Escáner de vulnerabilidades gratuito: qué cubre y qué no

OpenVAS y Nuclei permiten revisar sin coste de licencia los sistemas expuestos a internet. Greenbone Community Edition usa OpenVAS para ejecutar sus pruebas sobre los sistemas que usted indique. Nuclei trabaja con plantillas YAML y con los objetivos que usted le facilite. Si el análisis parte de una lista fija de objetivos, ninguno de los dos le dirá si esa lista está completa, es decir, qué sitios web, servidores y servicios de su empresa se ven hoy desde internet. Mantener ese inventario y decidir qué corregir primero sigue siendo tarea de su equipo.

Una herramienta gratuita también consume tiempo: si la aloja en sus propios servidores, su equipo tiene que mantenerla al día y revisar los resultados. Con pocos dominios estables, eso lleva poco. Con agencias, filiales y varios proveedores de hosting, el trabajo crece bastante.

Desarrollamos SeguriScan, la plataforma de IntruForce, así que tenemos un interés comercial en esta comparación. Los datos de OpenVAS y Nuclei están contrastados con la documentación oficial de cada proyecto.

Qué revisan OpenVAS y Nuclei

OpenVAS revisa servidores y servicios de red en busca de fallos conocidos. Forma parte de Greenbone Community Edition, software de código abierto. Sus comprobaciones vienen en la Greenbone Community Feed, que es gratuita y se actualiza cada día.

Nuclei tiene licencia MIT y ejecuta las plantillas que usted elige contra los objetivos que le indica. Cada plantilla es un archivo de texto YAML que describe una comprobación; según las plantillas activadas, Nuclei puede detectar vulnerabilidades conocidas, configuraciones incorrectas y archivos expuestos. Las escriben ProjectDiscovery y la comunidad.
El servicio de gestión de Greenbone guarda los resultados y permite programar análisis. Nuclei se puede automatizar; para enumerar subdominios suele hacer falta otra herramienta o fuente de datos.
Las versiones que instala en sus propios servidores funcionan allí, y usted decide qué se analiza y cuándo. Algunas pruebas de Nuclei usan un servicio externo que recibe conexiones de comprobación, y las integraciones o las cargas a la nube también pueden enviar datos fuera; revise esa configuración antes.
La base gratuita de Greenbone no incluye las comprobaciones de productos empresariales, que están en la de pago. Como cualquier base de comprobaciones, no puede cubrir todas las vulnerabilidades posibles.

Qué no cubre un análisis por sí solo

Imagine que su agencia de marketing publica en marzo una página de campaña en un subdominio nuevo. Si el análisis usa la lista de objetivos de enero, el escáner no revisará el nuevo subdominio hasta que alguien lo añada. El escáner revisó lo que tenía en su lista. Más sobre este hueco en el perímetro declarado y el real.

Greenbone permite guardar resultados, programar análisis y comparar informes, y Nuclei se puede automatizar, pero alguien tiene que configurarlo y actuar sobre los resultados. Sin ese proceso, estas tareas quedan en manos de su equipo:

comparar cada análisis con el anterior para ver qué servicio apareció o qué fallo volvió;
buscar copias de contraseñas y datos de acceso de empleados en fuentes externas de filtraciones, que un análisis de sus servidores no ve (qué hacer con credenciales filtradas);
vigilar dominios registrados por terceros que se parecen al suyo (dominios parecidos y typosquatting);
juntar los resultados de varias herramientas, que repiten el mismo problema, y quitar los que no le afectan;
decidir el orden de las correcciones.

Para priorizar, valore la gravedad, la explotación conocida y la importancia del sistema para su empresa. La puntuación base CVSS mide de 0 a 10 la gravedad intrínseca de una vulnerabilidad. En CVSS 4.0, las métricas de amenaza indican la madurez de la explotación. El catálogo KEV de CISA, la agencia de ciberseguridad de Estados Unidos, reúne vulnerabilidades que se sabe que se han explotado en ataques reales. Lo explicamos en cómo priorizar por explotabilidad.

El trabajo de mantener un escáner

Si su equipo usa la herramienta, se encarga de:

llevar la lista de dominios, direcciones IP y servicios, y añadir lo nuevo;
instalar y actualizar la herramienta; Greenbone se puede instalar en contenedores o compilar desde el código;
ajustar la velocidad para no saturar sus propios servicios; el límite por defecto de Nuclei es de 150 peticiones por segundo y se puede cambiar; elija uno adecuado para cada sistema y para lo que tiene autorizado;
programar los análisis y comprobar que se hicieron;
leer los resultados y descartar las falsas alarmas (falsos positivos);
volver a comprobar tras cada corrección y guardar el historial para auditorías y clientes.

Cuánto tiempo lleva depende de cuántos sistemas tenga y de la experiencia de su equipo. Conviene calcularlo con sus propios sistemas antes de comparar con una plataforma.

Cuándo basta con una herramienta gratuita

Suele funcionar bien si su empresa tiene pocos dominios y casi no cambian, si nadie de fuera crea servicios en su nombre y si alguien del equipo tiene tiempo para mantenerla y revisar los resultados. También importa lo que piden sus clientes: si quieren un historial de revisiones e informes, alguien tendrá que prepararlo.

Cuándo conviene monitorizar los sistemas expuestos a internet

Conviene valorar una plataforma cuando su equipo ya no tiene tiempo para esas tareas, por ejemplo si hay:

muchos dominios, proveedores de hosting y servicios en la nube;
cambios frecuentes: lanzamientos, campañas, migraciones, adquisiciones;
un equipo de seguridad pequeño o compartido con TI;
dirección, clientes o auditores que piden ver qué se revisó y qué se corrigió.

Puede mantener su escáner para pruebas concretas y sumar una plataforma que revise con regularidad los sistemas accesibles desde internet. Ningún escáner sustituye una prueba de penetración (pentest), una evaluación de especialistas con alcance acordado que puede incluir intentos de explotación. La frecuencia de revisión depende de cuánto cambian sus sistemas; lo tratamos en pentest anual o monitorización continua.

Qué hace SeguriScan

SeguriScan empieza por un dominio o por rangos de direcciones autorizados y llega hasta comprobar que las correcciones funcionaron:

busca servidores y sitios web que no figuran en su inventario, y usted confirma cuáles son suyos antes de analizarlos;
cruza las vulnerabilidades conocidas con las versiones de su software y marca las que CISA incluye en su catálogo KEV; una coincidencia de versión queda como candidata hasta que una comprobación activa la confirma;
reúne en una lista los resultados de varias comprobaciones, une los duplicados y descarta las falsas alarmas típicas;
ordena los hallazgos por gravedad, probabilidad de ataque y certeza de que afectan al sistema; la prioridad calculada no incluye la importancia del sistema para su empresa; ese criterio lo añade su equipo;
marca lo que cambió desde la última revisión y, cuando la siguiente revisión ya no detecta un problema corregido, lo marca como resuelto;
lista los dominios registrados que imitan el suyo y, en una vista aparte para quienes tienen acceso y con los datos enmascarados, las cuentas de trabajo que aparecen en filtraciones.

No instala nada en sus servidores y no revisa su red interna, solo lo que se alcanza desde internet. Vea cómo funciona, paso a paso.

Preguntas frecuentes

¿Hay que dejar el escáner actual?

No. Puede seguir con él y usar SeguriScan para ver qué sistemas están expuestos a internet y qué problemas conviene atender primero.

¿Un escáner gratuito encuentra menos vulnerabilidades?

No necesariamente. Depende de los sistemas revisados, las comprobaciones, la configuración y los accesos disponibles. Revise esos factores antes de sacar conclusiones de los resultados.

¿Se puede empezar gratis y cambiar más adelante?

Sí. Guarde desde el primer día la lista de sistemas y los resultados. Con ellos podrá comparar y seguir las correcciones al cambiar.

Solicite un piloto gratuito de SeguriScan en el formulario de abajo si quiere comparar resultados con los de su herramienta. Antes de empezar, acordamos el alcance y usted confirma que puede solicitar el piloto para ese dominio. No se inicia ninguna prueba activa sin su aprobación. A continuación tendrá acceso a la plataforma con los activos descubiertos, los hallazgos, los resultados de filtraciones y los informes. Le escribiremos por correo para acordar los siguientes pasos. Sin compromiso de continuar.

Fuentes (en inglés)

ProjectDiscovery: Nuclei en GitHub, consultado el 2 de noviembre de 2026: licencia MIT, plantillas de la comunidad, límite por defecto de 150 peticiones por segundo. Automatización y herramientas de descubrimiento: documentación en docs.projectdiscovery.io.
Greenbone: Background, Greenbone Community Edition, consultado el 2 de noviembre de 2026: origen en OpenVAS, código abierto, servicio de gestión con resultados guardados y programación, Community Feed gratuita sin las comprobaciones de productos empresariales y sin promesa de cobertura completa. Instalación en contenedores o desde el código: guías de la misma documentación.
Catálogo KEV (Known Exploited Vulnerabilities) de CISA. CVSS: especificación 4.0 de FIRST.