What does NullSquare actually do?

NullSquare runs continuous security testing across websites, APIs, cloud assets, and private environments. It maps vulnerabilities and evidence directly to standard compliance controls in real time.

Do I need to install anything on my servers?

No install is required for public targeting. If you need to test internal private networks or keep testing payloads completely inside your isolated VPC boundaries, you can deploy a Private Runner with a single container execution command.

How does credit usage work?

Credits are utilized during runner active target exercises. Usage depends directly on target scope sizes, simulation test depths, and runner active time. You can expand capacities as your footprint grows.

What types of security assessments are supported?

The platform executes continuous web application scans, API request validation vetting, multi-cloud perimeter assessments, sandbox break-out simulations, and code exploitability audits.

Where can I learn how to operate the platform?

We maintain comprehensive customer documentation that covers everything from your first discovery run to deploying private runners. Read the documentation at nullsquare.net/docs for a complete operating guide.

NullSquare — pentesting continuo, revisión de código y cumplimiento

¿Quieres una demo?

Lo desconocido

Protege lo desconocido.

Toda empresa opera más de lo que puede ver. Una máquina que alguien montó hace años, un subdominio que nadie dio de baja, un puerto abierto una tarde y nunca cerrado. Lo desconocido no es el ataque que no has visto. Es la superficie que nunca has mirado.

Construyendo con los mejores

Construimos sobre las plataformas que ya usas: tu cloud, tu repositorio de código y los modelos de frontera que hay bajo los agentes.

Microsoft
Amazon Web Services
Google
OpenAI
Anthropic
xAI
Moonshot AI
DeepSeek
GLM
GitHub
npm
Docker
Linux
Cloudflare
Cisco
Slack
Resend
Apollo
WordPress
Shopify
Wix
Squarespace

Conoce a tu equipo de seguridad.

Cuatro agentes, cada uno experto en una disciplina, sobre tu alcance a todas horas. También se pasan trabajo entre ellos: el agente de vigilancia encuentra un CVE nuevo, el de pentesting demuestra si te alcanza y el de revisión de código impide que salga el siguiente.

PENTEST

Pentesting continuo que demuestra cada hallazgo

Nuestro zorro ejecuta evaluaciones black-box continuas contra tus servicios en producción. Encadena técnicas como lo haría un atacante real y demuestra cada vulnerabilidad con un exploit que funciona. Después vuelve a probar tras tu arreglo: un hallazgo solo se cierra cuando el agente ya no puede entrar.

Conocer a este agente →

CODE REVIEW

Cada pull request revisada antes de fusionarse

Nuestro lagarto lee el código que ya tienes y reporta los fallos que hay hoy en él. Después vigila cada pull request que abres. Comenta la línea exacta, dice qué hace un atacante con ella y bloquea la fusión hasta que decida un responsable. Pídeselo y escribe el parche.

Conocer a este agente →

READINESS

Listo para la auditoría cada día, no solo en la semana de auditoría

Nuestro búho ejerce de auditor interno. Mantiene tus políticas y evidencias en un solo sitio, prueba cada control que se puede probar y lee los documentos que respaldan el resto. Vuelve a comprobarlo todo según un calendario, para que estés listo el día que llame un auditor.

Conocer a este agente →

WATCH

Sepa cuándo una nueva CVE podría afectar al software que utiliza

Nuestro ojo vigila nuevas divulgaciones y las compara con versiones exactas y atribuibles de su inventario. Una coincidencia válida es una exposición potencial, no una vulnerabilidad confirmada; una verificación específica determina si el problema documentado se puede explotar en su activo.

Conocer a este agente →

Tu postura de seguridad, y hacia dónde va.

La exposición abierta en todo el alcance, qué corregir primero y la línea que importa: si la lista pendiente se cierra o crece. Un tablero sano es casi todo negro, y ese es el argumento.

Good evening, Operator.

demo.acme.io

B+

Security posture

Open exposure

Open risks

Critical & high

Potential

KEV listed

Vulnerability trajectory

Open and resolved backlog by day

2026-03-302026-04-012026-04-032026-04-052026-04-07

Open riskPotentialResolved

Top risks

Ranked by highest CVSS impact

View all

CVE-2021-44228 in Apache Log4j 2.14.110

Missing authorization on export endpoint9.8

Cross-account order history via unchecked accountId8.2

Tenant assignment bypass in signup7.7

Webhook signature compared with non-constant-time equality5.9

Severity distribution

Risk density mapped across assets

15Open

Critical3

High6

Medium4

Low2

Insignia de confianza

Muestra a tus clientes que te tomas la seguridad en serio.

Todo sello de confianza en internet es un archivo de imagen. El nuestro abre una página de verificación en nullsquare.net — no en el sitio que lo mostró — para que cualquier cliente compruebe la afirmación en su origen.

200 × 32 PX

Ver una página de verificación Obtén tu insignia

Elige el plan construido para tu alcance

Empieza hoy a probar cualquier cosa expuesta en internet. Añade ejecuciones a medida que creces y despliega un runner privado cuando necesites llegar dentro de tu propia red.

Watch

Dueños de sitios web$19/mespor prueba programada

Escaneos automáticos al mes
Un objetivo
Panel y alertas
Modelos estándar

Empezar

Control

Equipos de seguridad$50/mespor puesto

Créditos recargables
La plataforma completa
Los modelos más potentes

Empezar

Customize

Operaciones a medidaA medida

Despliegue a medida
Usa tu propio modelo
Todo lo de Control

Contáctanos

Todos los planes incluyen un registro de actividad completo • entornos aislados • evidencia asociada a tus controles de cumplimiento

¿Qué hace realmente NullSquare?

NullSquare pone cuatro agentes de seguridad sobre tus sistemas. Hacen pentesting de tus sitios, APIs y cloud, revisan cada pull request antes de fusionarlo y asocian lo que demuestran a tus controles de cumplimiento sobre la marcha.

¿Tengo que instalar algo en mis servidores?

No se requiere instalación para targets públicos. Si necesitas probar redes privadas internas o mantener los payloads de prueba completamente dentro de los límites de tu VPC aislada, puedes desplegar un Private Runner con un solo comando de contenedor.

¿Cómo funciona el uso de créditos?

Se consume crédito mientras un agente trabaja activamente sobre un objetivo. La velocidad depende de tres cosas: el tamaño del alcance, la profundidad con la que configures la prueba y el tiempo que el runner siga activo. Puedes añadir crédito cuando quieras.

¿Qué tipos de evaluaciones de seguridad se admiten?

Los agentes prueban cinco superficies de ataque:

Aplicaciones web, probadas de forma continua
APIs, incluida la autenticación y autorización rotas
Perímetro cloud, en todos los proveedores que uses
Escape de contenedores y sandbox
Código fuente — fallos que un atacante puede alcanzar de verdad

¿Dónde puedo aprender a operar la plataforma?

Mantenemos documentación completa para clientes, desde tu primera ejecución de discovery hasta el despliegue de private runners. Lee la documentación para una guía operativa completa.