p PatchFirst

La seguridad empieza por las prioridades

Descubre qué
corregir primero.

PatchFirst coteja el software de tu servidor con CVE de todo el mundo e indicios de explotación. La comprobación gratuita ofrece una puntuación y destaca los componentes afectados, sin detallar los hallazgos. Las vulnerabilidades concretas y las prioridades de parches forman parte de la monitorización de pago.

Comprueba un servidor gratis →Cómo funciona ↓

Una comprobación puntual gratuita de un servidor propio. La monitorización es de pago. Con el pago anual ahorras 20%: un servidor durante un año cuesta $28,80 en lugar de $36,00. Primeros 5 servidores: $3,00 por servidor al mes; a partir del servidor 6: $2,00; a partir del servidor 26: $1,50.

Un servidor envía información de componentes a un indicador de evaluación junto a una lista ordenada de tareas.

Qué comprobamos

Actualmente: paquetes del SO, versiones exactas de dependencias y productos reconocidos. La cobertura depende de los permisos del agente y de los datos disponibles.

Disponible ahora

  • Paquetes del SO: Debian, Ubuntu, Alpine, familia RHEL (Rocky Linux, AlmaLinux), openSUSE y SLES.
  • PHP: composer.lock.
  • Node.js: npm (package-lock.json), Yarn v1 y Berry (yarn.lock), pnpm (pnpm-lock.yaml).
  • Python: poetry.lock, Pipfile.lock, uv.lock, requirements*.txt con versiones fijadas mediante ==; paquetes instalados en los venv/site-packages detectados.
  • Versiones de entornos de ejecución y servicios reconocidas por el catálogo de productos.
  • Imágenes de contenedores por nombre y etiqueta; su contenido no se inspecciona y sigue siendo un punto ciego. Las imágenes desconocidas y las etiquetas flotantes requieren revisión manual.

Se incluyen dependencias directas y transitivas; las de desarrollo se etiquetan. La detección está limitada por permisos, tiempo y número de archivos y paquetes. Las versiones imprecisas y los límites alcanzados aparecen como puntos ciegos.

Próximamente

  • Ruby: Gemfile.lock.
  • Go: go.sum e información de compilación de binarios.
  • Rust: Cargo.lock.
  • Java: archivos de bloqueo Maven/Gradle y manifiestos jar.

Estos ecosistemas aún no se comprueban.

A quién va dirigido

Una comprobación. Distintas preguntas.

Elige tu perfil, desde los detalles técnicos hasta la conversación con tu proveedor.

Para DevOps y SRE →

Filtra el ruido de las CVE, las correcciones adaptadas y lo que necesita atención primero.

Del inventario
a los siguientes pasos.

El agente recopila datos en tu servidor. PatchFirst ve el software y las versiones que usas, no los datos de tu aplicación.

01 / TU SERVIDOR

Recopilar y anonimizar

El agente es un único archivo y funciona sin root. Python es opcional. Recopila versiones de software e indicadores de exposición de servicios. Antes de enviar, sustituye nombres por UUID y etiquetas HMAC, y las IP por un indicador de dirección pública. Con el cifrado de nombres activado, el diccionario se cifra por separado.

02 / SERVICIO PatchFirst

Cotejar con las amenazas

CVE.org y OSV ayudan a identificar vulnerabilidades conocidas. CISA KEV, EPSS y los datos de explotación aportan contexto: evidencias de explotación y probabilidad estimada de ataque.

03 / TU INFORME

Elegir la siguiente acción

El riesgo combina gravedad, facilidad de explotación y exposición del componente. La comprobación gratuita ofrece una puntuación de 0 a 100, componentes destacados y puntos ciegos generales. La monitorización de pago añade detalles de hallazgos y prioridades P0–P3 para planificar actualizaciones.

Tus nombres
siguen siendo tuyos.

La anonimización oculta nombres y direcciones, pero una lista de versiones de software sigue siendo sensible. Estos son los límites.

Qué ve el servicio

Versiones del SO y paquetes, imágenes públicas reconocidas, datos de componentes en ejecución, tipos de servicio y exposición estimada. Los equipos aparecen como UUID y los valores ocultos, como etiquetas.

Es suficiente para cotejar software con CVE. El servicio almacena inventarios anonimizados e informes en PostgreSQL de forma legible para buscarlos y recalcular hallazgos cuando cambia la información de vulnerabilidades.

Qué mantiene privado el agente

Direcciones IP directas, nombres originales de equipo, rutas, números de puerto y nombres privados cubiertos por la anonimización. Sin cifrado de nombres, no envía diccionario. Con él activado, un diccionario cifrado independiente vincula etiquetas con nombres; su clave de visualización nunca se envía al servicio.

El cifrado de nombres es opcional y usa una contraseña distinta de la de acceso. Los nombres se descifran en el navegador del propietario. La IP de conexión solo se usa en memoria para proteger frente a fuerza bruta y no se conserva.

Una copia de la base de datos expone los componentes técnicos anonimizados. El servicio los lee para búsquedas y recálculos, y un navegador o servidor del propietario comprometidos pueden exponer nombres y claves. Más sobre datos y limitaciones →

Puedes dejar los nombres vacíos: el panel mostrará «Servidor 01». También puedes elegir un alias como web-1: se almacena sin cifrar. No introduzcas dominios, direcciones IP, empresas ni nombres de clientes. Para protegerlos, activa el cifrado de nombres en Cuenta: el navegador trasladará los existentes a un diccionario cifrado y el servicio eliminará las copias sin cifrar.

La puntuación orienta.
Tú decides.

PatchFirst ayuda a seguir problemas conocidos. No sustituye una auditoría, una prueba de penetración ni una revisión de configuración y lógica de aplicación.

El contexto cambia la prioridad

Una vulnerabilidad en un servicio accesible desde el exterior suele ser más relevante que la misma en un componente local. La exposición se infiere de los indicadores recopilados y puede diferir de la accesibilidad real.

La versión es parte de la respuesta

Los paquetes de distribución se comprueban mediante OSV, incluidas las correcciones adaptadas a versiones anteriores. Sigue pudiendo haber errores de cotejo y retrasos en las fuentes. Verifica los hallazgos antes de cambiar nada.

Los puntos ciegos necesitan atención

Una imagen desconocida o una etiqueta flotante no ofrecen una versión fiable. Requieren revisión manual. Una puntuación alta no descarta vulnerabilidades desconocidas ni componentes omitidos.

Un servidor o toda tu flota.

Empieza con una evaluación puntual. Conecta un agente para enviar el inventario regularmente y seguir los cambios.

Comprobación puntual

Un servidor

Gratis

Ejecuta un comando o pega JSON anonimizado. El resultado gratuito incluye puntuación, grupos de componentes afectados, recuentos e indicios de riesgo y puntos ciegos generales. Los nombres, las versiones y las CVE permanecen privados.

Comprueba tu servidor →

El enlace funciona durante 7 días. El servidor almacena el informe cifrado sin conservar la clave: solo está en tu enlace.

Monitorización continua

Paga por servidor

Con el pago anual ahorras 20%: un servidor durante un año cuesta $28,80 en lugar de $36,00.

Un mes de facturación equivale a 30 días
Posiciones de servidorPor servidor y mes
1–5$3,00
6–25$2,00
26+$1,50

Cada tarifa se aplica solo a los servidores de su tramo y los importes se suman. Por ejemplo, 10 servidores cuestan 5 × $3,00 + 5 × $2,00 = $25,00 al mes.

El primer pago de una cuenta invitada concede a quien invita +1 servidor-mes. Las bonificaciones caducan a los 12 meses; consulta las condiciones.

El agente informa cada 6 horas y las fuentes de vulnerabilidades se actualizan cada pocas horas. Los hallazgos detallados y las prioridades de parches están en el panel; la monitorización de pago admite webhooks configurados en Notificaciones.

Activar monitorización →

Con el pago anual ahorras 20%: un servidor durante un año cuesta $28,80 en lugar de $36,00. Primeros 5 servidores: $3,00 por servidor al mes; a partir del servidor 6: $2,00; a partir del servidor 26: $1,50. Paga desde el panel mediante las plataformas disponibles: Paddle, YooKassa y CoinsSend. CoinsSend ofrece USDT, BTC, ETH, TON, USDC y otras monedas; elige moneda y red en su página y paga la comisión de red. No hay cargos automáticos.

Descargar un informe de ejemplo (PDF)

Antes de la primera comprobación

Preguntas prácticas.

¿PatchFirst comprueba npm, pip y poetry?

Sí: paquetes PHP de composer.lock, dependencias Node.js de npm, Yarn y pnpm y paquetes Python de pip y poetry si hay versiones exactas. Incluye dependencias directas y transitivas; las de desarrollo siguen en el informe etiquetadas. Ruby, Go, Rust y Java aún no están cubiertos.

Para Node.js, el agente lee package-lock.json, yarn.lock y pnpm-lock.yaml; para Python, poetry.lock, Pipfile.lock, uv.lock, entradas de requirements*.txt con == y metadatos de paquetes instalados en los venv/site-packages detectados. Las versiones ausentes o flotantes no se pueden comprobar. La recopilación está limitada por permisos, tiempo y número de archivos y paquetes; los límites alcanzados aparecen como puntos ciegos.

¿PatchFirst analiza servidores ajenos?

No. Nunca analiza desde el exterior: el agente solo lee paquetes y servicios en escucha del servidor donde se ejecuta. Instálalo únicamente en servidores propios o que tengas permiso para evaluar.

¿Cómo se calcula la puntuación?

Cada hallazgo recibe un valor de riesgo según su gravedad, indicios de explotación y exposición. Determinan las prioridades P0–P3 y las deducciones desde 100. Un hallazgo P0 limita la puntuación a 49. Es un modelo de priorización, no una probabilidad de intrusión.

¿Qué significa «anonimizado»?

Los nombres y las direcciones se sustituyen antes del envío. Las versiones y los indicadores técnicos se conservan porque son necesarios para cotejar vulnerabilidades. Su combinación puede resultar reconocible, por lo que la anonimización no promete anonimato completo.

¿Puedo revisar lo que envía el agente?

Sí. El modo dry-run permite revisar los datos antes de enviarlos. En una comprobación puntual, la opción JSON permite inspeccionar primero el inventario anonimizado y después pegarlo en la página.

¿La cuenta requiere datos personales?

No. Accede con un usuario inventado y una contraseña, sin nombre, correo ni teléfono. Guarda el código de recuperación: es la única forma de restablecer la contraseña de acceso olvidada. Perder ambos supone perder el acceso.

Los proveedores de pago reciben un número de pedido y un importe sin usuario ni datos del pagador. CoinsSend es un servicio custodio y realiza sus propios controles AML. Contactar con el operador revela tu dirección de remitente. Los proveedores y los plazos de eliminación de correspondencia se describen en el aviso de privacidad.

¿Qué pasa si olvido la contraseña de nombres?

Si activaste el cifrado, el servicio no conoce esa contraseña y no puede recuperar los nombres. Tendrás que restablecer los diccionarios y reconfigurar los agentes. La contraseña de acceso y la de nombres tienen fines distintos.

¿Un informe sin hallazgos significa que mi servidor es seguro?

No. Las fuentes pueden retrasarse, parte del software puede no reconocerse y el análisis de versiones no cubre fallos de configuración o aplicación. PatchFirst no garantiza exhaustividad ni precisión; el propietario sigue siendo responsable de las actualizaciones. Condiciones del servicio.