Funciones
Cualquier cosa puede avisarte de que un servidor dejó de responder. Los fallos que de verdad te cuestan dinero —un certificado caducado un domingo, un dominio que nadie renovó, un correo en el que dejaron de confiar sin avisar, un noindex publicado por error— responden todos con un 200 perfectamente sano. Owl Keeper vigila todo eso en la misma página, para cada sitio y en todos los planes.
Las dos primeras filas son la categoría. El resto es la razón de ser de esto.
| La pregunta | Una herramienta de monitorización típica | Owl Keeper |
|---|---|---|
| ¿Responde el sitio? Comprobaciones HTTP, TCP y de correo, con la frecuencia que elijas. | Sí | Sí |
| ¿Está a punto de caducar el certificado? Y si la cadena está completa y cubre realmente el nombre de host. | Sí | Sí |
| ¿Está a punto de expirar el dominio? Leído del registro, no deducido de un raspado de WHOIS. | A veces | Sí |
| ¿Se ha quitado el bloqueo del registrador? La señal que precede al robo de un dominio. También DNSSEC. | No | Sí |
| ¿Llegará tu correo a una bandeja de entrada? SPF, DKIM, DMARC, MTA-STS y BIMI: con las consultas SPF contadas a través de cada include. | No | Sí |
| ¿Le está diciendo el sitio a los buscadores que se vayan? Un noindex olvidado o un robots.txt de staging que llegó a producción. | No | Sí |
| ¿Hacen algo las cabeceras de respuesta? HSTS, CSP, marcas de las cookies y si el HTTP sin cifrar sigue respondiendo. | No | Sí |
| ¿Hay alguien leyendo tus cookies? Una cookie de sesión sin Secure viaja en texto claro la primera vez que alguien escribe la dirección sin https. | No | Sí |
| ¿Puede un agente de IA usar este sitio? llms.txt, un catálogo de API, una ficha de servidor MCP y sobre qué rastreadores de IA opina el archivo robots. | No | Sí |
| ¿El formulario de contacto sigue aceptando envíos? Enviado de verdad, desde una dirección marcada, de modo que un formulario que ha dejado de entregar en silencio se detecta en horas. | No | Sí |
| ¿La copia de seguridad nocturna llegó a ejecutarse? La tarea llama a una URL cuando termina. Te enteras de la noche en que no lo hace. | No | Sí |
| ¿Qué ha cambiado desde la semana pasada? Solo se anotan las diferencias, así que el historial es la lista de lo que realmente cambió. | No | Sí |
Autenticación de correo
La autenticación del correo es el fallo de mecha más larga: nada se rompe, nada avisa y las facturas simplemente dejan de llegar. Normalmente es una suscripción aparte, de otro proveedor y con otro precio. Aquí es una de las pasadas diarias sobre cada dominio que añades.
Se sigue cada include y se cuentan las consultas DNS por el camino. Pasar de diez es un error permanente que deja el registro con un aspecto perfectamente razonable: es la forma más común de que un dominio que entregaba deje de hacerlo.
Si los selectores que publicas resuelven y qué le indica realmente tu política DMARC al receptor. Una política «none» se informa como lo que es: publicada y sin efecto alguno.
La mitad más reciente: si el correo dirigido a ti debe viajar cifrado y si tu logotipo puede aparecer junto a él. Se informan como hechos, nunca como fallos.
Los registros existen, los hosts detrás de ellos existen y el servidor de correo responde de verdad a un saludo y ofrece STARTTLS.
Si el dominio o su host emisor ha aparecido en una lista que los receptores consultan antes de aceptar nada tuyo.
Un registro roto sigue roto hasta que alguien lo arregla. Se te avisa cuando se rompe, no cada mañana hasta que lo arregles: así es como un recordatorio acaba en un filtro.
En detalle
Las tres que más explicación necesitan, y las tres que no ejecuta nada más en esta categoría. Todo lo de arriba y lo de abajo se comprueba con la misma frecuencia y en los mismos planes.
La única comprobación de aquí que funciona al revés. Tu tarea llama a una URL cuando termina y te avisamos cuando esa llamada no llega, lo que la convierte en la única de esta lista que funciona en una máquina sin dirección pública: un servidor de compilación, un portátil, el servidor de un cliente detrás de un cortafuegos. También es la única forma de detectar una copia de seguridad que dejó de ejecutarse, porque un servidor al que le han borrado el script de copia es un servidor perfectamente sano y pasará cualquier otra comprobación que tengas.
Cualquier escáner puede imprimir las cabeceras que devuelve un sitio y pintar de rojo las que faltan. Lo que merece la pena es la evaluación: aquí solo una clase de hallazgo se trata como agujero real, y es una cookie servida sin Secure, porque esa viaja en texto claro la primera vez que alguien escribe la dirección sin https. El resto son refuerzos, en ámbar, para que el día que algo se ponga en rojo te lo creas. Y como la pasada es diaria, una política que estaba la semana pasada y hoy no está queda registrada como el despliegue que nadie pretendía hacer.
Una agencia con treinta clientes no puede decir hoy cuáles de ellos son legibles por un agente de IA, porque responderlo significa abrir treinta robots.txt a mano y luego una segunda pasada por la media docena de rutas well-known que han aparecido en los últimos dos años. Esto lo responde para toda la cartera cada día: llms.txt, negociación de Markdown, dieciocho rastreadores de IA por su nombre, Content Signals, MCP y catálogos de API. Se registran como hechos y nunca como fallos, porque en buena parte del trabajo de cliente rechazar a los rastreadores es precisamente el encargo.
Certificados y dominios
Cuándo caduca, quién lo emitió, si la cadena está completa y si cubre el nombre de host que realmente sirve, incluidos los comodines, que cubren un nivel y no dos. Avisos a 30, 14, 7, 3 y 1 días.
Caducidad, registrador y estado directamente desde RDAP, no raspados de una página WHOIS. Los avisos empiezan a los 60 días, porque recuperar un dominio caducado es lento y caro, mientras que un certificado se reemite en minutos.
Que se quite el bloqueo es el paso previo a mover un dominio. Verlo como un cambio un martes es la diferencia entre una llamada y una recuperación.
Quién es autoritativo para el dominio y si esa respuesta ha cambiado desde ayer. Se anota junto a todo lo demás del sitio, no en una página aparte.
Alertas
Una herramienta de monitorización solo vale la pena si sigues leyendo sus mensajes en el sexto mes. Todo aquí está pensado para no gastar tu atención.
Un cortafuegos que responde 401, 403 o 429 no te dice nada sobre si los visitantes llegan al sitio. Se informa como que se rechazó al comprobador, en ámbar, y la alerta nombra el agente de usuario que hay que permitir para arreglarlo en un solo paso.
Nada se da por caído hasta que ha fallado tantas veces seguidas como decidas. Un paquete perdido en una red inestable nunca se convierte en un mensaje.
Se te avisa cuando vuelve y cuánto tiempo estuvo caído, así que el incidente se cierra solo en vez de dejarte a ti comprobarlo.
Pega una URL de Slack o Discord y los mensajes se formatean para ella. Cualquier otra cosa recibe JSON firmado con un HMAC, para que el receptor distinga nuestro POST del de cualquiera que haya averiguado la dirección.
Las alertas se escriben en el idioma de la cuenta a la que van dirigidas, así que a una persona se le puede avisar en español mientras un compañero recibe la misma alerta en inglés.
El mantenimiento planificado se salta la programación en vez de generar un incidente falso, y nada de lo ya registrado se descarta.
Cuando cuidas sitios de otros
Un cliente con un sitio web, una API, un servidor de correo y un certificado es una sola cosa que cuidar, y cuatro filas facturables en una herramienta que cobra por fila. Aquí un sitio lleva consigo su certificado, su registro, su DNS y sus registros de correo sin contar de más.
Etiqueta por cliente, por proveedor de alojamiento o por como pienses de verdad, y reduce sesenta sitios a los cuatro por los que te preguntan.
Disponibilidad, qué está respondiendo y cuándo se renuevan el certificado y el registro, en un enlace imposible de adivinar que nunca muestra nombres de monitores, direcciones ni nada de las comprobaciones de seguridad. Lo retiras y el enlace deja de funcionar.
Una comprobación que encuentra lo mismo que ayer no registra nada. Lo que puedes enseñarle a un cliente es la lista de lo que realmente cambió —el emisor, los servidores de nombres, la política DMARC— en vez de un año de filas idénticas.
Las páginas de estado que envías a tus clientes no llevan analítica de ningún tipo —ni nuestra ni de Google—, así que nadie mide a quienes las abren. La aplicación sí usa analítica para encontrar las partes que cuestan a la gente, y la política de privacidad nombra cada herramienta y lo que recoge.
Nada de esta página se reserva para un plan superior. Los planes se diferencian en cuántos sitios vigilas y con qué frecuencia, nunca en qué se comprueba.