Guarita
Escaneos de seguridad para aplicaciones web creadas con IA. Verifica la propiedad de la aplicación, encuentra vulnerabilidades, obtén evidencia y sugerencias de corrección listas para IA, y solicita nuevas pruebas a través de MCP. Autenticación OAuth; los escaneos requieren autorización del propietario de la aplicación.
Servidor MCP alojado
npx add-mcp 'https://api.guarita.dev/mcp'Se instala en Claude Code, Codex, Cursor y más
Documentación
01 · configuración única
Conecta Guarita como conector del chat
Antes del paso a paso, la traducción rápida de los dos términos que usa Lovable: MCP es el canal que permite que la IA de Lovable converse con Guarita, y OAuth es el inicio de sesión seguro — nunca necesitas crear ni pegar un token. Las conexiones MCP personalizadas son personales de quien construye y no entran en la aplicación publicada. Lovable acepta servidores MCP remotos en todos los planes, aunque un administrador del workspace puede desactivarlos.
- 01
Abre los Connectors
En Lovable, abre Connectors (la lista de conexiones del chat), toca el botón + y elige MCP server. - 02
Añade Guarita
Pon el nombre "Guarita" y pegahttps://api.guarita.dev/mcpen el campo Server URL. - 03
Mantén OAuth
OAuth (inicio de sesión seguro) ya viene seleccionado. Elige Add & authorize — nunca crees ni pegues un token de API personal. - 04
Aprueba el acceso
Entra en Guarita, revisa los permisos y vuelve automáticamente a Lovable.
Esta página puede abrir el catálogo de Connectors de Lovable, pero Lovable aún no documenta un enlace de instalación que rellene Guarita por sí solo. Hasta que Guarita tenga una tarjeta en el catálogo o aparezca en el registro de tu workspace, la Server URL debe pegarse una vez.
02 · el camino más corto
Pide, confirma, publica
Pide en el chat del proyecto
"Protege esta aplicación con Guarita."
Lovable identifica (o pregunta) la URL publicada estable, pide que confirmes que la aplicación es tuya y autorices la ronda, y luego añade el archivo de verificación permanente.
- Prueba preparada Lovable añade al proyecto un archivo público de verificación, inofensivo.
- Tú apruebas la publicación Lovable usa su propio flujo de Publish (publicar) y pide tu aprobación cuando es necesario.
- Guarita comprueba Con la URL estable conocida, las comprobaciones siguen en segundo plano — incluso puedes cerrar el navegador.
- La primera ronda comienza Probado el control, una dirección elegible con plaza en el plan entra en la cola automáticamente.
Lovable no expone un aviso automático de publicación (webhook) para un servidor MCP personalizado. Aun así, el agente publica mediante la herramienta nativa y pasa la URL estable a Guarita en la misma conversación. Si la conversación se interrumpe, pídele que continúe; no existe un botón separado de "verificar" en Guarita.
03 · reglas de la dirección
Usa una URL estable y abierta al público
Aplicación publicada
Usa la URL de producción lovable.app o un dominio propio público.
Sitio solo del workspace
La verificación externa no alcanza un sitio restringido a los miembros del workspace.
Vista previa temporal
Una vista previa compartida expira y no debe convertirse en la dirección protegida de producción.
04 · mínimo necesario
El acceso OAuth no es prueba de que la aplicación es tuya
Las credenciales quedan en el servidor
Los tokens OAuth son revocables y nunca vuelven al navegador, aparecen en el proyecto ni se copian en el código en Lovable. El valor de verificación publicado vale solo para un onboarding y permanece en línea para las comprobaciones periódicas de control — no es una credencial de API.
Cada dirección se autoriza por separado
Conectar el MCP identifica tu cuenta en Guarita — no prueba el control de una URL cualquiera. Lovable pide autorización explícita, y Guarita espera que la prueba aparezca en esa dirección exacta antes de liberar pruebas más profundas.
05 · sin callejones sin salida
Entiende el progreso y recupérate sin sustos
| Estado | Qué significa | Siguiente paso |
|---|---|---|
| Esperando publicación | La prueba fue preparada, pero aún no es pública. | Publica la versión actual en Lovable. |
| Confirmando / restaurando prueba | Guarita está comprobando la URL pública exacta, incluida la revalidación periódica de la prueba. | Espera — o restaura y publica el archivo de verificación si el chat lo pide. Ninguna pestaña de Guarita necesita estar abierta. |
| Verificado / primera ronda | El control fue probado y la ronda está en la cola o en ejecución. | Pide el estado en el chat de Lovable o abre Apps en Guarita. |
| Dirección privada | La ronda recibió una respuesta de inicio de sesión o de sitio restringido al workspace. | Publica de forma pública o usa un dominio propio público. |
| Límite del plan | No hay plazas de aplicación disponibles en tu plan de Guarita ahora. | Haz upgrade del plan y pide a Lovable que inicie la protección de nuevo. |
| Contenido divergente | Una prueba que era válida cambió o desapareció. | Restaura el mismo archivo de verificación y publica de nuevo. |
| Expirado | La prueba inicial no apareció antes del plazo del desafío. | Comienza un nuevo onboarding en Lovable para recibir un desafío nuevo. |
06 · reversible
Desconecta sin perder las aplicaciones verificadas
En Guarita, abre Configuración → Integraciones y revoca el acceso OAuth de Lovable. Después, elimina el conector del chat en Connectors en Lovable, si ya no quieres verlo listado allí.
La revocación bloquea nuevas llamadas MCP al instante. Las aplicaciones ya verificadas por el archivo público y los informes de ronda continúan siguiendo la retención y los controles normales de la cuenta; eliminar la prueba publicada hace que la verificación permanente expire.