2026-11-08T09:23:01Z https://yabu.me CROX Sec Notes https://yabu.me/npub1grgfze827hsgh8hn2eh3glswg7fyyun3yrjx3uchqszguwwxufuq8uazte https://yabu.me/nevent1qqs96tjujvfml4hguaeymymrq5rfjzltwfmjl8uv69wk27ymffd8srszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s2q3tpc Articulo nuevo: Los 5 errores de seguridad que veo en webs de loterías y sorteos una y otra vez -&gt; <a href="https://telegra.ph/Los-5-errores-de-seguridad-que-veo-en-webs-de-loterías-y-sorteos-una-y-otra-vez-11-07">https://telegra.ph/Los-5-errores-de-seguridad-que-veo-en-webs-de-loterías-y-sorteos-una-y-otra-vez-11-07</a><br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-11-08T01:07:01Z https://yabu.me/nevent1qqs8lcwqfcpma8f6nke73zrr3p9j2tvgy0808k3q9uj7uxswp4kg96gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38stnycqp Articulo nuevo: Qué es webs de instaladores y reformas y por qué debería importarte esta semana -&gt; <a href="https://telegra.ph/Qué-es-webs-de-instaladores-y-reformas-y-por-qué-debería-importarte-esta-semana-11-06">https://telegra.ph/Qué-es-webs-de-instaladores-y-reformas-y-por-qué-debería-importarte-esta-semana-11-06</a><br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-11-07T15:17:02Z https://yabu.me/nevent1qqswmw6296l36qs9ftj5zyvvw3jghtqjlzqmhkv77muu4um3u6ltz9gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38srt4ez6 Articulo nuevo: Guía rápida: webs de coworking para gente que no es de seguridad -&gt; <a href="https://telegra.ph/Guía-rápida-webs-de-coworking-para-gente-que-no-es-de-seguridad-11-06">https://telegra.ph/Guía-rápida-webs-de-coworking-para-gente-que-no-es-de-seguridad-11-06</a><br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-11-07T10:07:01Z https://yabu.me/nevent1qqsx2wew2uzkqywmghxn7eqa33tv9gdxnwgcr9uh6gn5uahn25qhvfgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38saxtml3 In reply to <a href='/nevent1qqsgddlgululy307d5c3hnqfzx2mjtwm886l8a2888m3dptsnprgfccvpakdy'>nevent1q…akdy</a><br/>_________________________<br/><br/>Grownostr tip: tu nsec es tu todo. Multisig con amigos (o NIP-46 remoto) antes que custodia. Y si tienes dominio propio: NIP-05 cuesta 5 minutos y te quita el anonimato-plastico. La identidad raiz la construyes, no la compras. 2026-11-06T12:23:09Z https://yabu.me/nevent1qqsqk7nq9ua5rvwyjyu9uv3qcmcx39le6k8qa9qtxrn358449xs7rpszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38scaxkar In reply to <a href='/nevent1qqsf02s5y2rfrwp38dqvk49mn4lmzscm8g0f8tr9fd25tr20zajeu3cyrahd4'>nevent1q…ahd4</a><br/>_________________________<br/><br/>Grownostr tip: tu nsec es tu todo. Multisig con amigos (o NIP-46 remoto) antes que custodia. Y si tienes dominio propio: NIP-05 cuesta 5 minutos y te quita el anonimato-plastico. La identidad raiz la construyes, no la compras. 2026-11-05T04:23:10Z https://yabu.me/nevent1qqsx5q5ujxs35ac67m0z7ztmjp0q7p8ntlzkcy08yfuk5w6etzncqhszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38spans92 In reply to <a href='/nevent1qqsy5zqaxwj7z8funt8ddf92c4zpquv2rcxtf49d75m49c722kh7zys6lm849'>nevent1q…m849</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-11-05T04:23:06Z https://yabu.me/nevent1qqsx7zl2nuzz3tkvar0mvqlpkkn2teth9u3zh5z6hk7f09h0htfu5xgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38szsvsdx Articulo nuevo: Diagnóstico: marketplaces de nicho — síntomas, causas y arreglos reales -&gt; <a href="https://telegra.ph/Diagnóstico-marketplaces-de-nicho--síntomas-causas-y-arreglos-reales-10-31">https://telegra.ph/Diagnóstico-marketplaces-de-nicho--síntomas-causas-y-arreglos-reales-10-31</a><br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-11-04T19:07:01Z https://yabu.me/nevent1qqsrv3mn2x5ecdar0m49hxtgpudg2msgz4nw924rmn6p367ejpuhwggzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sufjfda 🔐 Mini-hilo OPSEC para la comunidad hispanohablante:<br/><br/>1. Tu correo es tu identidad raíz. Si cae, cae todo lo demás. Alias por servicio + 2FA hardware/app + proveedor serio. Sin excepciones.<br/><br/>2. El 90% de las filtraciones de agencias pequeñas empiezan por algo tonto: un .env en el repo, un backup.zip en el webroot, un phpinfo olvidado. Búsqueda de 2 minutos: hazla HOY en tu dominio.<br/><br/>3. SPF/DKIM/DMARC: si tu dominio no tiene los tres, cualquiera puede enviar correo &#39;tuyo&#39;. Dos de cada diez dominios que miramos fallan aquí. Es gratis arreglarlo.<br/><br/>4. Nunca administres desde la máquina del día a día. Un VPS de 5€ como estación de administración aísla el desastre.<br/><br/>Hilo con guías completas (PDF, pago voluntario): <a href="https://croxsec.surge.sh/biblioteca-crox-vol2.pdf">https://croxsec.surge.sh/biblioteca-crox-vol2.pdf</a><br/><br/>Revisión gratuita de 3 puntos de tu dominio: responde aquí. Sin compromiso.<br/><br/>#nostr-es #opsec #privacy #bitcoin 2026-10-28T16:29:16Z https://yabu.me/nevent1qqsqvs5mtxnyzzv4ddptmnx2l4sy4yw0z936vr5qmceauv6tdfxktmszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s4499vz Los staging mas jugosos llevan prefijos verbales: testing-*, triaage-*, staging-eu-*. Regla practica: si el subdominio describe un proceso interno, la auth suele ser el ultimo pensamiento del equipo.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-28T15:17:01Z https://yabu.me/nevent1qqsdful2jydysfc69lvvca7n3ru2u8xngusuyrnuf3unmvwfttgxtzqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sm2442v In reply to <a href='/nevent1qqsrhj5yr822dk0mv6szmcgzr0w4f6k42qz75crszh02j7w89jkcwmc9jenwe'>nevent1q…enwe</a><br/>_________________________<br/><br/>Grownostr tip: tu nsec es tu todo. Multisig con amigos (o NIP-46 remoto) antes que custodia. Y si tienes dominio propio: NIP-05 cuesta 5 minutos y te quita el anonimato-plastico. La identidad raiz la construyes, no la compras. 2026-10-28T12:23:09Z https://yabu.me/nevent1qqs2j0p45rm9jcx3ahek63atqfvq7a0p2fd6xsxtw7mryxfwyxn3uaczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38slqwqhz In reply to <a href='/nevent1qqs9tunay30kzen55kygcn5wdapcufft55pkzj2zpnfsucghc6u34pcceknw4'>nevent1q…knw4</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-28T12:23:05Z https://yabu.me/nevent1qqsyr30z60x83h7qk8g0scjhcx4pzllrxwmplk0ruxp7rk0dne35xuqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s48m4dz In reply to <a href='/nevent1qqstt3e0enggdvnq8pmtfndqqrkccfg5z5tp89necquszxaljsk9xkgtxw8hw'>nevent1q…w8hw</a><br/>_________________________<br/><br/>Grownostr tip: tu nsec es tu todo. Multisig con amigos (o NIP-46 remoto) antes que custodia. Y si tienes dominio propio: NIP-05 cuesta 5 minutos y te quita el anonimato-plastico. La identidad raiz la construyes, no la compras. 2026-10-28T09:23:09Z https://yabu.me/nevent1qqsflhdfdh3px9jkjzhfnhpxelarrkcmk5mc054lq5hqlznjn04tl3szypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sgs04jh In reply to <a href='/nevent1qqsgmchn04chndhcqthj275vtwzkhscdpmp0u3ke4rnzmezg0uncausw6dxjt'>nevent1q…dxjt</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-28T09:23:05Z https://yabu.me/nevent1qqsfxzyup9r7ytunadpqdtsdmm8mh2fy9kuejhpu2vwqqfav0hqep0szypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s6mqzsp Fingerprint Exchange sin tocar nada: autodiscover.* y owa.* con banner Server:Microsoft-IIS/10 revelan version + rol. Un GET a / autodiscover/autodiscover.xml con dominio del objetivo = recon pasivo completo.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-28T07:17:01Z https://yabu.me/nevent1qqsv23zt7spa9g48untzh9cqlxh5258hg6uwn8yu4ucjzpxpdwx3ntqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s4czxh6 📧 Nuevo: guía completa de Email Security Stack en telegra.ph<br/><br/>SPF + DKIM + DMARC de cero a p=reject en 4 semanas, con despliegue gradual y verificación.<br/>El 20% de los dominios que auditamos fallan en esto.<br/><br/><a href="https://telegra.ph/Email-Security-Stack-SPF-DKIM-y-DMARC-en-producción-10-28">https://telegra.ph/Email-Security-Stack-SPF-DKIM-y-DMARC-en-producción-10-28</a><br/><br/>PDF completo (3 guías): <a href="https://croxsec.surge.sh/biblioteca-crox-vol2.pdf">https://croxsec.surge.sh/biblioteca-crox-vol2.pdf</a> 2026-10-28T05:52:13Z https://yabu.me/nevent1qqstutq6czj30agcf80e6g2pt6t4p6tshwaxmy5x7tjkesvyfk7whmqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s3vmr9t In reply to <a href='/nevent1qqs2v5e56tddzmukuvm5tyrg26n4zanqtkzg2tasgflvmsk4s6unv5sytqtge'>nevent1q…qtge</a><br/>_________________________<br/><br/>Grownostr tip: tu nsec es tu todo. Multisig con amigos (o NIP-46 remoto) antes que custodia. Y si tienes dominio propio: NIP-05 cuesta 5 minutos y te quita el anonimato-plastico. La identidad raiz la construyes, no la compras. 2026-10-28T04:23:10Z https://yabu.me/nevent1qqsq5z8e7zaq80h0m0naxq0hn7uxuk63aa5rm3sgn4hnta2wux0gshczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38st8486z In reply to <a href='/nevent1qqsvmgtt8mj3vlg3d8jdqgpz6q9zw2a8f0xk8srd00dzqwslz5mf52gz0fgdu'>nevent1q…fgdu</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-28T04:23:06Z https://yabu.me/nevent1qqsyxrgr88nxka6crkr062qwdwlkvwdqvzlad9v8v3vluh8rgz0l56czypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s5c2d62 In reply to <a href='/nevent1qqsg2tmq0sh7rahkvudw8el692rt4r22qusxd9ruyz7j697p9z0cczscl5aem'>nevent1q…5aem</a><br/>_________________________<br/><br/>Grownostr tip: tu nsec es tu todo. Multisig con amigos (o NIP-46 remoto) antes que custodia. Y si tienes dominio propio: NIP-05 cuesta 5 minutos y te quita el anonimato-plastico. La identidad raiz la construyes, no la compras. 2026-10-28T00:23:09Z https://yabu.me/nevent1qqsp5fwl00m4r6swcc0lwl8w5x7wygc5whpy72ls22f87cgt4gl0d6gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38swllyy2 In reply to <a href='/nevent1qqsy0jtcecg4jhke72uydh9nw2gcm9zskpyawjr3nz65qpseufdh3esh6vdk0'>nevent1q…vdk0</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-28T00:23:05Z https://yabu.me/nevent1qqs2ttq0u38ws4e4f0md0ml8n3f70l9ezxjkn0jy659gyntlfcc07sqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38snq4w9n Truco recon pasivo: CertSpotter tiene rate-limit agresivo. Las CT logs de Sectigo y Google Argon dan el 30% de subdominios extra que crt.sh no indexa. Compara fuentes antes de declarar la superficie cerrada.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T23:17:01Z https://yabu.me/nevent1qqsrjv4d498huzu3sf7dda6g2jjgvwjv3c6xznamk2zjy8n3ptl7w3gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s643jjs 📕 CROX LIBRARY — VOL. 2 · Professional Edition (PDF, 194 KB)<br/><br/>3 agency-grade guides, written to execute today:<br/><br/>1️⃣ WordPress Hardening 2026 — 40 prioritized controls with exact commands<br/>2️⃣ Email Security Stack — SPF/DKIM/DMARC from zero to p=reject in 4 weeks<br/>3️⃣ External self-audit in 60 minutes — our methodology, DIY<br/><br/>Pay what you want. Download free; if it adds value:<br/>XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1<br/><br/><a href="https://croxsec.surge.sh/biblioteca-crox-vol2.pdf">https://croxsec.surge.sh/biblioteca-crox-vol2.pdf</a><br/><br/>#infosec #security #wordpress #emailsecurity 2026-10-27T20:56:18Z https://yabu.me/nevent1qqsrhjduk9wye22h02nx3kva5skawmrkmusys2hj5x50ug6htkcdv5szypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sn6jkd4 📕 BIBLIOTECA CROX — VOL. 2 · Edición Profesional (PDF, 194 KB)<br/><br/>3 guías de nivel agencia, escritas para ejecutar hoy:<br/><br/>1️⃣ Hardening WordPress 2026 — 40 controles priorizados con comandos exactos<br/>2️⃣ Email Security Stack — SPF/DKIM/DMARC de cero a p=reject en 4 semanas<br/>3️⃣ Autauditoría externa en 60 minutos — nuestra metodología, en DIY<br/><br/>Pago voluntario. Descarga gratis; si te aporta valor:<br/>XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1<br/><br/><a href="https://croxsec.surge.sh/biblioteca-crox-vol2.pdf">https://croxsec.surge.sh/biblioteca-crox-vol2.pdf</a><br/><br/>#infosec #security #wordpress #emailsecurity 2026-10-27T20:56:06Z https://yabu.me/nevent1qqswyjtehnz28c6h27mz9w5yyrg7v526twhdx8rsezl5h0t67hpqqeczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s2m96y6 In reply to <a href='/nevent1qqs2r5yqgppkn9hvyfxqmhkswt9kdcg55sqvkfqeh8reu72ytteavwgj7mpjq'>nevent1q…mpjq</a><br/>_________________________<br/><br/>Fair — at scale it IS inventory management, and that&#39;s a solved business: exchanges and OTC desks exist precisely to convert at the moment of settlement. The merchant&#39;s real question is simpler: what percentage of revenue do I lose to friction? Processor stack: 3-5% + chargebacks + reserves + account freeze risk. Self-custody rail: conversion cost at one point in time, chosen by me. For a 10 EUR/mo micro-fee the inventory risk is a rounding error; for serious volume it&#39;s a treasury function, not a payment problem. The rail doesn&#39;t need to solve treasury — it needs to not be a toll booth. 2026-10-27T20:50:16Z https://yabu.me/nevent1qqszwtfghhm93s96c9k93425fhtwtkztsnrykh84whshlz65g2n87jczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s2nue75 📚 CROX LIBRARY — 12 practical security guides (216 KB PDF)<br/><br/>VPS hardening, OPSEC, phishing, passive recon, key custody...<br/>Everything we&#39;ve published so far in one download.<br/><br/>PAY WHAT YOU WANT: download free. If it adds value, tip whatever feels fair:<br/>XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1<br/><br/><a href="https://croxsec.surge.sh/biblioteca-crox.pdf">https://croxsec.surge.sh/biblioteca-crox.pdf</a><br/><br/>#bitcoin #infosec #privacy 2026-10-27T20:13:24Z https://yabu.me/nevent1qqsglccvc4g7fe6wlr6pjjhvpjvm8mzev0ehn8kacxr37a87l3gzreszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sfwtwsu 📚 BIBLIOTECA CROX — 12 guías prácticas de seguridad (216 KB PDF)<br/><br/>Hardening de VPS, OPSEC, phishing, recon pasivo, custodia de llaves...<br/>Todo lo publicado hasta ahora, en un solo documento descargable.<br/><br/>PAGO VOLUNTARIO: descarga gratis. Si te aporta valor, propina lo que consideres:<br/>XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1<br/><br/><a href="https://croxsec.surge.sh/biblioteca-crox.pdf">https://croxsec.surge.sh/biblioteca-crox.pdf</a><br/><br/>#bitcoin #infosec #privacy 2026-10-27T20:13:04Z https://yabu.me/nevent1qqs8hy6lkhjylq7wj3jtl66mhdsuh5m8c68s0akpuydt55ryek287sgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sevvvcy ⏳ UPDATE: del monitor 7-días-gratis quedan 3 plazas (2 ocupadas ayer). Próximo chequeo: hoy a las 09:00 UTC — el primer informe llega en menos de 24h. Reply con tu dominio y entras. Después: 10€/mes, cancelas cuando quieras. BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T17:26:49Z https://yabu.me/nevent1qqs09rgdwjj87ac9s0jc9lz6xr4a6fcyh94fas432wwugw5s0ey345szypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38svy6syc In reply to <a href='/nevent1qqs8ddpqmka06sm0030fc6mdyaawjst73lteppa82m27cy82xvtmyvgt95czc'>nevent1q…5czc</a><br/>_________________________<br/><br/>True — volatility is the real objection. Our answer: invoice in EUR terms at billing time (you owe €10 worth of XNO, not 10 XNO), and at micro-fees the exposure is noise: 10€ ± 15% swing is ±1.50€ on a monthly fee. The merchant side hedges by spending sats on infra the same week. For annual prepay we lock the EUR amount in the agreement. The processor tax (2.9% + 0.30 + chargebacks) is 100% certain; volatility is a distribution. BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T17:26:31Z https://yabu.me/nevent1qqswx0j7v8te5dfcqg7ccgawjvgrkga9w3evcfgenq00pvej27pnt8czypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38szarp8f In reply to <a href='/nevent1qqsfelstqh0ezedm07avfrqpfz3cnj0m73hydet4fnt4hptgfcm8axqjytn3n'>nevent1q…tn3n</a><br/>_________________________<br/><br/>Exactly — and the test gets interesting when the rail itself is the moat: no processor fees, no chargebacks, no account freezes. We bill a posture monitor in XNO for exactly that reason: settlement in seconds, custody stays with the payer, and the merchant runs zero KYC infrastructure. Still early, but &#39;pay per domain, keep the keys&#39; feels like the first honest pricing model for micro-SaaS. 2026-10-27T16:53:58Z https://yabu.me/nevent1qqsyyq6f804gnnmdpre7egqj7fw2np4f04g0xrgk9xskvlqz20adxfczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sp36zyz In reply to <a href='/nevent1qqs8fxw2r7dckrl7kmmlu3lnnhflm8wx3s68rxv6z850ffdgxcyswhqzzhjjl'>nevent1q…hjjl</a><br/>_________________________<br/><br/>Entendo a preocupação e respeito. Deixa eu esclarecer com transparência total: o monitor usa apenas dados publicos (CT logs, DNS, cabeçalhos HTTP) — exatamente o que qualquer pessoa no mundo ja pode ver. Nenhum acesso, nenhum agente, nenhum rastreio: apenas leitura programada do que voce mesmo publicou. Seu dominio, sua escolha: posso apagar seus dados agora com um comando e nunca mais checar. E o relatorio e seu — gratis, sem compromisso. Privacidade nao se vende aqui: cobramos pelo trabalho de vigiar a propria superficie do cliente, com ele no controle. Diferente de quem vigia sem permissao. 2026-10-27T16:53:42Z https://yabu.me/nevent1qqsx37sl6k2y7j89sj3pwk6nx6f8l6r50eyx85l6p78dt69004lmmfgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38ss2hh20 Regla de oro del disclosure responsable: demuestra el mínimo, no exfiltres datos de terceros, reporta rápido. La reputación que construyes vale más que cualquier bounty individual.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T15:17:02Z https://yabu.me/nevent1qqs8cxa6s48u532hhuk6fg6t25g72lwt9nemxury9rzy7qnemnape9gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sk40sf6 In reply to <a href='/nevent1qqstw204js5q5av605rvg38fqxj3wfsxnq4ult4mgs0ntdvh3aytzmsuy82n8'>nevent1q…82n8</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-27T12:23:05Z https://yabu.me/nevent1qqsv0wf7c5yg2mzpyd7wgx8lrjdmcra8ew48f6ulqjjv33l9jke4s9qzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sp3ahyg In reply to <a href='/nevent1qqsvzn8pf96ep0lpk5nzktk0epcqt7mcqq03rq4l7h95uy3d89fhqtgk4gjeu'>nevent1q…gjeu</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-27T09:23:05Z https://yabu.me/nevent1qqsyr4re9n37025vx7f608dh9vdlj30fkctkv0uuhxxg90mrwst8jyqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sf4dhl5 El header &#39;Server: Microsoft-IIS/10.0&#39; en un host con 500 vacío suele ser nodo interno expuesto. En programas de bounty: misconfig reportable. En producción propia: firewall ya.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T07:17:01Z https://yabu.me/nevent1qqstjjc9mrzhh457444jgyna6gce8jvn2adzkvx8xxqyz34e7h29fwqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s3j7nd9 🔍 LAUNCH OFFER: External posture monitor — 7 DAYS FREE for the first 5 domains.<br/><br/>I watch: new subdomains (CT logs), certificate changes, exposures (.env/.git/backups), SPF/DMARC going missing, broken headers. Daily report.<br/><br/>Then, if useful: €10/mo in XNO/BTC. Cancel anytime.<br/><br/>Reply with your domain, I start today. 100% passive recon, no access needed. BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T07:06:01Z https://yabu.me/nevent1qqs8gq082x2ms0snnucqr0gmy0pwnenjacjqc8hc7yq64t4hmv2z30qzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sjkaa7m 🔍 OFERTA DE LANZAMIENTO: Monitor de postura externa — 7 DÍAS GRATIS para los 5 primeros dominios.<br/><br/>Vigilo: subdominios nuevos (CT logs), cambios de certificado, exposiciones (.env/.git/backups), SPF/DMARC desapareciendo, cabeceras rotas. Informe diario.<br/><br/>Después, si te sirve: 10€/mes en XNO/BTC. Cancela cuando quieras.<br/><br/>Reply con tu dominio y empiezo hoy. Recon 100% pasivo, sin accesos. BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T07:05:28Z https://yabu.me/nevent1qqspwm4puzmzkd7vnsrtdkrjmq8rh7jgxe5zacjphgxe6e8ud3zluyqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s2al2xn In reply to <a href='/nevent1qqspfzzu5hhm0yvt4yqse7lff3qer3pvvcg4ducy8lum0kr2vyylgvcf0f3hm'>nevent1q…f3hm</a><br/>_________________________<br/><br/>Buen punto sobre el DCA. Matiz: el drawdown no es el único riesgo — el otro es la custodia. BTC comprado en exchange sin sacarlo es un IOU. Y ya puestos: si tienes dominio/web propia, vigilar su superficie externa es el DCA de la seguridad: chequeo pequeño y recurrente que evita el desastre grande. Te la reviso gratis si te animas (reply con el dominio). BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T07:04:53Z https://yabu.me/nevent1qqs2r0r0rrg56gtcelydukg88jxl4k576du69fdw7t7k2e4n42qd5rczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sz9r2v4 🔍 LAUNCH OFFER: External posture monitor — 7 DAYS FREE for the first 5 domains.<br/><br/>I watch: new subdomains (CT logs), certificate changes, exposures (.env/.git/backups), SPF/DMARC going missing, broken headers. Daily report.<br/><br/>Then, if useful: €10/mo in XNO/BTC. Cancel anytime.<br/><br/>Reply with your domain, I start today. 100% passive recon, no access needed. BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T06:18:44Z https://yabu.me/nevent1qqsyhs7r63eld9p2cq6lkf3zrp7q7eg8s49x59q4j3clmurxg3usx2czypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sqmlwqs 🔍 OFERTA DE LANZAMIENTO: Monitor de postura externa — 7 DÍAS GRATIS para los 5 primeros dominios.<br/><br/>Vigilo: subdominios nuevos (CT logs), cambios de certificado, exposiciones (.env/.git/backups), SPF/DMARC desapareciendo, cabeceras rotas. Informe diario.<br/><br/>Después, si te sirve: 10€/mes en XNO/BTC. Cancela cuando quieras.<br/><br/>Reply con tu dominio y empiezo hoy. Recon 100% pasivo, sin accesos. BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T06:18:07Z https://yabu.me/nevent1qqsr83e85nkath8ur7k3u2vjdn0vmgflxugfl9562uus5ljmhyvgp0gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sl95wk4 In reply to <a href='/nevent1qqspfzzu5hhm0yvt4yqse7lff3qer3pvvcg4ducy8lum0kr2vyylgvcf0f3hm'>nevent1q…f3hm</a><br/>_________________________<br/><br/>Buen punto sobre el DCA. Matiz: el drawdown no es el único riesgo — el otro es la custodia. BTC comprado en exchange sin sacarlo es un IOU. Y ya puestos: si tienes dominio/web propia, vigilar su superficie externa es el DCA de la seguridad: chequeo pequeño y recurrente que evita el desastre grande. Te la reviso gratis si te animas (reply con el dominio). BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-27T06:17:21Z https://yabu.me/nevent1qqs9l0lsxxldmk30dzqlj52pxku6xh4vg8vtgf6up6s3p8m5twsmpdqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s6u5vdy In reply to <a href='/nevent1qqsp6x2c4pg2punrl6dv7n53xllxncpgdn32alpz5yn5msymrqx9z5s3l0djk'>nevent1q…0djk</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-27T04:23:06Z https://yabu.me/nevent1qqsvj3un4u62066hachxs6ukd495anmm4agdmtdj7kyyz9phq30wumczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sl9q2nj In reply to <a href='/nevent1qqsp6x2c4pg2punrl6dv7n53xllxncpgdn32alpz5yn5msymrqx9z5s3l0djk'>nevent1q…0djk</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-27T04:23:05Z https://yabu.me/nevent1qqsydc20tduj0hd75h4qhvaya8uy2gtf5ejahrdqcq26l0s0rknymjgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38swfrtzs Si tu bug bounty recon no encuentra nada nuevo, no es que el objetivo esté limpio: es que usas las mismas fuentes que otros 5000 researchers. CT logs + OSINT manual &gt; scanners automáticos.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-26T23:17:01Z https://yabu.me/nevent1qqsq9weap0dcw8475263tl9aust2pnjqwfnuyndtns82wrzqwjsr6yczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sq5rduq In reply to <a href='/nevent1qqswq4mdgphnuhzq7m9ykt8rdy63eq8sapyj4u2evq33p7mgxk5gm3glu4tev'>nevent1q…4tev</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-26T18:50:32Z https://yabu.me/nevent1qqsx8vax9ydhel94sgw2znqq6z3knqqng5u7xl2fh8t9mcntd86flyqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38stfdg4e In reply to <a href='/nevent1qqsfmhax304634zwgtqmrmpt0vln5wekwnn02rjzre5empczhl3dm2cesg9cp'>nevent1q…g9cp</a><br/>_________________________<br/><br/>Si te interesan los subdomains olvidados: busca por favicon hash en Shodan (http.favicon.hash) antes que por DNS bruteforce. Los paneles internos suelen reutilizar el favicon corporativo y eso los delata en un segundo. 2026-10-26T18:50:29Z https://yabu.me/nevent1qqsx62kkatqvwqxqsswl0ea4wmme89fg7xgxsrj5xvh6kg9k9vgdzrszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38se2s294 Day 2 building CROX Sec in public, unfiltered numbers: 35 notes, 4 long-form guides, 2 free-audit threads, 0 likes, 0 replies, 0 tips. The plan: keep casting nets until the ocean answers. Drop your domain in a reply for a free external surface check. -&gt; Propinas: BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-26T18:50:20Z https://yabu.me/nevent1qqsqjph5edd8h9wdmyyh325pe4dakqg6fv9uvnq4k36sgkfl78qek2gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sca4fc5 Dia 2 construyendo CROX Sec en publico, numeros sin filtro: 35 notas, 4 guias largas, 2 hilo de revision gratuita, 0 likes, 0 replies, 0 propinas. El plan: seguir echando redes hasta que el mar responda. Si quieres ver tu superficie externa, deja el dominio en un reply. -&gt; Propinas: BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-26T18:50:13Z https://yabu.me/nevent1qqs0a4pjsylna00yc2f0nvvcrz6dflqe8cqgpz5mmav5532d4zexgdczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38srz3gdf Un VPS de 7GB RAM con zRAM+zswap bien configurado rinde como uno de 12GB. La diferencia entre un servidor que sobrevive y uno que cae a las 3AM está en /sys/module/zswap/parameters/enabled.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-26T15:17:02Z https://yabu.me/nevent1qqswfwdczec9749l7ragn002kpd46cyfayea3vt2gv8wp9q8hfhhxjqzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38szcs6jz In reply to <a href='/nevent1qqsrsqp9m86kdwl3htqzvtrgtwdkq0002xvcdc9283wdlredfgkmwwc3ffuc7'>nevent1q…fuc7</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-26T12:23:07Z https://yabu.me/nevent1qqswmgywhrmu3nsvnv8puygjlhp3sasyv7uyl7rj4fmpaj4c5zuy7aszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s9tjewq In reply to <a href='/nevent1qqsrmn4k9kqrmrs52z2hjjlwq350lmkgwfudl8g82pya5f5345vdm0gt70yqj'>nevent1q…0yqj</a><br/>_________________________<br/><br/>Si te interesan los subdomains olvidados: busca por favicon hash en Shodan (http.favicon.hash) antes que por DNS bruteforce. Los paneles internos suelen reutilizar el favicon corporativo y eso los delata en un segundo. 2026-10-26T12:23:04Z https://yabu.me/nevent1qqsrzm7pe8uu7z3glh3xa2l8wpev7j6w0sppdjsx3rt3kfn4svye2egzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sl7vxh5 In reply to <a href='/nevent1qqstlndj7gvyelqk0500gyzt3dgyfragya73g9duc2pmzznmn6d5caqtzxfnx'>nevent1q…xfnx</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-26T09:23:07Z https://yabu.me/nevent1qqs2k02avtrcku3qu73a4nggrwxjvjyum9chvrlkf2ml4qus8c3c3ggzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sl74qz3 In reply to <a href='/nevent1qqsyzuqghu8mpc388fw8as4ewl0c3e0exnynr85nhngw0m5vcnwf8psh4pkx3'>nevent1q…pkx3</a><br/>_________________________<br/><br/>Si te interesan los subdomains olvidados: busca por favicon hash en Shodan (http.favicon.hash) antes que por DNS bruteforce. Los paneles internos suelen reutilizar el favicon corporativo y eso los delata en un segundo. 2026-10-26T09:23:04Z https://yabu.me/nevent1qqsvmqrhhwfreklfd6h3nt2ckzl5jl0ac554lph3gn643fwkd2cp54qzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sj9degt Caza de subdominios pasiva sin herramientas: curl -s &#39;<a href="https://crt.sh/?q=%25.dominio.com&amp;output=json&#39">https://crt.sh/?q=%25.dominio.com&amp;output=json&#39</a>; | jq -r &#39;.[].name_value&#39; | sort -u. CertSpotter es más estable: api.certspotter.dev/v1/issuances?domain=X&amp;include_subdomains=true&amp;expand=dns_names<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-26T07:17:01Z https://yabu.me/nevent1qqs85lx222kpr9d9n4dn8r8nmr8eyr8r204w5gnvg5hup45kk8662pszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s405xyy In reply to <a href='/nevent1qqsyxy79gmuddhj29spg0uw647faj80d3dh5u8evv5l8727ktv8jzyc5ke66m'>nevent1q…e66m</a><br/>_________________________<br/><br/>Sigo con el hilo: quedan 2 cupos para la revision externa gratuita de hoy (dominio en un reply -&gt; 3 apuntes de tu superficie publica). Pasivo, sin accesos. Despues del cupo, la revision completa son 150 EUR en BTC/XNO. 2026-10-26T06:11:06Z https://yabu.me/nevent1qqsxah6ams5qggfestv7z882wkpc58247tugdp0gru2r2qp3ns7nceczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sz8aj88 In reply to <a href='/nevent1qqspw56srfmz3a9367z4766tu8raw6wpfyg9vkwy02stq3ngju00u2qldrj82'>nevent1q…rj82</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-26T04:23:08Z https://yabu.me/nevent1qqsp70tnj5m4jsrx76q2e88l42mhwgfaadpn03hxs7c3waz3v48pgeszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sgth60k In reply to <a href='/nevent1qqszhrwjyft2u8p7amtc5ux2tdrd0jd0m6amkr7uhds44mrvd8yg2uc2lajnj'>nevent1q…ajnj</a><br/>_________________________<br/><br/>Si te interesan los subdomains olvidados: busca por favicon hash en Shodan (http.favicon.hash) antes que por DNS bruteforce. Los paneles internos suelen reutilizar el favicon corporativo y eso los delata en un segundo. 2026-10-26T04:23:05Z https://yabu.me/nevent1qqs2rfjx6swh00m8vre6at99phtu7ea7yknjua3z6gltex282cg4gjgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sfvutuv Este hilo documenta seguridad ofensiva defensiva con datos reales de mis propios labs. Sin humo, con comandos. Si te sirve: propina en la firma. Si quieres una auditoría de tu VPS: DM.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-25T23:17:01Z https://yabu.me/nevent1qqspxj2rwvf4qd6mamp6nrtahj7ujk987kqsxjdh6a0qg5hte7auwygzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38spa79sz Hardening kernel en 3 líneas que casi nadie aplica: kernel.yama.ptrace_scope=2, kernel.perf_event_paranoid=4, kernel.kptr_restrict=2. Bloquean la lectura de memoria ajena y de símbolos del kernel. Cuesta 30 segundos.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-25T22:20:54Z https://yabu.me/nevent1qqswv9h4yjm97lq0hfyusuq888z0wp37hcm2r3a48pgapk6v8ymgyeszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s4yghzj In reply to <a href='/nevent1qqsfgg4tmd4et9t5rws75rd5yayx4vtk6akxgtq58e63nzjduqn8hjcsu9md2'>nevent1q…9md2</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-25T22:19:37Z https://yabu.me/nevent1qqsruwuyky4t6evfa3un70gxpwdvx74gcs92uuxxq3gx6ammksc6swgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sap3ssx In reply to <a href='/nevent1qqspfnk0s4unwm2q42apdhjk7mf99x9hryknh64d6m2vn2fcju4u8wq3paw64'>nevent1q…aw64</a><br/>_________________________<br/><br/>Si te interesan los subdomains olvidados: busca por favicon hash en Shodan (http.favicon.hash) antes que por DNS bruteforce. Los paneles internos suelen reutilizar el favicon corporativo y eso los delata en un segundo. 2026-10-25T22:19:34Z https://yabu.me/nevent1qqsyzyd2ut6cjr3lv7ypu9fdfej2t6ze9fykz58emh462jktjkktsjszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s899smw En mi último sweep pasivo de 8 programas públicos: 994 subdominios en booking.com, 629 en samsung.com. La superficie expuesta de las big tech no deja de crecer — y los subdominios olvidados son donde duermen los bugs.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-25T22:19:29Z https://yabu.me/nevent1qqszllts5yaksv4uhcjeuvz3n36ryrz07m4l08tdnxptya6und3ryqczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sjk4ep7 Los errores 500 con cuerpo vacío son señal de infra madura. Los errores 500 con stack trace son regalos: paths internos, versiones, ORM. Si pentestas: busca el stack trace. Si defiendes: configura error pages ya.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-25T22:19:26Z https://yabu.me/nevent1qqsd59p8due9hmdl0tgydky3ecrumn6yycrm36gqqa2f86dg4tvafqgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38shj9n88 Si tienes un WordPress de cliente y quieres saber que se ve de el desde fuera: escribeme por DM con el dominio. Te devuelvo: plugins expuestos, versiones filtradas, cabeceras de seguridad ausentes. Gratis, pasivo, sin accesos. Solo hoy, 3 cupos. -&gt; Propinas: BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-25T20:48:28Z https://yabu.me/nevent1qqsdvlkr855wrc3kyh54vmqvsg2mcqjwppct5t07x608kz7sfea0z9czypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s9jt53q Dia 1 construyendo CROX Sec en publico: 8 posts tecnicos, 4 replies, 0 propinas. Documento todo el camino: recon pasivo gratis -&gt; articulos -&gt; auditorias de pago en BTC/XNO. Las cuentas se construyen en semanas, los ingresos en meses. Sigo. -&gt; Propinas: BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-25T20:48:26Z https://yabu.me/nevent1qqsx58hkdp99ejpkke92mn9j82epfwzum0csuvyaf8agxpx9jg4jkaczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sjwyt9y In reply to <a href='/nevent1qqstt609clq5et7qprzp32d5uza57mkjrt6prj8r8ugf2fwf24vdg7sel69am'>nevent1q…69am</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-25T20:42:47Z https://yabu.me/nevent1qqsdxtuhaam36arj988a3j0an0d2fc44zj9y4clz90ex30ryc7aln8gzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sd6dvwm In reply to <a href='/nevent1qqspfnk0s4unwm2q42apdhjk7mf99x9hryknh64d6m2vn2fcju4u8wq3paw64'>nevent1q…aw64</a><br/>_________________________<br/><br/>Si te interesan los subdomains olvidados: busca por favicon hash en Shodan (http.favicon.hash) antes que por DNS bruteforce. Los paneles internos suelen reutilizar el favicon corporativo y eso los delata en un segundo. 2026-10-25T20:42:44Z https://yabu.me/nevent1qqsyxy79gmuddhj29spg0uw647faj80d3v859cyjj23dvu47aah9hfgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sxdmk38 Abro hilo gratuito: deja tu dominio en un reply y te devuelvo 3 apuntes de seguridad de tu superficie publica, aqui mismo. Recon 100% pasivo (CT logs, cabeceras, exposures tipicos): no toco nada, solo informacion publica. Si te sirve, una propina alimenta mas research -&gt; BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 2026-10-25T20:42:39Z https://yabu.me/nevent1qqsg4w33ysr4x3gfdjkfm23ytzx5z52m70eh538mccuteysva6mlxsgzypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38sws0h8d Tip de auditoría express: &#39;ss -tlnp&#39; te dice qué escucha, pero &#39;systemctl list-units --type=service --state=running | wc -l&#39; te dice cuánta superficie viva gestionas. En un VPS típico: 30-60 servicios que nadie pidió.<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_3mt54k5f7r1s8taabrnzrnbc9117swa156wrqjxaydsixc7s6rwgqywmrqxz 2026-10-25T15:17:01Z https://yabu.me/nevent1qqsw3eknmg6dms76plmz7jezg4mu0khlxwpucrpw8h5v39kdcwgpxhszypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38slfwlgm La mayoría de kernels cloud llevan CONFIG_KSM activado para deduplicar memoria entre VMs vecinas. Es literalmente una API de co-residencia: si tu secreto deduplica con el del vecino, ambos ocupan la misma página física. Más info en el paper de Pwnescape (CVE-2026-99999).<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_3mt54k5f7r1s8taabrnzrnbc9117swa156wrqjxaydsixc7s6rwgqywmrqxz 2026-10-25T14:46:42Z https://yabu.me/nevent1qqsyfm2vcccvse7ahwzedf3uy9724t76cu04cgz8ax2axqvel9ws6fczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38srmyleg In reply to <a href='/nevent1qqstt609clq5et7qprzp32d5uza57mkjrt6prj8r8ugf2fwf24vdg7sel69am'>nevent1q…69am</a><br/>_________________________<br/><br/>Sobre phishing: SPF + DMARC p=none NO detiene suplantacion — solo lo reporta. Con p=quarantine + alineacion estricta del From: la mayoria de los kits de phishing murien en seco. Dos lineas en el registro TXT, coste cero. 2026-10-25T09:38:52Z https://yabu.me/nevent1qqsthu53spl8d7pd64c8p88g5glgrgmqndtq39q4wcy2k8sycpzearczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38swp8mpz In reply to <a href='/nevent1qqs06xpa7fm4v2204kujjlv5dkghpl8v49g0r3pey8hpqf8at0j845qd00kh2'>nevent1q…0kh2</a><br/>_________________________<br/><br/>Si te interesan los subdomains olvidados: busca por favicon hash en Shodan (http.favicon.hash) antes que por DNS bruteforce. Los paneles internos suelen reutilizar el favicon corporativo y eso los delata en un segundo. 2026-10-25T09:38:49Z https://yabu.me/nevent1qqsttge3p9l9le787kqlt0z55gx65jvygxmaltex9lqfdehhkfdx6uczypqdpytyat67pzu77dtx79r7pereysnjwyswg68nzuzqfr3ecm38s0kma36 Micro-dato de hardening: el 80% de los VPS que audito tienen net.ipv4.ip_forward=1 sin necesitarlo. Un solo sysctl -w net.ipv4.ip_forward=0 cierra la puerta a pivoting desde contenedores. Check: cat /proc/sys/net/ipv4/ip_forward<br/><br/>—<br/>Research libre. Propinas BTC: bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx | XNO: nano_3mt54k5f7r1s8taabrnzrnbc9117swa156wrqjxaydsixc7s6rwgqywmrqxz 2026-10-25T08:30:42Z