Detectify lleva los tests de seguridad al flujo de trabajo con IA mediante MCP

El pasado martes 26 de mayo, SC Media informó que Detectify, la plataforma sueca de gestión de superficie de ataque (EASM), ha publicado un servidor MCP oficial. La integración permite que herramientas de coding asistido por IA —Claude Code entre ellas— invoquen directamente las capacidades de análisis de seguridad de Detectify sin salir del entorno de desarrollo.

No es un detalle menor: hasta ahora, el ciclo habitual era escribir código, hacer commit, esperar a que un escáner externo reportara hallazgos y volver al editor a corregirlos. Con un MCP server en medio, ese ciclo puede comprimirse hasta el momento en que el modelo está generando o revisando código.

Qué hace exactamente el servidor MCP de Detectify

El servidor expone las herramientas de Detectify como llamadas MCP estándar. Esto significa que un agente o asistente compatible puede, por ejemplo, solicitar un escaneo de un dominio, recuperar los hallazgos activos de una superficie de ataque o consultar el estado de una vulnerabilidad concreta, todo ello como parte de una conversación o de un flujo automatizado en Claude Code.

En la práctica, un desarrollador que esté trabajando con Claude Code podría pedirle al asistente que compruebe si el subdominio que acaba de configurar tiene exposiciones conocidas, y el modelo invocaría el MCP server de Detectify para obtener esa información en tiempo real, sin abrir otra pestaña ni autenticarse manualmente en otra plataforma.

La configuración sigue el patrón estándar de MCP: se declara el servidor en `claude_desktop_config.json` o en la configuración de Claude Code, se proporcionan las credenciales de API de Detectify y el servidor queda disponible como herramienta invocable.

Por qué importa este movimiento para el ecosistema

El MCP de Anthropic lleva meses atrayendo integraciones de todo tipo —bases de datos, servicios de gestión de proyectos, APIs de productividad—, pero las herramientas de seguridad han tardado más en aparecer. El motivo es comprensible: exponer datos de vulnerabilidades a través de un canal que pasa por un modelo de lenguaje requiere pensar con cuidado qué información se comparte, con qué granularidad y bajo qué controles de acceso.

Que Detectify haya dado ese paso indica que el sector empieza a asumir que los flujos de coding con IA no son un experimento marginal, sino el entorno donde buena parte del código nuevo se va a escribir en los próximos años. Ignorar esa realidad significa que la seguridad queda fuera de conversación literalmente.

Dicho esto, la integración tiene límites obvios. Un MCP server recupera y presenta información; no sustituye un programa de bug bounty, una auditoría manual ni un análisis de código estático profundo. Lo que sí puede hacer es reducir la fricción para que esa información llegue al desarrollador en el momento en que todavía puede actuar sobre ella.

Para quién tiene sentido adoptar esto ahora

La integración resulta más útil para equipos que ya usan Detectify como parte de su programa de seguridad y que han incorporado Claude Code en su flujo diario. Para ellos, añadir el servidor MCP es relativamente bajo coste y puede acelerar la triaje de hallazgos durante el desarrollo.

Para equipos que no tengan aún ninguna de las dos herramientas, la propuesta es más discutible: adoptar una plataforma EASM solo para tener la integración MCP sería poner el carro delante del caballo. La integración tiene valor como complemento, no como punto de entrada.

También merece atención el ángulo de gobernanza: antes de configurar el servidor en entornos de equipo, conviene revisar qué datos de Detectify quedan expuestos a los logs de Claude Code y si eso es compatible con las políticas internas de manejo de información de vulnerabilidades.

---

En EP llevamos tiempo esperando ver más herramientas de seguridad adoptando MCP de forma nativa. El movimiento de Detectify es un paso concreto en esa dirección, aunque la madurez real del ecosistema se medirá cuando este tipo de integraciones sean auditables, configurables por rol y no dependan de que cada desarrollador gestione sus propias credenciales de API.