Escáneres de seguridad vibe coding comparados, el nuestro incluido

Escribiste "mejor escáner de seguridad para vibe coding" en un buscador, y la primera comparativa que salió la había escrito uno de los escáneres. El aviso estaba ahí, en una línea debajo de la tabla.

Reeve es una de las ocho herramientas de abajo, así que esta página tiene el mismo problema. Reeve es un escáner de seguridad gratuito que lee una URL en directo en unos veinte segundos sin cuenta, y una suscripción de pago que sigue vigilando la aplicación después y guarda una copia verificada de su base de datos. Lo que sí podemos hacer con ese conflicto es enseñar el trabajo. Cada fila se leyó en la página del propio vendedor, primero el 7 de septiembre de 2026 y de nuevo el 5 de noviembre de 2026, cada precio está impreso incluido el nuestro, aquí no hay nada patrocinado, y cerca del final hay una sección que nombra los tres trabajos de esta página que Reeve no hace en absoluto.

Esto es lo que las comparativas de los fabricantes se dejan fuera. La mayoría de estas herramientas lee la misma superficie. Cargan tu aplicación en directo, se bajan el JavaScript que le manda al navegador, leen las cabeceras que vinieron con él, le hacen a tu base de datos una pregunta que podría hacer cualquier desconocido, y anotan qué respondió. El escaneo es la parte que tienen en común. Tres preguntas las separan:

1. ¿Distingue una clave que pertenece a tu aplicación de una que no?
2. ¿Avisa cuando una comprobación no obtuvo respuesta?
3. ¿Pasa algo el día en que tus datos ya no están?

¿Cuál es el mejor escáner de seguridad para vibe coding?

El que pueda leer la superficie donde está tu problema. Esa pregunta ordena la lista más rápido que cualquier lista de funciones, y parte ocho herramientas en tres grupos, con algunas que ahora están en más de uno.

Herramientas a las que das una URL. LaunchGuard, Vibe App Scanner, VibeEval, SupaExplorer y Reeve. Pegas una dirección, cargan tu aplicación como lo haría un visitante, y en un minuto o dos vuelve un informe. Nada que instalar, nada tuyo que conectar.

Herramientas a las que das tu código. CheckVibe lee una URL en directo y también lee un repositorio de GitHub si conectas uno, y Vibe App Scanner revisa ahora un repositorio o un ZIP de tu código en sus planes de pago. Leer el código fuente responde preguntas que un escaneo de URL no puede hacer, y trae su propio punto ciego, y por eso qué se le escapa a un escaneo de URL vale la pena antes de pagar por cualquiera de los dos.

Herramientas a las que das tu cuenta de Supabase. El propio Security Advisor de Supabase vive en tu panel y lee la configuración del proyecto. Supabomb es una herramienta de línea de comandos de código abierto escrita para gente que se dedica a esto. CheckVibe y SupaExplorer también se conectan a un proyecto de Supabase si enlazas uno. Todas alcanzan desde dentro de la cuenta cosas que no puede ver nada que esté fuera de tu aplicación.

Si estás en Supabase y nunca has abierto el Security Advisor, abre ese antes de pagarle a nadie de esta página. Es gratis, funciona solo, y le escribe un correo al dueño del proyecto cuando aparece una tabla con Row Level Security apagada. Tampoco compite con nada de aquí: lee tu configuración, mientras que un escaneo lee qué le está haciendo tu configuración a los desconocidos, y esas dos cosas se separan más a menudo de lo que nadie espera.

¿Qué lee de verdad cada escáner?

Seis de las ocho funcionan con una URL. Las otras dos quieren algo para lo que hay que iniciar sesión, y esa es la columna que se lee antes que cualquier lista de funciones. Las dos de la derecha son las que deciden si puedes probar una herramienta esta mañana: cuatro escanean sin ninguna cuenta, y tres de esas cuatro te enseñan el informe entero.

Cada fila se leyó en las páginas de la propia herramienta el 7 de septiembre de 2026 y de nuevo el 5 de noviembre de 2026. Dos herramientas de la primera versión de esta página ya no están. El sitio de SafeToShip respondía "This Deployment is paused by the owner" el 4 y el 5 de noviembre, y Defencecore vende ahora pruebas de penetración y ya no ofrece su producto para Supabase. Esta es una categoría joven y las páginas se mueven, así que trata cada fila como más vieja que el sitio del que salió.

En esa tabla es donde paran casi todas las comparativas, y es la parte que menos separa a estas herramientas.

Las tres preguntas, herramienta por herramienta

Reeve es la única de las ocho que responde que sí a las tres. Otras dos responden ya a la segunda por escrito, algo que no encontramos en ninguna cuando se escribió esta página.

"Su página no lo dice" quiere decir exactamente eso. Podemos leer lo que estas herramientas publican sobre sí mismas; el informe que recibirías tú no lo podemos ver. Las tres secciones de abajo explican cada columna y te dan una manera de comprobarlo en tu propia aplicación, escaneándola con dos de estas herramientas y leyendo los dos informes en paralelo.

¿Distingue tus claves seguras de las peligrosas?

Reeve sí, descifrando la clave y leyendo el rol que lleva escrito dentro. Esa única capacidad es la diferencia entre un informe con el que puedes hacer algo y una lista de cuarenta cosas por las que aprendes a pasar de largo.

Empieza por qué los recuentos se separan tanto. Un número de comprobaciones es una cifra de marketing y no una medida: CheckVibe anuncia más de cien, Reeve ejecuta nueve y publica con qué frecuencia salta cada una de las nueve en 30.998 aplicaciones. Una lista más larga sobre la misma aplicación es una lista más larga. La causa mayor es que algunos escáneres tratan como problema cualquier clave que encuentran en tu JavaScript, y algunas de esas claves deben estar ahí.

Tu clave publicable de Supabase pertenece a tu frontend. Una clave de Stripe que empieza por pk_live_ también. Las dos viajan a cada visitante por diseño, porque la petición que identifican se hace desde el navegador del visitante, y ninguna concede nada por sí sola. Qué claves son seguras en tu frontend es esa distinción entera.

El 7 de septiembre de 2026, la portada de VibeEval listaba "Stripe pk_live_ found in /assets/app.js" entre cinco hallazgos de ejemplo, marcado CRIT. Esa es una clave publicable, en el sitio exacto donde Stripe la publica. El ejemplo ya no estaba cuando volvimos a leer la página en noviembre, y no podemos ver los informes que estas herramientas mandan a sus clientes reales, así que léelo como una página de marketing y no como un veredicto sobre el producto. Sigue siendo un ejemplo limpio de lo que hay que comprobar, y el daño no es esa línea equivocada. Un escáner que te da un hallazgo crítico por haber hecho algo bien te enseña a encogerte de hombros con el siguiente, y el siguiente es el hallazgo de verdad.

Una clave antigua de Supabase es un JWT, y su sección central dice "role": "anon" o "role": "service_role" en texto legible. Reeve lee esa palabra. Una clave publicable en tu bundle vuelve bajo un encabezado que dice que esto lo hiciste bien y no te cuesta nada, y una clave service_role en ese mismo bundle es lo peor que el escáner sabe encontrar. Las dos se parecen muchísimo en el panel de Supabase, una al lado de la otra, y así es como se copia la que no era.

¿Avisa cuando una comprobación no obtuvo respuesta?

Reeve sí, con esas palabras. Una comprobación termina de tres maneras y solo una es aprobado: encuentra algo, recibe un no claro, o no recibe nada en absoluto porque la petición agotó su tiempo, el servidor la rechazó, o la página nunca terminó de cargar. Ese tercer final es la casilla vacía a la derecha de la imagen de arriba. Se imprime como "No se pudo comprobar" y deja tu nota en paz.

Esto es lo más silencioso de la página y lo que decide si un informe vale algo, porque una sonda que no obtuvo respuesta se parece exactamente a una sonda que volvió limpia en cuanto alguien la redondea hacia una marca de aprobado. Actuarías según esa marca. Detrás no hay nada.

El 7 de septiembre de 2026 no encontramos la misma promesa en ninguno de los otros sitios. El 5 de noviembre dos de ellos la hacían. La vista previa de Vibe App Scanner te enseña las "checks that could not run", y la metodología de VibeEval da a cada escaneo una puntuación de cobertura y dice "When upstream protection blocks our probes we say so." LaunchGuard lo dice de una cosa, sus pruebas de escritura, que se omiten y se señalan cuando tu base de datos no puede confirmar que las deshará. En los demás no encontramos ninguna línea así. Eso no prueba que redondeen hacia arriba, y sigue siendo la línea que buscar antes de creerte un informe verde sobre una aplicación que te importa.

La misma regla gobierna las cifras que Reeve publica sobre todos los demás. Entre el 12 y el 14 de agosto de 2026 pasamos las nueve comprobaciones sobre 30.998 aplicaciones vibe-coded en directo construidas con Lovable, Bolt, v0, Cursor, Replit, Windsurf y Base44, publicamos cada agregado bajo CC BY 4.0 para que cualquiera lo reutilice, y anotamos con qué frecuencia saltó cada comprobación, a qué proporción de aplicaciones no llegó, y cómo se contaron esas. Una comprobación sin respuesta va en su propia columna y no en el montón limpio, así que nada de esa página está inflado por contar el silencio como seguridad. La portada de Vibe App Scanner lleva un contador de sus escaneos y de las vulnerabilidades que encontraron. Sea cual sea la cifra que imprima una herramienta, la nuestra incluida, pregunta cómo contó las aplicaciones a las que no llegó.

¿Qué pasa el día en que tus datos ya no están?

Nada, en siete de las ocho. Un escáner encuentra la puerta abierta. No puede decirte quién ya pasó por ella, y no puede devolver una tabla que alguien vació el martes.

Reeve Care es la octava, y cerrar ese hueco es la razón de que exista esta empresa. Toma copias de tu base de datos de Supabase con un horario, abre cada copia y la cuenta contra lo que entró antes de que la copia cuente como respaldo, las guarda fuera de tu cuenta de Supabase para que un proyecto suspendido o un acceso que no puedes recuperar las deje donde están, y sustituye tus datos desde una de ellas cuando lo pides. Antes de reemplazar nada, se toma primero una copia del estado actual.

Tus archivos subidos viajan con las filas en cuanto conectas una credencial de Storage, que es una segunda clave que se pide aparte y la única que Reeve guarda capaz de escribir, porque Supabase no emite ninguna clave de solo lectura para archivos. Qué hace eso exactamente está dibujado en la página de copias.

Supabase es lo único que Care puede copiar, así que si tus datos viven en Firebase o en otro sitio, esta sección entera no está a tu alcance y la mitad que escanea es lo que Reeve tiene que ofrecerte. Vibe App Scanner y LaunchGuard comprueban las reglas de seguridad de Firebase, que es lo más parecido que hay en esta página.

¿Qué te llevas por una suscripción mensual?

En las demás, más escaneos. En Reeve, los escaneos y además lo que pasa después de que uno de ellos encuentre algo.

Esas cifras de los demás son las que enseñaban los vendedores el 5 de noviembre de 2026: CheckVibe $24, $49 o $99, Vibe App Scanner $29 o $49, VibeEval $25 junto a $49 tachados con un plan de equipo de $75, y SupaExplorer $9. LaunchGuard no vende suscripción: su escaneo a fondo, un arreglo y 30 días de vigilancia son un único pago de $19 por aplicación. Lee el precio actual en la página del propio vendedor antes de comprar nada, y eso incluye el nuestro, que a veces está por debajo de la cifra de lista de aquí y nunca por encima.

La mayoría de los planes de pago de aquí se pueden probar antes de que te cobren. Reeve te da siete días, VibeEval anuncia catorce sin tarjeta y CheckVibe catorce con tarjeta. Vibe App Scanner y SupaExplorer ofrecen en cambio un primer escaneo gratis.

De esa última fila salen dos cosas. Reeve Monitor cuesta $12 al mes por tres aplicaciones, por debajo de todas las suscripciones de aquí salvo la de SupaExplorer, y es la mitad de vigilancia completa: reescaneos cada hora, una sonda de disponibilidad cada 60 segundos, avisos cuando algo cambia y un informe mensual. Y Reeve Care cuesta $49 al mes, que es lo que cobran CheckVibe Pro y Vibe App Scanner Pro, siendo la única suscripción de la página que además guarda una copia verificada de tu base de datos y la devuelve cuando la pides. Por encima, Care Pro a $79 añade cinco aplicaciones, copias dos veces al día y una página de estado pública, y Care Max a $139 las toma cuatro veces al día.

Dónde Reeve no es la respuesta

Tres trabajos de esta página que Reeve no hace en absoluto.

• Leer tu código fuente. CheckVibe lo hace si conectas GitHub, Vibe App Scanner en sus planes de pago, y los escáneres de secretos especializados en ese trabajo llegan más hondo que cualquiera de nosotros. Es además la única forma de encontrar una clave que se fue de tu aplicación hace meses y sigue en su historial.
• Probar la aplicación con la sesión iniciada, o escribiendo en ella. VibeEval admite escaneos con credenciales, y el escaneo a fondo Pro de Vibe App Scanner entra con una cuenta de prueba que le das. El escaneo a fondo de LaunchGuard por $19 se queda fuera pero intenta escribir y borrar por cada puerta abierta que encuentra, deshaciendo sus escrituras de prueba. Reeve nunca inicia sesión, nunca escribe y nunca se descarga una fila, que es lo que hace seguro apuntarlo a una aplicación en producción con clientes reales, y que es también por lo que un fallo que solo se le muestra a un usuario con sesión nos queda invisible.
• Ser abierto, o dejarse conducir por tu agente. Supabomb es de código abierto y está escrito en Python. Vibe App Scanner publica un servidor MCP, CheckVibe lleva sus hallazgos a Claude o Cursor, y el advisor de Supabase se alcanza por el propio servidor MCP de Supabase. Reeve no publica ni su código ni un servidor MCP.

Dónde sí es Reeve la respuesta: tu aplicación está en directo, quieres saber qué les entrega a los desconocidos ahora mismo sin conectarle ninguna cuenta a nada, quieres un informe que te diga lo que hiciste bien con la misma claridad que lo que está abierto, y te gustaría que alguien tuviera una copia verificada de tu base de datos el día en que salga mal.

¿Qué estás entregando cuando una herramienta lee tu código?

Acceso permanente a todo lo del repositorio, que es una cosa mucho más grande que la aplicación.

Tu repositorio no es tu aplicación. Guarda cada clave que subiste alguna vez y luego quitaste, los archivos de semilla y de prueba con datos de clientes que parecen reales, la rama a medias que nadie desplegó, y las instrucciones que escribiste para tu constructor de IA. Eso último sorprende a la gente. Tu CLAUDE.md, tus .cursorrules, tu AGENTS.md, el prompt largo que describe cómo se supone que se comporta el producto: eso es tu forma de pensar el producto, en texto plano, dentro del repositorio. Un escaneo de URL ve la aplicación que ven tus visitantes. Una conexión al repositorio lo ve todo, y ahora una segunda empresa guarda una copia.

Tres cosas que comprobar antes de conceder uno:

• Es acceso permanente y no una visita. Una GitHub App o una autorización OAuth sigue funcionando hasta que vayas a revocarla, así que también lee lo que subas el mes que viene. Averigua si puedes limitarla a un repositorio, y encuentra el botón de revocar antes de necesitarlo.
• Su brecha se convierte en la tuya. Todo lo que un proveedor guarda sobre ti queda expuesto cuando el proveedor lo queda, así que pregunta qué guarda después del escaneo.
• Una herramienta que inicia sesión o escribe puede cambiar cosas. Un escáner que conduce un navegador por tu login hace lo que hace un usuario, sobre tus datos en directo. Lee qué dice que va a pulsar y qué no. Las preguntas frecuentes de LaunchGuard son un buen modelo de la respuesta que buscar: comprueba que las escrituras de prueba se desharán antes de intentar una, y dice que los triggers de la base de datos pueden dispararse igualmente con una escritura deshecha.

Esto es un intercambio y no un aviso. Un escáner de repositorio encuentra la clave que borraste en abril y nada que lea tu sitio en directo lo hará nunca, así que si esa es tu pregunta, el acceso es lo que cuesta responderla.

¿Cuál deberías elegir?

Cinco situaciones, y dos de ellas no terminan con nosotros.

• Quieres saber ahora mismo y gratis qué le enseña tu aplicación a un desconocido. El escaneo de Reeve o LaunchGuard. Ninguno te pide registrarte, y los dos vuelven en menos de un minuto. SupaExplorer también escanea sin cuenta.
• Estás en Supabase y nunca has abierto el Security Advisor. Ese primero, antes que nada con precio en esta página. Es gratis y lee lo que ningún escaneo desde fuera puede leer.
• Quieres que lean tu código fuente, o que prueben la aplicación con la sesión iniciada. CheckVibe o un plan de pago de Vibe App Scanner para el repositorio, VibeEval o Vibe App Scanner Pro para lo que hay detrás del login. Lee la sección de arriba sobre lo que cuesta ese acceso antes de concederlo.
• Quieres la aplicación vigilada y estás contando cada euro. Reeve Monitor, $12 al mes por tres aplicaciones: reescaneos cada hora, una sonda de disponibilidad cada 60 segundos, avisos y un informe mensual, y ninguna copia de seguridad.
• Tienes clientes reales y a nadie que vaya a ejecutar una restauración bajo presión. Reeve Care, $49 al mes, que es el escaneo y la vigilancia y una copia verificada de tu base de datos que vuelve con un botón. Si tus datos no están en Supabase, la mitad de las copias no te aplica.

Qué hacer esta semana

El escaneo de seguridad gratuito de Reeve lee una URL en directo en unos veinte segundos sin cuenta, califica lo que encontró, y lista lo que hiciste bien junto a lo que está abierto. Que vigilen una aplicación después empieza en $12 al mes, y las copias con restauración de un botón en $49; los planes están aquí. Si prefieres repasar tu aplicación tú mismo primero, la lista de seguridad de 10 minutos es el mismo terreno sin una herramienta de por medio.