Question 1

¿Qué revisa el escáner?

Accepted Answer

Descarga la página, la renderiza para incluir los bundles que se cargan de forma diferida y luego lee cada archivo JavaScript que sirve la página. En cada uno de tus propios archivos mide cuánto recupera un lector como código normal, busca un source map público y busca credenciales. Los SDKs de terceros, los dominios de terceros y los sinks de código dinámico se listan aparte y no cuentan.

Question 2

¿Cómo se calcula la puntuación?

Accepted Answer

Sobre 100. La exposición del código vale 75 puntos, ponderados por bytes entre tus propios archivos JavaScript, así que un bundle grande y legible resta más que uno pequeño. Las credenciales valen 25 puntos: una clave privada, un secreto de la nube, un secreto de pagos, un token de repositorio o una URL de base de datos restan 25; una clave publicable sin restricciones, 10. Un source map público con el código completo, o un repositorio git público, limita la puntuación a 10, y un map solo con mappings la limita a 50. Los emails, las direcciones IP, las claves de navegador y el código de terceros no mueven la puntuación.

Question 3

¿Qué significan Sin procesar, Minificado y Ofuscado?

Accepted Answer

Sin procesar significa que el archivo se sirve tal como se escribió: nombres, comentarios y formato intactos. Minificado significa que los nombres se acortan y se eliminan los espacios, pero la estructura, las cadenas y los nombres de propiedades siguen ahí, y un formateador recupera la mayor parte. Ofuscado significa que las cadenas y los nombres están ocultos y el flujo de control está reescrito. La columna Legible indica cuánto queda: aproximadamente del 20 al 30 por ciento con los ofuscadores open source habituales y menos del 10 por ciento con AfterPack. Código expuesto significa que un map público devuelve el original.

Question 4

¿Qué cuenta como credencial?

Accepted Answer

Un valor que da acceso por sí solo: claves privadas, secretos de AWS y de otras nubes, claves secretas de Stripe, tokens de GitHub y GitLab, tokens de Slack, cadenas de conexión a bases de datos y tokens bearer. Las coincidencias se muestran enmascaradas con 80 caracteres de contexto para que las encuentres en el archivo. Rota cualquier clave que encuentre el escáner: la ofuscación oculta un valor a un crawler, pero quien ejecuta el código sigue pudiendo llegar a un valor que este usa.

Question 5

¿Por qué no puntúan los emails ni las claves de navegador?

Accepted Answer

Un email en una página de contacto, una IP pública o una clave de navegador de Google Maps o Firebase son públicos por diseño. Listarlos como fugas era la principal fuente de falsas alarmas del escáner anterior. Los emails, los feature flags, los hosts internos y los comentarios de desarrollo aparecen ahora en "Lo que tu código le cuenta a quien lo lee", y las IP y claves de navegador en un desplegable dentro de Credenciales, ambos con peso cero.

Question 6

¿Qué es el código de terceros y por qué va aparte?

Accepted Answer

SDKs y librerías servidos desde tu dominio, como un grabador de analítica o un framework de UI. Se identifican por host, ruta o cabecera de licencia. Ningún ofuscador debería reescribir el bundle autoactualizable de un tercero, y su legibilidad no dice nada de tu código, así que los archivos de terceros se listan en su propia sección y no cuentan para la puntuación.

Question 7

¿Por qué los source maps son el peor caso?

Accepted Answer

Un source map conecta un archivo servido con el código que escribiste: nombres de archivos, comentarios y estructura. Si además incluye el código original, quien lo descarga obtiene tu proyecto tal como está en tu editor. El escáner pide el archivo .map junto a cada uno de tus archivos más grandes, lleve o no todavía un comentario sourceMappingURL. Antes que nada, elimina los maps del build de producción o bloquéalos en la CDN.

Question 8

¿Cómo mejoro la puntuación?

Accepted Answer

Elimina los source maps públicos, rota y elimina cualquier credencial y luego pasa tu build por AfterPack. El informe indica tu framework y muestra el comando de instalación exacto; la guía del framework cubre el resto. Un build protegido saca más de 90 en este escáner porque casi nada es legible y nada se puede mapear de vuelta al código fuente.

Question 9

¿Es gratis? ¿Puedo ejecutarlo desde la terminal?

Accepted Answer

Sí. Sin cuenta, tres escaneos al día por red, y el mismo escaneo con npx afterpack audit en una terminal. Los resultados se comparten con su enlace. Una página se vuelve a escanear como mucho cada 30 minutos; repetir el escaneo dentro de ese intervalo devuelve el informe existente y no cuenta para el límite.

Question 10

¿Puedo mostrar que mi sitio está protegido?

Accepted Answer

Sí. La insignia de AfterPack dice Protected by AfterPack mientras el último escaneo lo verifique: salida de AfterPack en el código propio del sitio, sin source maps ni credenciales públicas y nota A. Si no, muestra la última puntuación, o not graded mientras ningún escaneo haya calificado el sitio. Cada página de resultados trae los fragmentos para el pie de página y el README.

¿Alguien puede leer el código fuente de tu sitio?

Preguntas frecuentes del escáner