SICScope од elpavoreal2012xd

Analiza el stack, la infraestructura y la seguridad de cualquier sitio web.

1. Descripción de la finalidad única

SICScope tiene una sola finalidad: analizar la página web que el usuario está viendo y mostrarle con qué tecnologías está construida, sobre qué infraestructura funciona y cómo está configurada su seguridad.

Todo lo que hace la extensión sirve a ese único propósito. Al hacer clic en el ícono, lee la página activa e informa el gestor de contenido, el tema y los plugins, los frameworks y librerías de JavaScript, las herramientas de analítica, el servidor, el CDN y el proveedor de hosting, los headers de seguridad presentes y los metadatos de la página. Opcionalmente, y solo si el usuario lo pide con un botón, consulta los registros DNS del dominio.

No incluye funciones ajenas a ese propósito: no modifica las páginas visitadas, no inyecta contenido, no gestiona pestañas ni marcadores, y no ofrece ninguna característica secundaria no relacionada con el análisis técnico de un sitio.

1. Permiso activeTab

La función principal de la extensión es analizar la página que el usuario tiene abierta, de modo que necesita acceder al contenido de esa pestaña para poder leerla.

activeTab se eligió precisamente porque es el permiso más restrictivo que permite hacerlo: concede acceso a una sola pestaña, la que el usuario está mirando, y únicamente en el instante en que él hace clic en el ícono de la extensión. Se descartó pedir acceso a todos los sitios, que habría dado permiso permanente sobre toda la navegación del usuario y no es necesario para esta funcionalidad.

Sin este permiso la extensión no puede leer ninguna página y por lo tanto no puede cumplir su función.

1. Permiso scripting

El análisis se realiza ejecutando dos scripts propios, incluidos en el paquete de la extensión, dentro de la pestaña que el usuario decidió analizar. scripting es la API de Manifest V3 que permite hacerlo.

El primer script se ejecuta en el mundo aislado y lee el DOM: la etiqueta generator, las rutas de los recursos cargados, las clases del documento y los metadatos. Con eso identifica el gestor de contenido, el tema, los plugins y el constructor de páginas. El segundo se ejecuta en el mundo principal y solo comprueba qué librerías declaró la propia página en sus variables globales, para poder informar sus números de versión exactos.

Ambos scripts se limitan a leer y devolver un resumen. No modifican la página, no escriben en ella y no persisten nada. Se ejecutan una sola vez por análisis y únicamente después de que el usuario hace clic en el ícono.

1. Código remoto → marca "No"

Busca el desplegable y elige "No, no estoy usando código remoto". Con eso desaparece el error. Si además te deja escribir algo:

SICScope no utiliza código remoto de ningún tipo. Todo el JavaScript que ejecuta está incluido en el paquete de la extensión. No carga scripts desde servidores externos, no usa CDN, no emplea eval() ni new Function() sobre contenido descargado, y no descarga módulos ni WebAssembly en tiempo de ejecución.

Los logos de las tecnologías detectadas también van empaquetados dentro de la extensión, de modo que no se solicita ninguna imagen a internet.

Las dos peticiones de red que realiza devuelven datos, nunca código: una lectura de los headers HTTP del sitio analizado, y una consulta DNS a Cloudflare que responde JSON con registros de dominio. Ese JSON se usa solo como texto para mostrarlo en pantalla; nunca se interpreta ni se ejecuta.

1. Permiso de host

La extensión declara un único permiso de host, restringido al dominio cloudflare-dns.com, y lo usa exclusivamente para una función que el usuario activa de forma explícita.

Cuando el usuario pulsa el botón "Consultar DNS", la extensión resuelve los registros A, CNAME, MX y NS del dominio analizado mediante DNS-over-HTTPS contra el resolutor público de Cloudflare. Con esa información identifica el proveedor de correo y el proveedor de DNS del sitio, que forman parte del informe de infraestructura.

Esta consulta nunca ocurre de forma automática: solo se dispara con ese clic. Se envía únicamente el nombre de dominio, jamás la URL completa ni la ruta de la página. La petición viaja sin cookies. Además se filtran previamente y no se consultan nunca los dominios locales o privados (localhost, direcciones IP privadas y sufijos .local, .internal, .corp y similares), para no exponer infraestructura interna del usuario.

No se solicita permiso sobre ningún otro host. La lectura de los headers del sitio analizado se realiza al amparo del permiso activeTab, limitado a la pestaña que el usuario eligió.

1. Certificación

Más abajo en la misma pestaña:

• Recopilación de datos: deja todas las casillas sin marcar. SICScope no recoge ninguna categoría.
• Certificación: marca las tres casillas (no vendo datos a terceros / no los uso con fines ajenos a la funcionalidad / no los uso para solvencia ni préstamos).