Un inventario de superficie expuesta es la lista de todo lo que tu empresa tiene alcanzable desde internet: dominios, subdominios, aplicaciones, APIs, correo y los servicios de terceros que llevan tu marca. La primera versión se arma en una semana con fuentes que ya tienes y sin comprar nada. Esta nota explica con cuáles partir, cómo ordenar el resultado y qué hacer con lo que aparece.
¿Qué es exactamente un inventario de superficie expuesta?
Es una tabla, mantenida por alguien con nombre, que responde tres preguntas por cada activo:
- Qué es
- Quién responde por él dentro de la empresa
- Si sigue en uso
No es un escaneo de vulnerabilidades ni un reporte de riesgo. Es el documento previo a cualquiera de los dos.
No se puede revisar, proteger ni autorizar la revisión de algo que no aparece en ninguna lista.
¿Por qué no basta con “sabemos lo que tenemos”?
Porque la lista que tiene el equipo en la cabeza describe la empresa de hace dos años. Entre medio pasaron cosas que nadie registró como “cambio de superficie”:
- Marketing compró un dominio para una campaña
- Un proveedor levantó un portal con un subdominio tuyo
- Un proyecto terminó y su entorno de pruebas quedó encendido
- Alguien publicó documentación de una API interna para un integrador
Ninguna de esas decisiones fue de seguridad, pero todas cambiaron lo que se ve desde afuera.
El costo de descubrir esas cosas bajó para todo el mundo, incluidos quienes no trabajan para ti. Lo explicamos en la nota sobre IA y el costo de atacar. La respuesta razonable es que tu propia lista sea mejor que la de cualquier desconocido, y eso empieza por tenerla.
¿Con qué fuentes se arma la primera versión?
Todas las de esta lista son tuyas o son públicas. Ninguna requiere interactuar con un sistema ajeno ni “probar” nada: es leer registros que ya existen.
- El registrador de dominios
Quien paga las facturas de NIC Chile y de los registradores internacionales tiene la lista completa de dominios de la empresa, incluidos los que se compraron para una campaña y se olvidaron. Suele vivir en finanzas, no en tecnología.
- La zona DNS exportada
Tu proveedor de DNS permite exportar todos los registros de cada dominio. Esa exportación es la columna vertebral del inventario: cada registro A, AAAA, CNAME y MX apunta a algo que existe o que existió.
- Los registros de Certificate Transparency
Cada certificado TLS emitido para tus dominios queda anotado en registros públicos que cualquiera puede consultar por nombre de dominio. Es la fuente que más subdominios olvidados revela, porque los certificados sobreviven a los proyectos.
- Las consolas de nube y hosting
Balanceadores, direcciones IP públicas, buckets de almacenamiento con acceso público, plataformas de despliegue y sus entornos de previsualización. Revisa cada cuenta, incluidas las que abrió un proveedor a nombre tuyo.
- Los servicios de terceros con tu marca
Portal de clientes, mesa de ayuda, página de estado, tienda, formularios de marketing. Muchos viven en un subdominio tuyo mediante un CNAME hacia el proveedor. Son parte de tu superficie aunque no los operes.
- Repositorios y documentación publicados
Repositorios públicos, documentación de APIs, colecciones de ejemplo para integradores. Anota qué exponen y quién decidió publicarlos.
- El correo
Registros MX, SPF, DKIM y DMARC de cada dominio. El correo es superficie expuesta y además es la puerta habitual del fraude.
- Ofertas laborales y notas de prensa
No son activos, pero declaran tecnologías y proveedores. Sirven para contrastar la lista técnica con lo que la empresa dice de sí misma.
¿Cómo se ordena lo que aparece?
Una planilla basta para la primera versión. Lo que importa es que cada fila tenga dueño y fecha; sin eso el inventario envejece en un mes.
- Activo
- El nombre exacto: dominio, subdominio, dirección IP, URL de la API.
- Tipo
- Sitio, aplicación, API, correo, almacenamiento, servicio de tercero.
- Dueño interno
- Una persona o un área que responde por el activo. Si no hay, es un hallazgo.
- Proveedor
- Dónde vive y quién lo opera. Determina a quién hay que pedir permiso.
- ¿Sigue en uso?
- Sí, no, o no sabemos. La tercera respuesta es la más frecuente al inicio.
- Verificado el
- Fecha de la última confirmación. Es la columna que vuelve útil la lista.
Arma el inventario
Activa las fuentes y mira qué agrega cada una. Después ordena por prioridad o filtra. Todo ocurre en tu navegador, con datos ficticios.
Fuentes
- Activos
- 2
- Sin dueño conocido
- 1
- Sin fecha
- 1
- Fuentes
- 1/8
Prioridad1 · Sin dueño2 · Sin fecha3 · Con dueño y fecha
| ferreteria.exampleFuentes: Registrador | Sitio | TI | Nube propia | Sí | 02-09-2026 |
|---|---|---|---|---|---|
| ofertas-verano.exampleFuentes: Registrador | Sitio | Sin dueño | Por averiguar | No sabemos | Sin fecha |
Registrador de dominios: 2 activos nuevos. Suma las demás fuentes.Mostrando 2 de 2, 1 sin dueño conocido
Datos ficticios: los nombres usan .example, un dominio reservado que no pertenece a nadie; la IP es de documentación y las fechas son ilustrativas. Desliza la planilla para ver todas las columnas.
¿Qué se hace con la lista?
Al terminar la primera versión, cada activo cae en uno de tres grupos:
- InventarioSigue en uso y tiene dueño.
Queda en el inventario y entra en el alcance de una revisión contratada.
- ApagarNo debería existir.
Entornos de prueba encendidos, dominios de campañas pasadas, paneles de un proyecto cerrado. Apagarlos es el trabajo de seguridad más barato y de mayor retorno que va a hacer tu equipo este año.
- AveriguarNo sabemos qué es.
No se toca hasta averiguarlo. Preguntar internamente y al proveedor es gratis; apagar por error un servicio que sí usaba alguien no lo es.
Lo que este inventario no es
Listar un activo no es probarlo. El inventario dice qué existe, no si tiene una falla. Confirmar eso requiere validación activa, y la validación activa requiere autorización escrita, incluso sobre tus propios sistemas cuando los opera un tercero. Si un activo vive en un proveedor, tu permiso puede no bastar: esa conversación conviene tenerla antes de contratar cualquier revisión.
¿Cada cuánto se repite?
La primera versión es la cara; las siguientes son una comparación. Exporta las mismas fuentes una vez al mes y mira qué apareció y qué desapareció.
Este mes contra el anterior
- Un subdominio nuevo que nadie pidió
- Un certificado emitido para un nombre que no está en la lista
- Un registro DNS que cambió de destino
Ese es el tipo de cambio que conviene que alguien note en días, no en el próximo ciclo de auditoría.
Si el equipo no tiene tiempo para esa comparación mensual, ese es el trabajo que tiene sentido delegar en un tercero, con alcance y límites por escrito.
Dónde entra una revisión externa
El informe preliminar de superficie pública con el que GH Sentinel parte cualquier conversación se construye exactamente con las fuentes de esta nota: registros públicos, certificados, DNS y documentación publicada, sin interactuar con tus sistemas. Sirve para contrastar tu inventario con lo que se ve desde afuera. Lo que pasa después, y con qué permisos, está en qué revisamos y qué no.