evidens

Capa continua de pruebas de seguridad externa · ISMS · UE

evidens — la capa continua de pruebas de seguridad externa de tu ISMS.

Verificamos que eres dueño del dominio, descubrimos tu superficie de ataque, la comprobamos cada semana y reaccionamos cada día cuando una vulnerabilidad pasa a ser explotada en la naturaleza. Todo con herramientas libres, alojado en la UE y con evidencia verificable.

  • Solo escaneo autorizado
  • Verificar, no modificar
  • Alojado en la UE

evidens (latín): evidente, manifiesto — la raíz de «evidence». Verificamos, no modificamos.

Lista de espera

Apúntate y te escribimos una vez.

Déjanos tu email y el plan que te interesa. Sin datos de pago.

Plan

Doble confirmación: te enviaremos un email para verificar la dirección. Solo escaneo autorizado; no compartimos tus datos con terceros.

Qué hace

Qué hace evidens

Verifica, descubre, comprueba y reacciona — y deja evidencia verificable.

  • Descubrimiento continuo

    Subdominios, servicios y sistemas públicos — subfinder/Amass/CT.

  • Detección moderna multi-motor

    Nuclei primero + ZAP + gitleaks/trivy + Nettacker secundario.

  • Priorización real

    NVD + CISA KEV + EPSS; cuando KEV manda, manda.

  • Vigilancia diaria KEV

    No escaneamos todo a diario — re-verificamos el día que un CVE que te afecta entra en KEV.

  • Evidencia, no veredictos

    Mapeado a A.8.8/A.5.7/A.5.9/A.8.29, con cadena de hash.

Cómo funciona

De la titularidad a la evidencia, sin tocar nada que no sea tuyo.

Nada se escanea sin verificación previa de la titularidad; nada se modifica nunca.

  1. Verifica la titularidad

    Publicas un registro DNS TXT con un token de evidens. Hasta que no lo vemos, no escaneamos nada.

  2. Descubre y comprueba

    Descubrimos tu superficie de ataque externa — subdominios, servicios y sistemas públicos — y la comprobamos cada semana con un pipeline libre, Nuclei primero.

  3. Reacciona y evidencia

    Cada día re-verificamos lo que un CVE recién explotado (CISA KEV) pueda afectarte y emitimos evidencia a prueba de manipulación mapeada a A.8.8/A.5.7/A.5.9/A.8.29.

La garantía honesta.

evidens es una capa de pruebas, no una certificación. Tres cosas que nunca vamos a fingir:

  • No sustituye tu pentest anual — lo complementa: tu auditor sigue queriendo el pentest anual; evidens aporta la continuidad entre medias.
  • Solo escaneo autorizado — prueba de titularidad por DNS TXT; nada se escanea sin ella.
  • Verificar, no modificar — probamos la alcanzabilidad con la prueba más débil de un solo disparo (canario/eco); nunca un payload real; sin persistencia, sin archivos, sin cuentas, sin leer ni exfiltrar datos, sin DoS.

Planes

Cuatro planes, una regla: sin pago hasta que abramos.

Free existe para validar. Pro, Scale y Enterprise abren cuando la lista lo justifique.

Comparativa de planes Free, Pro, Scale y Enterprise
Plan FreeValidación — 1 dominio verificado ProEquipos — + pack de evidencias A.8.8/A.5.7/A.5.9 ScaleOrganización — API / SSO / RBAC EnterpriseInstancia dedicada en la UE
Precio 0 € ≈49–99 €/mes ≈299 €/mes ≈12.000 €/año
Dominios verificados 1 Hasta 10* Hasta 100* A medida
Informe semanal
Pack de evidencias A.8.8/A.5.7/A.5.9
API
SSO / RBAC
Instancia dedicada en la UE
Soporte Email Email Prioritario Ingeniero asignado

Precios planificados e indicativos. Aún no facturamos: la lista de espera no pide datos de pago. *Cifras provisionales de dominios, por confirmar al abrir. evidens aporta la evidencia continua de tus pruebas de seguridad externas; no certifica ni garantiza el cumplimiento de ISO/IEC 27001:2022.

Preguntas frecuentes

Lo que un auditor (o tu equipo) va a preguntar.

¿Esto vale como «pentest» para mi certificación ISO 27001?

ISO no exige un pentest con nombre ni frecuencia fija: exige un proceso de gestión de vulnerabilidades (A.8.8) y pruebas de seguridad (A.8.29) operando y documentado. evidens alimenta esa evidencia; no reemplaza el pentest anual.

¿Cómo garantizáis que no vais a romper o modificar algo?

Solo objetivos autorizados (DNS TXT), plantillas curadas (sin categorías intrusivas ni DoS), prueba de canario de un solo disparo para ciegas, sandbox efímero aislado; nunca un exploit real, nunca persistimos, nunca exfiltramos.

¿Puedo usarlo comercialmente? ¿Las herramientas son legales?

Sí — MIT/Apache-2.0/BSD-3, aptas para uso comercial, con política de licencias revisada.

evidens

La capa continua de pruebas de seguridad externa de tu ISMS, alojada en la UE.

Contacto

¿Preguntas técnicas o sobre Enterprise? Escríbenos.

[email protected]

Alojado en la UE. Tratamos tus datos según el RGPD: consentimiento con doble opt-in y baja en un clic. Uso autorizado únicamente: evidens es para escanear activos de tu titularidad; solo escaneamos dominios cuya titularidad demuestras. No lo uses contra sistemas de terceros sin permiso — hacerlo puede ser ilegal.

© 2026 evidens · Hecho en la UE · Proyecto Nettacker Public (módulo nettacker.dev/public)

«evidens» es una marca de su titular.

Continuous external security-testing layer · ISMS · EU

evidens — the continuous external security-testing layer of your ISMS.

We verify you own the domain, discover your attack surface, test it every week, and react every day when a vulnerability becomes exploited in the wild. All with open-source tools, EU-hosted, and with verifiable evidence.

  • Authorized scanning only
  • Verify, don't modify
  • EU-hosted

evidens (Latin): evident, manifest — the root of “evidence”. We verify, we don't modify.

Waitlist

Join and we’ll write once.

Leave your email and the plan you want. No payment details.

Plan

Double opt-in: we’ll email you to verify the address. Authorized scanning only; we don’t share your data.

What it does

What evidens does

Verifies, discovers, tests, and reacts — and leaves verifiable evidence.

  • Continuous discovery

    Subdomains, services, and public systems — subfinder/Amass/certificate transparency.

  • Modern multi-engine detection

    Nuclei first, then ZAP, gitleaks/trivy, and Nettacker as a secondary check.

  • Real prioritization

    NVD + CISA KEV + EPSS; when KEV flags an exploited CVE, it wins.

  • Daily KEV watch

    We don't rescan everything daily — we re-verify the day a CVE that affects you lands in KEV.

  • Evidence, not verdicts

    Mapped to A.8.8/A.5.7/A.5.9/A.8.29, hash-chained.

How it works

From ownership to evidence, without touching anything that isn't yours.

Nothing is scanned without proof of ownership first; nothing is ever modified.

  1. Verify ownership

    You publish a DNS TXT record with an evidens token. Until we see it, we scan nothing.

  2. Discover and test

    We discover your external attack surface — subdomains, services, and public systems — and test it weekly with an open-source, Nuclei-first pipeline.

  3. React and evidence

    Each day we re-verify what a freshly exploited CVE (CISA KEV) might affect, and emit tamper-evident evidence mapped to A.8.8/A.5.7/A.5.9/A.8.29.

The honest guarantee.

evidens is a testing layer, not a certification. Three things we will never pretend:

  • It doesn't replace your annual pentest — it complements it: your auditor still wants the annual pentest; evidens provides the continuity in between.
  • Authorized scanning only — DNS TXT proof of ownership; nothing is scanned without it.
  • Verify, don't modify — we prove reachability with the weakest single-shot proof (a canary or echo); never a real payload; no persistence, no files written, no accounts, no data read or exfiltrated, no DoS.

Plans

Four plans, one rule: no payment until we open.

Free exists to validate. Pro, Scale and Enterprise open when the list justifies them.

Comparison of Free, Pro, Scale and Enterprise plans
Plan FreeValidation — 1 verified domain ProTeams — + A.8.8/A.5.7/A.5.9 evidence pack ScaleOrganisation — API / SSO / RBAC EnterpriseDedicated EU instance
Price €0 ≈€49–99/mo ≈€299/mo ≈€12,000/yr
Verified domains 1 Up to 10* Up to 100* Custom
Weekly report
A.8.8/A.5.7/A.5.9 evidence pack
API
SSO / RBAC
Dedicated EU instance
Support Email Email Priority Named engineer

Planned, indicative pricing. We don't bill yet: the waitlist asks for no payment details. *Provisional domain counts, to be confirmed at launch. evidens provides the continuous evidence of your external security testing; it does not certify or guarantee ISO/IEC 27001:2022 compliance.

FAQ

What an auditor (or your team) will ask.

Does this count as a “pentest” for my ISO 27001 certification?

ISO doesn't require a pentest with a specific name or fixed frequency: it requires a vulnerability-management process (A.8.8) and security testing (A.8.29) running and documented. evidens feeds that evidence; it doesn't replace your annual pentest.

How do you guarantee you won't break or modify anything?

Authorized targets only (DNS TXT), curated templates (no intrusive or DoS categories), a single-shot canary for blind checks, and an isolated ephemeral sandbox. Never a real exploit, never persistence, never exfiltration.

Can I use it commercially? Are the tools legal?

Yes — MIT/Apache-2.0/BSD-3, licensed for commercial use, with a reviewed license policy.