# Cómo comprobamos

Lockpick lee lo que cualquiera en internet puede ver de tu sitio, dentro de límites fijos, e informa solo de lo que vio.

Lockpick revisa tu sitio desde fuera, como lo encontraría un desconocido o un atacante. Cada comprobación lee lo que tu sitio ya muestra al público, más los registros públicos de tu dominio, y nada más.

## Dentro de límites fijos

Cada tipo de escaneo tiene un presupuesto fijo que no puede superar.

|  | Pulse | Deep |
| --- | --- | --- |
| En pocas palabras | Una mirada rápida desde fuera, como la ve un desconocido o un bot | Un recorrido cuidadoso por tu sitio, como lo haría un atacante decidido |
| Qué revisamos | La página principal y los archivos que carga, la configuración del remitente de correo (SPF y DMARC), las cabeceras de seguridad y TLS, y los registros públicos de DNS, certificados y subdominios, en un máximo de 10 solicitudes. | Hasta 30 páginas legibles y 20 scripts, archivos que no deberían ser públicos, áreas de administración y tu API si tienes una. Si tu sitio genera sus páginas en el navegador, el informe indica cuánto pudo leer Deep. |
| Duración | Normalmente menos de 15 segundos | De 2 a 8 minutos |
| Necesita prueba de que es tuyo | No, solo confirmas que tienes permiso | Sí, un registro DNS, una etiqueta meta o un archivo, que debe seguir publicado |

* Un Pulse envía como máximo 10 peticiones a tu sitio, y un escaneo Deep como máximo 200.
* Las peticiones se espacian, y un escaneo se detiene pronto si tu sitio se ralentiza, falla o rechaza el acceso.
* Leer registros DNS, registros de certificados y el registro de dominios nunca toca tu sitio.

## Solo lo que vimos

Un hallazgo se informa solo con la evidencia que lo muestra. Un informe dice qué pudo leer cada parte del escaneo, y cualquier cosa que no pudo comprobar se marca como no comprobada, nunca como superada. [Cómo calificamos los hallazgos](/es/security/how-we-rate-findings) explica la gravedad, lo que debe mostrar un hallazgo confirmado y lo que puede demostrar volver a comprobar.

## Primero tu permiso

Cada escaneo empieza con tu confirmación de que eres propietario del sitio o de que puedes probarlo. Un escaneo Deep además necesita [una prueba de propiedad](/es/protect/prove-you-own-your-site) y tu aprobación cada vez.