NexusScope Pro 10.0.0

Inspector de red en el navegador y herramientas de auditoría estática local para proyectos propios o con autorización expresa. Creado por David Zuniga; editado y mejorado por José.

Novedades y migración desde 9.x

La versión del paquete, la interfaz y los informes se unifican en 10.0.0. El userscript distribuido se llama nexusscope-pro-10.0.user.js (nombre de archivo de la familia 10; la versión npm completa es 10.0.0).

Si tienes 9.x u otra revisión activa en una pestaña, desactiva el userscript antiguo si corresponde y recarga la página antes de usar el nuevo. No se sustituyen interceptores de versiones anteriores en caliente; el bookmarklet conserva la alternancia del inspector ya cargado.

• Activación explícita: cargar el script muestra «NexusScope 10 · Activar en sitio autorizado». Hasta pulsarlo no se inicia el núcleo de captura.
• Panel de auditoría ampliada: reglas heurísticas, clasificación de entornos, análisis mediante Web Worker, archivos/carpetas seleccionados manualmente, texto pegado, scripts inline y tráfico ya observado.
• Exportaciones JSON/CSV y enmascaramiento por defecto en el panel de auditoría nuevo. El núcleo heredado puede mostrar, guardar o exportar valores sin ocultar: no compartas sus informes sin revisarlos.
• Audit Master se distribuye ahora con sus dependencias y el comando nexusscope-audit.
• API Node separada del navegador: require('nexusscope-pro') no necesita window y no arranca un servidor. Es un cambio de entrada principal respecto a 9.x.
• nexusscope.js y el userscript contienen la misma implementación, evitando divergencias entre CDN y gestor de userscripts.

Las detecciones son indicios, no vulnerabilidades confirmadas. El motor estático no verifica credenciales, saldo, permisos ni firmas JWT. Las funciones activas del núcleo heredado (recon, deep scan, playground, etc.) pueden efectuar solicitudes: úsalas exclusivamente con permiso.

Instalación en navegador

Userscript

Instala Tampermonkey o un gestor compatible y abre:

https://cdn.jsdelivr.net/npm/[email protected]/nexusscope-pro-10.0.user.js

El gestor debe permitir ejecutar el script en el contexto de la página. El script se ofrece en todas las páginas HTTP/HTTPS, pero la captura solo comienza al activar el botón. No puede recuperar peticiones anteriores, incluso con @run-at document-start. La compatibilidad depende del navegador, del gestor y de las políticas del sitio.

Los metadatos de actualización apuntan a @latest conservando el nombre del archivo de la familia 10. La instalación y el bookmarklet de abajo fijan 10.0.0. Si una futura versión cambia ese nombre, deberá conservar un alias compatible o actualizar los metadatos.

Bookmarklet actualizado

Crea un marcador llamado «NexusScope Pro» y pega toda esta línea en su campo URL:

javascript:(function(){var w=window,d=document,a=w.__nexusAudit10;if(a&&typeof a.toggle==='function'){a.toggle();return}if(a&&typeof a.open==='function'){a.open();return}if(w.__nexus10BootPending||w.__nexusScopeLoading){return}if(w.__snifffer&&typeof w.__snifffer.toggle==='function'){w.__snifffer.toggle();return}w.__nexusScopeLoading=true;var s=d.createElement('script');s.src='https://cdn.jsdelivr.net/npm/[email protected]/nexusscope-pro-10.0.user.js';s.async=true;s.onload=function(){w.__nexusScopeLoading=false;console.log('[NexusScope 10.0.0] Cargado. Pulsa Activar en sitio autorizado si aparece el botón.')};s.onerror=function(){w.__nexusScopeLoading=false;s.remove();alert('No se pudo cargar NexusScope. Comprueba que 10.0.0 esté publicado en npm. La CSP del sitio también puede bloquear el CDN.')};(d.head||d.documentElement).appendChild(s)})();

También está en bookmarklet.txt. En la primera carga, pulsa el botón de activación. Una vez activo, otro clic alterna el panel de auditoría 10. Para el inspector de red original utiliza su botón flotante o window.__snifffer.toggle().

El bookmarklet evita cargas simultáneas mientras se descarga el script. Si una descarga queda bloqueada indefinidamente, recarga la página antes de reintentar. Una política CSP, una página interna del navegador o un bloqueo de red puede impedirlo; no se intenta eludir esas restricciones.

Script CDN

<script src="https://cdn.jsdelivr.net/npm/[email protected]/nexusscope.js"></script>

La URL abreviada https://cdn.jsdelivr.net/npm/[email protected] utiliza el campo jsdelivr del paquete. Es preferible fijar versión y archivo explícitos. No uses @latest en entornos que necesiten reproducibilidad.

Estas URLs de 10.0.0 estarán disponibles después de publicar correctamente esa versión en npm y de que el CDN la distribuya. El ZIP no publica automáticamente el paquete.

Uso en navegador

Después de la activación:

window.NexusScope.version;       // '10.0.0'
window.NexusScope.init();        // devuelve el API ya activo; no omite la activación
window.__snifffer.toggle();      // inspector de red original
window.__nexusAudit10.open();    // auditoría ampliada
window.__nexusAudit10.toggle();
window.__nexusAudit10.getSummary();

window.NexusScopePro es alias de window.NexusScope. Los alias se crean al activar, no antes. El atajo Alt+Shift+A alterna la auditoría; Escape la cierra. Para desactivar por completo y restaurar el contexto, recarga la página.

El navegador no tiene acceso a cookies HttpOnly, archivos del servidor ni tráfico histórico. La importación local omite node_modules, .git, binarios/UTF-16 y archivos de más de 8 MiB; el panel limita el total a 25.000 coincidencias. Si la CSP bloquea Web Workers, usa Audit Master localmente. No se promete cobertura completa ni ausencia de falsos positivos/negativos.

Instalación npm y API Node

Requisito: Node.js >=22.22.2 y npm. El requisito Node afecta al CLI y las pruebas, no a cargar el userscript en el navegador.

npm install [email protected]

const { version, createAuditEngine } = require('nexusscope-pro');
const engine = createAuditEngine();
const result = engine.scan('const endpoint = "https://example.test/api";', 'demo.js');
console.log(version, engine.rules.length, result.findings);

engine.scan(text, file, { cap }) devuelve { findings, truncated }. La API de bajo nivel devuelve valores originales sin enmascarar, por lo que el llamador debe proteger cualquier salida. Esta API no hace solicitudes de red ni ejecuta el texto analizado.

Audit Master: auditoría de una carpeta local

Con el paquete instalado en un proyecto:

npx nexusscope-audit ./ruta/al/proyecto

O desde el ZIP descomprimido:

npm ci
node audit_master.cjs ./ruta/al/proyecto
# Alias compatible:
node audit_master.js ./ruta/al/proyecto

Abre http://127.0.0.1:4000. Si no indicas carpeta, usa el directorio de trabajo actual. El puerto es fijo; libera el 4000 si ya está ocupado. Detén el proceso con Ctrl+C.

Incluye explorador, visor de texto, escáner, listado de dependencias declaradas y descargas de archivos/carpetas/ZIP. No ejecuta npm scripts del proyecto auditado y no es una auditoría de CVE. Se enlaza solo a loopback y las rutas API requieren una sesión local. No se siguen enlaces simbólicos ni se permite navegar fuera de la carpeta seleccionada. Ejecuta con privilegios mínimos y no expongas el puerto a terceros. Las descargas contienen archivos originales y pueden incluir secretos.

Publicar esta actualización en npm

Descomprime el ZIP y abre una terminal dentro de la carpeta nexusscope-pro:

npm ci
npm run check
npm test
npm pack --dry-run
npm login
npm whoami
npm publish --access public

Debes ser propietario/mantenedor autorizado de nexusscope-pro. npm puede pedir autenticación adicional según la configuración de tu cuenta. No guardes tokens en el repositorio o ZIP. prepublishOnly ejecuta comprobación sintáctica y pruebas antes de publicar.

Comprueba luego:

npm view nexusscope-pro version
npm view [email protected] dist.tarball

Una versión publicada no se puede sobrescribir: si 10.0.0 ya existe, aumenta la versión y actualiza metadatos, informes, documentación y URLs del bookmarklet. No basta con cambiar solo package.json.

npm pack genera un .tgz instalable. No publiques el ZIP directamente. El ZIP entregado incluye el código fuente completo, pruebas y package-lock.json; el tarball npm usa una lista explícita de archivos de distribución y no incluye pruebas, credenciales ni node_modules.

Desarrollo y validación

npm ci
npm run check
npm test
npm audit
npm pack --dry-run

Las pruebas comprueban coherencia de versiones, motor estático, activación/doble carga en DOM simulado y servidor local (sesión, acceso a archivos, rutas restringidas, escaneo y ZIP). No equivalen a una auditoría independiente ni a pruebas en todos los navegadores/CSP.

Archivos

| Archivo | Uso | | --- | --- | | nexusscope-pro-10.0.user.js | Userscript y bookmarklet | | nexusscope.js | Distribución para navegador/CDN | | index.cjs, lib/audit-engine.cjs | API Node sin efectos de arranque | | audit_master.cjs, audit_master.js | Servidor local y alias | | bookmarklet.txt | Línea lista para pegar | | package.json, package-lock.json | Metadatos y dependencias | | test/ | Pruebas de la distribución fuente | | CHANGELOG.md, SECURITY.md, LICENSE | Cambios, advertencias y licencia |

Créditos y licencia

David Zuniga (creador) y José (edición y mejoras), conservando las atribuciones del código y la licencia MIT original.

Repositorio: https://github.com/xrljosedv/nexusscope-pro
Incidencias: https://github.com/xrljosedv/nexusscope-pro/issues