null, bypass de allowlist con dominio similar, preflight en endpoints de escritura.
Canary SSRF
Tu servidor pidió buscar nuestra URL: el callback demuestra peticiones del lado del servidor.
Ejecuta una prueba de penetración en vivo ahora mismo
Un pentest real en cada despliegue a staging. Míralo sondear y luego lee la evidencia.
Pentest determinista, bajo demanda
Cientos de simulaciones de ataque OWASP API Top 10 con ritmo prudente, en un sandbox seguro. Sin contratar a un proveedor, sin esperas, sin riesgo para el tráfico de producción.
- ✓ Tráfico de ataque real, no un escaneo de checklist
- ✓ Sandbox seguro con límites estrictos de tiempo y peticiones
- ✓ Evidencia con cada hallazgo, lista para corregir
Hacker mode (AI): piensa como un atacante
El agente planifica un ataque, sondea paso a paso, escribe y ejecuta su propio código de sonda en sandbox cuando se atasca y entrega una evaluación escrita por IA con correcciones. Desde Live: solo dev/staging, nunca producción.
- ✓ Planificación autónoma de ataques al estilo humano
- ✓ Bloqueado en producción por diseño
- ✓ Tu URL nunca llega a la IA: el servidor ejecuta las peticiones
Prueba todo tu entorno: dev, staging y producción
La misma API, tres base URLs. El pipeline escanea cada una.
Escanea la ruta de cada release
- ✓ Desarrollo: captura problemas antes del merge
- ✓ Staging: verifica el release candidate
- ✓ Producción: monitoriza la API en vivo continuamente
- ✓ Bloquea la promoción cuando falla una etapa
- ✓ Olvida las re-pruebas manuales: la automatización cubre las mismas rutas cada vez
Así se ve «probado»
Esto es lo que muestra tu panel después de cada escaneo.
- Último escaneo
- Jul 7, 2026 · 09:41
- Vulnerabilidades abiertas
- 0
- Corregidos
- 12
- Alcance de las pruebas
- BOLA, injection, rate limit…
Pruebas automatizadas de seguridad, no una auditoría completa. El certificado no garantiza la seguridad.
Convierte la seguridad en un activo de ventas
Apunta a tu equipo —no solo a los clientes— a la misma evidencia.
- ✓ Endpoint público con historial de escaneos
- ✓ Redacción precisa: «superó pruebas automatizadas en el alcance probado»
- ✓ Correcciones y regresiones registradas a lo largo del tiempo
- ✓ Trust Page pública en todos los planes
- Último escaneo
- Jul 7
- Tests run
- 430+
- Open
- 0
Seguro para ejecutar contra tu API
Credenciales cifradas con AES-256
Tus API keys se cifran en reposo con AES-256-GCM y nunca se registran ni se muestran en texto plano.
Propiedad verificada por DNS
Solo escaneamos APIs después de que demuestres la propiedad con un registro DNS TXT, registrado para auditoría.
Escáner en sandbox aislado
Los escaneos se ejecutan en un sandbox con límites estrictos de tiempo y peticiones para no saturar tu API.
Procesos alineados con SOC 2
Políticas, auditorías y reportes de evidencia pensados para compras enterprise.
Tratamiento de datos listo para GDPR
Recogida mínima de datos, opción de alojamiento en la UE y eliminación de datos bajo petición.
Acceso con privilegios mínimos
Nuestro equipo nunca puede leer tus secretos; el escáner solo los mantiene en memoria durante una ejecución.
Números que se venden solos
hasta el primer informe
Más rápido que tu pausa para el café. Pruébalo antes de que acabe el standup.
bloqueos por falsos positivos
Solo los hallazgos NUEVOS fallan el build. Tus viernes siguen en verde.
pruebas por escaneo
Las mismas clases de ataque OWASP que revisan los auditores, automatizadas.
Empieza gratis, mejora cuando compense
Un solo pentest manual cuesta 15.000 USD+. SaaS funciona todo el año por menos de una décima parte. Comparar todas las funciones →
Live
Pruebas solo online para APIs y SaaS: monitorización continua, sin CLI ni CI/CD.
Elegir LiveSaaS
Ruta CI/CD completa + monitorización online + certificado público: pensado para equipos en crecimiento.
Elegir SaaSTeam
Para organizaciones con mucha carga de API y a escala. Todo, proyectos ilimitados.
Elegir TeamPreguntas, respondidas con honestidad
¿Machacará mi API con miles de peticiones?+
No. Ritmo prudente con presupuestos estrictos de tiempo/peticiones, y los escaneos estándar son sondas de solo lectura. También puedes limitar las peticiones por minuto por entorno. Hacker mode (AI) es el único motor agresivo, y está totalmente bloqueado en producción.
¿Qué devuelve exactamente el endpoint de veredicto de CI?+
JSON: { verdict: "pass" | "fail", new: [...], fixed: [...], persisting: [...], blocking: [...] }, comparado con tu escaneo baseline. Configura fail_on=new:high y solo las regresiones reales romperán el build.
¿Puedo escanear previews de PR y localhost?+
Sí, para URLs de preview de PR. Localhost funciona mediante el túnel de nuestra CLI: el escaneo se ejecuta desde tu máquina, así que nada necesita ser públicamente accesible.
¿Es seguro probar mi API?+
Sí. El escáner se ejecuta en un sandbox con ritmo estricto, timeouts y límites de peticiones. Tú eliges el calendario y puedes pausarlo en cualquier momento.
¿Es una prueba de penetración real?+
Sí: una prueba de penetración de API automatizada. Ejecutamos simulaciones de ataque OWASP API Top 10 (BOLA/IDOR, autenticación rota, inyección, mass assignment, rate limiting, CORS, cabeceras de seguridad, shadow APIs) y pruebas deep-scan (debilidades JWT, manipulación de métodos HTTP, escalada de privilegios por mass assignment, fingerprint de tecnología del servidor con versiones EOL) bajo demanda o con calendario, como un pentester automatizado. Complementa una prueba de penetración manual liderada por humanos; no la sustituye.
¿Puedo ejecutar una prueba de penetración en vivo desde el sitio?+
Sí. Añade tu API o pega una especificación OpenAPI y pulsa «Ejecutar pentest en vivo»: el sandbox empieza a probar de inmediato y lo ves en directo en la terminal. La misma prueba también está disponible desde nuestra CLI (liveapisec scan) para tu CI/CD.
¿Qué es «Hacker mode (AI)»?+
Un agente de IA autónomo que ejecuta una prueba de penetración real, al estilo humano, sobre tu API (solo dev/staging, nunca producción): planifica un ataque, sondea endpoints paso a paso —probando IDOR, autenticación rota, inyecciones, secretos y mass assignment—, observa las respuestas, se autocorrige y escribe una evaluación final con correcciones. Incluso puede escribir y ejecutar su propio código de sonda en un sandbox. Se ejecuta manualmente bajo demanda, requiere un dominio verificado para objetivos públicos (localhost / IPs privadas están exentas) y tu URL y credenciales nunca se envían a la IA. Desaconsejamos encarecidamente ejecutarlo contra producción: puede romper o destruir un sistema.
¿Guardáis mis credenciales?+
Las credenciales se cifran con AES-256-GCM en reposo y solo se descifran en memoria durante un escaneo. Nunca se registran ni se muestran en texto plano.
¿Qué significa realmente «passed» en el certificado?+
Significa que la API superó las pruebas automatizadas OWASP API Top 10 en el alcance probado en una fecha concreta. Nunca afirmamos seguridad absoluta: el texto del certificado es deliberadamente preciso.
¿Cómo verificáis que soy el propietario de la API?+
Demuestras la propiedad con un registro DNS TXT (o una confirmación manual en planes inferiores). Cada autorización se registra con fecha, hora y alcance.
¿Cómo se cuentan los endpoints?+
Un endpoint es un método HTTP + ruta únicos en un proyecto (por ejemplo, GET /users). Los endpoints se suman entre todos tus proyectos; los entornos comparten la misma especificación, así que no multiplican el recuento. Tu panel muestra el uso en vivo (X / Y endpoints) para que siempre sepas dónde estás.
¿Todos los planes incluyen CI/CD y la suite OWASP completa?+
Todos los planes incluyen la suite baseline OWASP API Top 10 y la suite Deep-scan completa. El plan Dev es solo CLI para desarrolladores (sin certificado online ni escaneos programados). El plan Live añade monitorización online continua y una Trust Page pública, pero no CLI/CI-CD. El plan SaaS te da CLI/CI-CD y certificado, además de mapeo de cumplimiento. Hacker mode (AI) empieza en SaaS; Ask mode (el cuestionario de código) empieza en SaaS. Los extras Enterprise (informe SOC 2, SSO, cola prioritaria, SLA) están en Enterprise.
¿En qué se diferencia de una prueba de penetración manual?+
Una prueba de penetración manual es una foto fija: 15.000 USD o más, 2–4 semanas de espera y obsoleta en tu siguiente despliegue. Ejecutamos las mismas clases de ataque OWASP de forma continua —cada despliegue, cada noche— por menos de una décima parte del precio. Úsanos para mantenerte limpio todo el año y trae a humanos una vez al año para lo exótico.
¿Esto romperá mi producción?+
No. Los escaneos estándar son sondas de solo lectura con ritmo prudente, presupuestos estrictos de tiempo/peticiones y un sandbox aislado: no pueden modificar tus datos. Solo Hacker mode (AI) es destructivo, y por eso está totalmente bloqueado en producción y se ejecuta únicamente en dev/staging.
¿Qué pasa si encontráis algo crítico a las 3 de la mañana?+
Recibes una alerta en segundos —email, Slack o webhook, tú eliges— con el hallazgo, la evidencia y la corrección. Los hallazgos críticos y altos también pueden bloquear el despliegue mediante nuestro endpoint de veredicto de CI, para que la vulnerabilidad nunca llegue a producción.
¿Puedo subir o bajar de plan en cualquier momento?+
Sí. La mejora es instantánea, las bajadas se aplican en el siguiente ciclo de facturación y conservas todos los escaneos y certificados existentes. Los planes de pago incluyen una garantía de devolución de 14 días.
Tu primer pentest de 140 pruebas es gratis
Sin tarjeta. Sin llamada de ventas. Resultados en ~2 minutos; luego decide con evidencia, no con promesas.
Escanea mi API gratis →