Añade tu Trust Badge
en dos minutos.

Previsualiza e instala tu insignia

Prueba los estilos de abajo para ver exactamente lo que verán tus visitantes. Cuando estés listo, tu código personalizado te espera en tu panel; no necesitas saber programar.

<div class="pcrisk-badge"
     data-style="shield"
     data-size="medium"
     data-theme="light"
     style="min-width:214px;min-height:141px;font-size:0;line-height:0"></div>
<script src="https://scanner.pcrisk.com/badge/trust-badge.js" defer></script>

Guías por plataforma

Dos formas de añadir la insignia: instala nuestro plugin o pega el fragmento desde tu panel. Elige tu plataforma abajo; en ambos casos tarda unos minutos.

Personaliza tu insignia

Tus opciones se guardan como data-* atributos en la ubicación del fragmento <div> - el diseñador del panel los configura todos al generar tu código. Para cambiar el estilo después, elige allí un nuevo aspecto y pega el fragmento actualizado sobre el anterior. Esto controla cada atributo.

¿La insignia no aparece?

Revísalos en este orden: los dos primeros resuelven la gran mayoría de los casos.

script-src  https://scanner.pcrisk.com
connect-src https://scanner.pcrisk.com
style-src   'unsafe-inline'

Cómo lo verifican tus visitantes

Una insignia que cualquiera puede falsificar no genera confianza. La nuestra se puede verificar de forma independiente; eso es lo que hace que valga la pena mostrarla.

Qué ocurre si se detecta una amenaza

Nunca mostrarás un sello “verificado” en un sitio comprometido.

Alertas de Slack y webhook

Recibe las mismas alertas que enviamos por correo — amenaza detectada, todo despejado, no se pudo completar el análisis — en Slack o en tu propio endpoint, en los mismos momentos. Configura ambos en tu panel en Settings → Integraciones de alertas.

Slack

En Slack, crea un Incoming Webhook para el canal que quieras (Slack: Apps → Incoming Webhooks → Add to a channel), pega la hooks.slack.com URL en tu panel y pulsa Enviar prueba de Slack. Eso es todo; no hace falta código.

Webhooks

Nosotros enviamos JSON por POST a tu endpoint HTTPS. Cuatro tipos de eventos:

• alert.opened - un escaneo marcó el sitio (puntuación inferior a 70); la insignia está en pausa.
• alert.resolved - un escaneo posterior salió limpio; la insignia se restablece.
• scan.failed - el escaneo diario no pudo completarse (sitio inaccesible); se envía una vez por interrupción.
• prueba - el Enviar prueba de webhook botón.

{
  "event": "alert.opened",
  "domain": "example.com",
  "trust_score": 55,
  "threat_type": "suspicious",
  "severity": "medium",
  "occurred_at": "2026-07-07T08:28:36.874Z"
}

Cada solicitud incluye tres encabezados: Content-Type: application/json, X-PCrisk-Event (el tipo de evento), y X-PCrisk-Signature - sha256= seguido del HMAC SHA-256 hexadecimal del cuerpo bruto de la solicitud, generado con el secreto de firma que aparece en tu panel. Verifícalo antes de confiar en una entrega.

Semántica de entrega: esperamos hasta 5 segundos una respuesta y contamos cualquier 2xx como aceptado; una entrega fallida se reintenta una vez, ~15 segundos después, y luego se descarta. Trata los webhooks como notificaciones, no como un registro: tu panel es el estado de referencia.

const crypto = require('crypto');
const express = require('express');
const app = express();

// express.raw keeps the body as the exact bytes we signed
app.post('/hooks/pcrisk', express.raw({ type: 'application/json' }), (req, res) => {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', process.env.PCRISK_WEBHOOK_SECRET)
    .update(req.body) // Buffer
    .digest('hex');
  const given = req.get('X-PCrisk-Signature') || '';
  const ok = given.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(given), Buffer.from(expected));
  if (!ok) return res.status(401).end();

  const event = JSON.parse(req.body);
  console.log(event.event, event.domain, event.trust_score);
  res.status(200).end(); // any 2xx marks the delivery as accepted
});

app.listen(3000);

<?php
$secret   = getenv('PCRISK_WEBHOOK_SECRET');
$raw      = file_get_contents('php://input'); // raw body, before any parsing
$given    = $_SERVER['HTTP_X_PCRISK_SIGNATURE'] ?? '';
$expected = 'sha256=' . hash_hmac('sha256', $raw, $secret);

if (!hash_equals($expected, $given)) {
    http_response_code(401);
    exit;
}

$event = json_decode($raw, true);
// $event['event'], $event['domain'], $event['trust_score'], ...
http_response_code(200); // any 2xx marks the delivery as accepted

import hashlib, hmac, os
from flask import Flask, request, abort

app = Flask(__name__)
SECRET = os.environ["PCRISK_WEBHOOK_SECRET"].encode()

@app.post("/hooks/pcrisk")
def pcrisk_hook():
    raw = request.get_data()  # raw body, before parsing
    expected = "sha256=" + hmac.new(SECRET, raw, hashlib.sha256).hexdigest()
    given = request.headers.get("X-PCrisk-Signature", "")
    if not hmac.compare_digest(expected, given):
        abort(401)

    event = request.get_json()
    # event["event"], event["domain"], event["trust_score"], ...
    return "", 200  # any 2xx marks the delivery as accepted

# run with: flask --app hook run --port 3000

¿Vas a cambiar tu endpoint? Guarda la nueva URL en el panel y envía una prueba: el secreto de firma sigue siendo el mismo para tu cuenta. Las alertas son por incidente (una alert.opened por episodio por debajo de 70, no una por escaneo), así que tu canal no se saturará por un sitio que siga marcado.

REST API

Lleva tus dominios, puntuaciones, historial de escaneo y alertas a tus propios paneles, informes y monitoreo. Acceso de lectura en Pro; el plan Business añade gestión de dominios. La API solo expone propios dominios monitorizados.

Autenticación

Crea una clave en tu panel en Ajustes → Claves API (se muestra una vez; solo guardamos un hash) y envíala como token Bearer. Las claves heredan sus permisos de tu plan actual, y si revocas una en el panel se desactiva al instante.

curl https://scanner.pcrisk.com/api/v1/domains   -H "Authorization: Bearer pcrisk_live_YOUR_KEY"

{
  "success": true,
  "data": [
    {
      "domain": "example.com",
      "status": "verified",
      "trust_score": 92,
      "threat_type": "clean",
      "last_scanned": "2026-07-07T06:12:04.000Z",
      "open_alerts": 0,
      "badge_visible": true,
      "badge_live": true
    }
  ]
}

Endpoints

GET /api/v1 - descubrimiento: tu plan y nivel.
GET /api/v1/domains - todos tus dominios con puntuación actual, tipo de amenaza y estado de la insignia.
GET /api/v1/domains/{domain} - un dominio.
GET /api/v1/domains/{domain}/history - historial de puntuación del escaneo (la profundidad depende de tu plan).
GET /api/v1/alerts - alertas de amenazas más recientes en todos los dominios, abiertas y resueltas.
POST /api/v1/domains (Business) - añade un dominio; la monitorización empieza de inmediato. Cuerpo: {"domain": "example.com"}.
DELETE /api/v1/domains/{domain} (Business) - elimina un dominio; los escaneos se detienen y la insignia deja de mostrarse.

Pruébalo

Pega una clave API de tu panel (Ajustes → Claves API) y llama aquí a cualquier endpoint de lectura. La clave solo va en esta solicitud, a este sitio; no se guarda nada, y la solicitud cuenta para tu límite de tasa como cualquier otra.

Convenciones: cada respuesta es JSON con success y data o código.error + mensaje.error (401 clave incorrecta, 403 plan/nivel, 404 no es tuyo, 429 límite de tasa alcanzado). El límite es 60 solicitudes/minuto por clave - revisa los encabezados X-RateLimit-Remaining y Retry-After .