Yongchivo Tools
En líneaUn hub de micro-herramientas de ciberseguridad gratuitas en tools.yongchivo.com, en inglés y en español (en /es/), hecho con Astro y Tailwind sobre Cloudflare Workers.
La mayoría de las herramientas funcionan por completo en tu navegador, así que nada de lo que escribes sale de tu dispositivo. Hay dos excepciones, y prefiero decirlo claro: el verificador de cabeceras tiene que hacer una petición a la web que compruebas, y el comprobador de filtraciones consulta la base de datos de XposedOrNot. En los dos casos no se registra ni se guarda nada: los datos solo existen en memoria durante esa petición.
El trabajo de seguridad que hay detrás
- Protección frente a SSRF en el verificador de cabeceras: se bloquean rangos de IP privados, localhost, la dirección de metadatos de la nube, esquemas que no son HTTP, credenciales en la URL y puertos no estándar, y se vuelve a validar cada salto de redirección.
- Un incidente real de gestión de secretos: una clave de API acabó guardada como el nombre de un secreto de Cloudflare en vez de como su valor. Se detectó, se rotó al momento y se rehízo bien.
- La web se evaluó a sí misma: la primera vez que pasé el verificador de cabeceras por tools.yongchivo.com salió una F. Lo arreglé ese mismo día con un archivo _headers y ahora saca una A.