Centro de operaciones de ciberseguridad · Alojado en la UE · ES/EN
Lo que tu empresa expone en internet, revisado cada semana.
Con el plan Gratis, evidens analiza cada semana desde fuera un dominio que demuestras tuyo: subdominios y hosts, SPF/DKIM/DMARC, dominios parecidos registrados para suplantarte y una observación HTTP/TLS por host, solo con comprobaciones pasivas o de bajo impacto. La consola y el correo semanal te dicen qué revisar. El análisis de código y dependencias, la vigilancia diaria de lo explotado y la evidencia firmada llegan con los planes de pago, que aún no están a la venta.
- En español de verdad, alojado en la UE
- Solo dominios verificados (DNS TXT)
- Gratis, sin tarjeta
Sin tarjeta. El plan Gratis analiza un dominio que demuestres tuyo con comprobaciones externas pasivas cada semana. ¿Ya tienes cuenta? Entrar
- Escaneo semanallun 03:00Al día
- Vigilancia KEVdiario 06:30Al día
- Sonda de disponibilidadcada horaAl día
- Vigilancia CRAcomplementoNo activo
- UEAlojado en la UE, RGPD con doble opt-in.
- AutorizadoSolo dominios verificados por DNS: demuestras la titularidad con un registro TXT.
- PasivoEn Gratis, solo comprobaciones externas pasivas o de bajo impacto.
- DeterministaSin IA en la ruta de la evidencia: reglas versionadas.
Cómo funciona
Tres pasos. Después, funciona solo.
No hay agentes que instalar ni credenciales que darnos. Demuestras que el dominio es tuyo y los procesos se ponen en marcha.
- 01
Crea tu cuenta
Email y contraseña; confirmas el correo y añades tu dominio. Sin tarjeta.
- 02
Publica un registro TXT
Te damos un registro
_evidens-verifypara tu DNS. Lo comprobamos desde dos resolutores antes de cada análisis: sin prueba, no hay análisis. - 03
Recibe tu primer informe
El primer análisis arranca solo; el informe llega a tu correo y a la consola, y después cada semana. Lo urgente, primero y con el siguiente paso.
Operaciones continuas
Mientras trabajas, esto sigue en marcha.
Cada proceso tiene su cadencia y su estado. Si uno se retrasa o no se ejecuta, te avisamos: un panel en verde con un escáner parado es el peor fallo posible.
- Cada hora
Sonda de disponibilidad
Comprueba que lo desplegado sigue respondiendo.
- Cada día · 06:00
Ingesta de inteligencia
NVD, CISA KEV y EPSS entran al almacén de inteligencia; calculamos la velocidad EPSS de los CVE que te afectan.
- Cada día · 06:30
Vigilancia de lo explotado
Si un CVE que te afecta entra en KEV —o su EPSS se dispara antes—, reprobamos ese activo y esa firma, no todo.
- Cada día · 07:00
Resumen por email
Lo que cambió en las últimas 24 horas, sin ruido.
- Cada lunes · 03:00
Escaneo completo e informe
Prueba externa solo-verificación, correo y dominios parecidos, código y dependencias, e informe semanal ES/EN firmado con su tiempo de detección.
- Siempre
Registro encadenado
Cada escaneo, informe y envío queda en una cadena de hashes: si alguien la altera, se nota.
Siempre sabes en qué estado estás.
- Verde · Vigilando
Nada abierto por encima de medio.
- Los procesos siguen al día
- Cambios nuevos aparecen primero en la consola
- Evidencia semanal para tu SGSI
- Ámbar · Revisar
Nada explotado, pero hay trabajo.
- Hallazgos altos con el siguiente paso
- Una instantánea desactualizada
- Una etapa que no terminó (nunca en silencio)
- Rojo · Actuar hoy
Algo explotado o crítico en tu perímetro.
- Lo explotado activamente (KEV) va primero
- Un paso concreto por hallazgo
- Reprueba dirigida tras corregir
Módulos
Cuatro módulos. Un complemento para fabricantes.
Funcionan juntos sobre la misma cadena de evidencia. Cada módulo indica desde qué plan está incluido; el reloj CRA se activa solo si lo necesitas.
Superficie externa
Incluido en GratisLo que cualquiera ve de ti en internet.
- Prueba de titularidad DNS TXT antes de cada escaneo
- En Gratis: comprobaciones pasivas o de bajo impacto (subdominios, correo, dominios parecidos, una observación HTTP/TLS por host, plantillas Nuclei seguras); la prueba completa con ZAP y escaneo de red, desde Esencial
- Descubrimiento de subdominios, hosts y servicios, con inventario versionado
- Prueba semanal solo-verificación: Nuclei, ZAP y escaneo de red
- Endpoints de IA expuestos: Ollama, vLLM/LocalAI, Open WebUI, Jupyter, Qdrant y Chroma
- Postura de correo: SPF, DKIM y DMARC (p=none se señala)
- Dominios parecidos registrados para suplantarte (solo DNS, nunca los escaneamos)
Código y dependencias
Aún no disponible · ProfesionalLo que tu código expone antes de llegar a producción.
- Secretos filtrados en el repositorio, incluidas claves de OpenAI, Anthropic, Groq, Mistral y otros proveedores de IA
- CVE alcanzables en Go (govulncheck) y análisis estático (gosec)
- Dependencias npm e imágenes de contenedor (npm audit, trivy)
Inteligencia de amenazas
Aún no disponible · EsencialLo que se está explotando hoy y si te afecta.
- CISA KEV y EPSS cada día, y alerta temprana cuando el EPSS sube deprisa antes de entrar en KEV
- OSV: cada aviso GO-/GHSA- se traduce a su CVE exacto por paquete y versión
- Prioridad P1–P4 donde lo explotado manda; reprueba dirigida, nunca un escaneo masivo diario
- Tiempo de detección y de verificación medido sobre marcas de tiempo firmadas
Evidencia y cumplimiento
Aún no disponible · EsencialLo que necesitas para demostrarlo.
- Informe semanal ES/EN por email y en la consola
- Firmado con Ed25519 y encadenado por hash, verificable fuera del nodo
- Mapeado al Anexo A de ISO/IEC 27001 (A.8.8, A.5.7, A.5.9, A.8.29): evidencia, no veredictos
Reloj CRA
ComplementoPara fabricantes de productos con elementos digitales (hardware, IoT, firmware, software instalable).
- Sube el SBOM de cada producto (CycloneDX o SPDX), también desde tu CI
- Cruce continuo con CISA KEV, la EUVD de ENISA y OSV; «no afectado» con VEX
- Casos con los plazos de 24 h, 72 h y 14 días del art. 14 y avisos
- Borradores ES/EN para el SRP de ENISA y exportación firmada del caso
Próximamente (aún no disponible)
- Mapeo al ENS (RD 311/2022)
- Gestión multicliente para MSP
- API, SSO/RBAC y acceso de auditor
- Los planes de pago (Esencial, Profesional, Business) y lo que incluyen: análisis de código y dependencias, vigilancia diaria KEV/EPSS, prueba completa con ZAP y escaneo de red, informe firmado y exportación verificable
- Compra y facturación de los planes de pago desde la consola
- Comprobación pasiva gratuita de un dominio, sin registro
Complemento · Cyber Resilience Act, art. 14
¿Fabricas productos? Añade el reloj CRA.
Desde el 11 de septiembre de 2026, si una vulnerabilidad de tu producto se explota tienes 24 horas para la alerta temprana a ENISA, 72 para la notificación y 14 días tras la corrección para el informe final. También para productos que ya vendías.
+≈149 €/mes hasta 5 productos · +≈349 €/mes hasta 25 · o ≈199 €/mes sin plan de operaciones
Pasarela IoT GW-200 · firmware 3.4
- Alerta temprana a ENISAborrador listovence en 21 h 18 min
- Notificación con evaluación inicialvence en 69 h 18 min
- Informe final14 d tras la corrección
- 10 dic 2024El CRA entra en vigor (Reglamento (UE) 2024/2847).
- 11 sep 2026 · ya en vigorNotificación obligatoria de vulnerabilidades explotadas e incidentes graves.
- 11 dic 2027Aplicación plena: requisitos esenciales, SBOM, conformidad y marcado CE.
Tienes conocimiento
Art. 14.1evidens sella la hora y abre el caso.
Alerta temprana
Art. 14.2(a)Borrador listo para pegar en el SRP.
Notificación
Art. 14.2(b)Notificación prellenada y aviso a usuarios.
Informe final
Art. 14.2(c)Informe final y exportación firmada.
Para quién
Hecho para equipos sin un SOC propio.
- Pyme · CTO
Sin equipo de seguridad
Qué está expuesto y qué arreglar esta semana, en español y sin jerga.
Recibes: la cola de atención con el siguiente paso.
- SGSI · Cumplimiento
ISO 27001, ENS, cuestionarios
Evidencia continua entre auditorías que un auditor puede verificar sin fiarse de nosotros.
Recibes: informes firmados mapeados al Anexo A.
- MSP · Proveedor IT
Varios clientes
Un informe semanal en español para cada cliente y precio por dominio con margen.
Recibes: precio partner (la gestión multicliente aún no está disponible).
- Fabricante · PSIRT
Productos con elementos digitales
Los dominios de tu empresa vigilados y, además, el reloj de notificación del CRA.
Recibes: operaciones + complemento CRA.
Por qué evidens
Lo que nos hace distintos (y lo que no prometemos).
Una consola, procesos que no paran
Otras herramientas te dan una puntuación. evidens te dice qué atender hoy, qué procesos están en marcha y cuándo corrieron por última vez — y te avisa si alguno se para.
No es un escáner suelto; es un centro de operaciones.
Solo lo autorizado, probado en código
Ningún dominio se escanea sin la prueba DNS TXT, comprobada antes de cada escaneo. La autorización queda en la evidencia, no en una cláusula.
Solo verificación: nunca explotamos.
Evidencia que se verifica sola
Cada informe se firma y se encadena antes de salir del nodo. Tu auditor lo comprueba con nuestra clave pública.
Cambia un byte y la verificación falla.
Determinista, por tanto defendible
Reglas versionadas y revisables: mismas entradas, mismo resultado. Ningún modelo de IA decide qué es un hallazgo.
Reproducible para tu auditor.
En español de verdad y con precios públicos
Consola, informes y avisos en español e inglés desde el primer día. Precios en euros, publicados.
Datos alojados en la UE.
Planes
Precio por dominio verificado. Usuarios ilimitados.
El plan Gratis está abierto: crea tu cuenta. Los planes de pago todavía no se venden; pulsa «Me interesa» y te escribimos cuando abran.
| Plan | GratisPara empezar | Esencial1 dominio, en serio | ProfesionalPyme con SGSI | EmpresaVarios dominios | EnterpriseInstancia dedicada en la UE |
|---|---|---|---|---|---|
| Precio | 0 € | ≈99 €/mes | ≈299 €/mes | ≈699 €/mes | desde ≈12.000 €/año |
| Dominios verificados | 1 | 1 | 3 | 10 | A medida |
| Hosts descubiertos por plan | ≤ 10 | ≤ 50 | ≤ 250 | ≤ 1.000 | A medida |
| Prueba externa semanal solo-verificación | Pasiva | Incluido | Incluido | Incluido | Incluido |
| Vigilancia diaria de lo explotado (KEV · EPSS) | No incluido | Incluido | Incluido | Incluido | Incluido |
| Informe semanal ES/EN | Sin firma | Firmado | Firmado | Firmado | Firmado |
| Historial de informes | 4 semanas | 12 meses | 12 meses | 12 meses | A medida |
| Código y dependencias | No incluido | No incluido | Hasta 10 repos | Hasta 50 repos | A medida |
| Evidencia ISO 27001 Anexo A y exportación firmada | No incluido | No incluido | Incluido | Incluido | Incluido |
| Usuarios | Ilimitados | Ilimitados | Ilimitados | Ilimitados | Ilimitados |
| Soporte | Prioritario | Ingeniero asignado | |||
| Empezar | Crear cuenta | Me interesa | Me interesa | Me interesa | Hablemos |
Complemento: reloj CRA
+≈149 €/mesHasta 5 productos (+≈349 €/mes hasta 25). SBOM, cruce KEV/EUVD/OSV, plazos del art. 14, borradores SRP ES/EN y exportación firmada. Solo el reloj, sin plan de operaciones: ≈199 €/mes.
Me interesaMSP y partners
A consultarPrecio mayorista por dominio e informe con tu marca para tus clientes. La gestión multicliente aún no está disponible; cuéntanos qué necesitas.
HablemosPrecios indicativos, IVA no incluido; pago anual: dos meses gratis. Aún no facturamos: el plan Gratis no pide datos de pago y los planes de pago no están a la venta: todo lo que no incluye el plan Gratis está aún no disponible. Las cifras de dominios, hosts y repositorios son provisionales. evidens aporta evidencia; no certifica ni garantiza el cumplimiento de ISO/IEC 27001:2022, del ENS ni del CRA.
Planes de pago
Los planes de pago abren pronto.
Hoy solo está abierto el plan Gratis. Esencial, Profesional, Empresa, Enterprise, MSP y el complemento CRA todavía no se venden: dinos cuál te interesa y te escribimos cuando abra. Sin datos de pago.
¿Te interesa un plan de pago?
Elige el plan, cuéntanos qué necesitas si quieres y confirma tu email. Te escribimos solo sobre ese plan.
¿Registro cerrado o completo?
Si el registro gratuito está en pausa o hemos llegado al cupo, apúntate y te avisamos cuando haya plaza.
Preguntas frecuentes
Lo que tu equipo (o tu auditor) va a preguntar.
¿Qué analiza el plan gratis?
Un dominio verificado y hasta 10 nombres de host descubiertos bajo él, una vez por semana, más un nuevo análisis manual cada 24 horas. Solo comprobaciones externas pasivas o de bajo impacto: subdominios por fuentes públicas, postura de correo (SPF, DKIM, DMARC), dominios parecidos, una observación HTTP/TLS por host y plantillas Nuclei seguras, priorizadas con KEV y EPSS. Sin escaneo de puertos, ZAP ni análisis de código. Guarda 4 semanas de informes.
¿Cómo verifico mi dominio?
Al añadirlo, la consola te da un registro TXT con el nombre _evidens-verify.tudominio.com y un valor único. Lo publicas en tu DNS y pulsas «Comprobar»: queda verificado cuando dos resolutores independientes lo ven. Lo volvemos a comprobar antes de cada análisis; si lo quitas, dejamos de analizar.
¿Escaneáis algo que no sea mío?
No. Solo analizamos nombres bajo un dominio verificado, limitamos cada dirección a dos análisis por semana entre todos los clientes y mantenemos una lista de exclusión. Si ves tráfico nuestro y no eres cliente, en la página del escáner explicamos quiénes somos y cómo excluirte.
¿Cómo borro mi cuenta?
Desde la consola: Cuenta → Eliminar la cuenta. Se borra al momento, con tus dominios e informes. Antes puedes descargar tus datos en Cuenta → Descargar mis datos.
¿Es legal que escaneéis mis dominios?
Solo escaneamos dominios cuya titularidad demuestras con un registro DNS TXT, que comprobamos antes de cada escaneo. Las pruebas son de solo verificación: confirmamos que algo es alcanzable, nunca lo explotamos ni modificamos nada.
¿Necesito instalar algo o daros credenciales?
No para la superficie externa: basta el DNS TXT. Para el módulo de código, recibimos instantáneas de tus repositorios por un canal de solo-envío; no guardamos credenciales de tus sistemas.
¿Qué pasa si un proceso falla?
Lo verás en la consola como «con retraso» o «no ejecutado» y te avisamos por email. Una etapa que no termina queda marcada como incompleta en el informe: nunca en silencio.
¿Sustituye a un pentest?
No. evidens vigila de forma continua y verifica exposición; la prueba de intrusión humana anual sigue siendo la referencia en profundidad y lógica de negocio.
¿Sirve para ISO 27001, ENS o NIS2?
La evidencia alimenta los controles A.8.8, A.5.7, A.5.9 y A.8.29 del Anexo A. El ENS todavía no está mapeado. Sobre NIS2: en España la transposición sigue en trámite; te ayudamos a prepararte, no te decimos que «ya cumples».
¿Usáis IA?
No en la detección ni en la evidencia. Los hallazgos salen de reglas versionadas y revisables: mismas entradas, mismo resultado. Por eso se pueden firmar. Sí vigilamos lo que la IA expone: endpoints de modelos abiertos y claves de proveedores de IA filtradas.
¿Dónde están mis datos?
En la UE. Tratamos los datos según el RGPD; la lista de espera usa doble opt-in y baja en un clic.
¿Me aplica el CRA?
Si fabricas, importas o distribuyes un producto con elementos digitales en la UE — software instalable, firmware, dispositivos conectados —, sí, y desde el 11 de septiembre de 2026 también para productos ya vendidos (art. 69.3). Un SaaS puro suele quedar fuera (ahí aplica NIS2). Por eso el reloj CRA es un complemento.
¿Enviáis la notificación a ENISA por mí?
No. El SRP de ENISA solo admite envíos web con EU Login y MFA de tu representante. Te dejamos el texto preparado en ES y EN y registramos en la cadena firmada cuándo lo enviaste.
Fuentes: Reglamento (UE) 2024/2847 (arts. 3, 14, 64, 69 y 71); ENISA, Single Reporting Platform; RD 311/2022 (ENS). Resumen informativo, no asesoría jurídica.
Cybersecurity operations center · EU-hosted · ES/EN
What your company exposes on the internet, checked every week.
On the Free plan, evidens checks one domain you prove you own from the outside every week: subdomains and hosts, SPF/DKIM/DMARC, lookalike domains registered to impersonate you and one HTTP/TLS observation per host, with passive or low-impact checks only. The console and the weekly mail tell you what to review. Code and dependency analysis, the daily exploited watch and signed evidence come with the paid plans, which are not on sale yet.
- Spanish-first, for real, EU-hosted
- Verified domains only (DNS TXT)
- Free, no card
No card. The Free plan checks one domain you prove you own with passive external checks every week. Already have an account? Sign in
- Weekly scanMon 03:00On time
- KEV watchdaily 06:30On time
- Availability probehourlyOn time
- CRA watchadd-onNot active
- EUEU-hosted, GDPR with double opt-in.
- AuthorizedDNS-verified domains only: you prove ownership with a TXT record.
- PassiveOn Free, passive or low-impact external checks only.
- DeterministicNo AI in the evidence path: versioned rules.
How it works
Three steps. Then it runs on its own.
No agents to install, no credentials to hand over. Prove the domain is yours and the processes start.
- 01
Create your account
Email and password; you confirm the address and add your domain. No card.
- 02
Publish a TXT record
We give you an
_evidens-verifyrecord for your DNS. We check it from two resolvers before every scan: no proof, no scan. - 03
Get your first report
The first scan starts on its own; the report reaches your inbox and the console, then every week. What is urgent comes first, with the next step.
Continuous operations
While you work, this keeps running.
Every process has its cadence and its state. If one is late or does not run, we tell you: a green dashboard over a stalled scanner is the worst possible failure.
- Every hour
Availability probe
Checks that what is deployed still answers.
- Every day · 06:00
Threat-intel ingest
NVD, CISA KEV and EPSS enter the intel store; we compute the EPSS velocity of the CVEs that affect you.
- Every day · 06:30
Exploited watch
When a CVE affecting you enters KEV — or its EPSS surges first — we retest that asset and signature, not everything.
- Every day · 07:00
Email digest
What changed in the last 24 hours, without noise.
- Every Monday · 03:00
Full scan and report
Verify-only external test, mail and lookalike domains, code and dependencies, and a signed ES/EN weekly report with its time to detect.
- Always
Chained log
Every scan, report and send lands in a hash chain: if anyone alters it, it shows.
You always know which state you are in.
- Green · Watching
Nothing open above medium.
- Processes stay on time
- New changes show up first in the console
- Weekly evidence for your ISMS
- Amber · Review
Nothing exploited, but there is work.
- High findings with the next step
- A stale snapshot
- A stage that did not finish (never silently)
- Red · Act today
Something exploited or critical on your perimeter.
- Actively exploited (KEV) goes first
- One concrete step per finding
- Targeted retest after the fix
Modules
Four modules. One add-on for manufacturers.
They work together on the same evidence chain. Each module shows the plan it is included from; the CRA clock switches on only if you need it.
External surface
Included in FreeWhat anyone can see of you on the internet.
- DNS TXT ownership proof before every scan
- On Free: passive or low-impact checks (subdomains, mail, lookalike domains, one HTTP/TLS observation per host, safe Nuclei templates); the full test with ZAP and network scanning from Essential
- Subdomain, host and service discovery, with a versioned inventory
- Weekly verify-only test: Nuclei, ZAP and network scanning
- Exposed AI endpoints: Ollama, vLLM/LocalAI, Open WebUI, Jupyter, Qdrant and Chroma
- Mail posture: SPF, DKIM and DMARC (p=none is flagged)
- Registered lookalike domains that can impersonate you (DNS only — we never scan them)
Code & dependencies
Not available yet · ProfessionalWhat your code exposes before it reaches production.
- Secrets leaked in the repository, including OpenAI, Anthropic, Groq, Mistral and other AI-provider keys
- Reachable Go CVEs (govulncheck) and static analysis (gosec)
- npm dependencies and container images (npm audit, trivy)
Threat intelligence
Not available yet · EssentialWhat is being exploited today, and whether it affects you.
- CISA KEV and EPSS every day, with an early warning when EPSS climbs fast before KEV
- OSV: every GO-/GHSA- advisory mapped to its exact CVE by package and version
- P1–P4 priority where exploitation rules; targeted retest, never a daily mass scan
- Time to detect and time to verify, measured on signed timestamps
Evidence & compliance
Not available yet · EssentialWhat you need to prove it.
- Weekly ES/EN report by email and in the console
- Ed25519-signed and hash-chained, verifiable off-node
- Mapped to ISO/IEC 27001 Annex A (A.8.8, A.5.7, A.5.9, A.8.29): evidence, not verdicts
CRA clock
Add-onFor manufacturers of products with digital elements (hardware, IoT, firmware, installable software).
- Upload each product’s SBOM (CycloneDX or SPDX), also from your CI
- Continuous matching against CISA KEV, ENISA’s EUVD and OSV; “not affected” via VEX
- Cases with the Art. 14 24 h, 72 h and 14-day deadlines and reminders
- ES/EN drafts for ENISA’s SRP and a signed case export
Coming next (not available yet)
- Mapping to Spain’s ENS (RD 311/2022)
- Multi-client management for MSPs
- API, SSO/RBAC and auditor access
- The paid plans (Essential, Professional, Business) and what they include: code and dependency analysis, the daily KEV/EPSS watch, the full ZAP and network test, the signed report and a verifiable export
- Buying and billing paid plans from the console
- A free passive check of one domain, no sign-up
Add-on · Cyber Resilience Act, Art. 14
Do you make products? Add the CRA clock.
Since 11 September 2026, if a vulnerability in your product is exploited you have 24 hours for the early warning to ENISA, 72 for the notification and 14 days after the fix for the final report. That applies to products you were already selling too.
+≈€149/mo up to 5 products · +≈€349/mo up to 25 · or ≈€199/mo without an operations plan
IoT gateway GW-200 · firmware 3.4
- Early warning to ENISAdraft readydue in 21 h 18 min
- Notification with initial assessmentdue in 69 h 18 min
- Final report14 d after the fix
- 10 Dec 2024The CRA enters into force (Regulation (EU) 2024/2847).
- 11 Sep 2026 · in force nowMandatory reporting of exploited vulnerabilities and severe incidents.
- 11 Dec 2027Full application: essential requirements, SBOM, conformity and CE marking.
You become aware
Art. 14(1)evidens seals the time and opens the case.
Early warning
Art. 14(2)(a)A draft ready to paste into the SRP.
Notification
Art. 14(2)(b)A pre-filled notification and user advisory.
Final report
Art. 14(2)(c)The final report and a signed export.
Who it’s for
Built for teams without their own SOC.
- SMB · CTO
No security team
What is exposed and what to fix this week, in plain language.
You get: the attention queue with the next step.
- ISMS · Compliance
ISO 27001, ENS, questionnaires
Continuous evidence between audits that an auditor can verify without trusting us.
You get: signed reports mapped to Annex A.
- MSP · IT provider
Several clients
A weekly Spanish or English report per client and per-domain pricing with margin.
You get: partner pricing (multi-client management is not available yet).
- Manufacturer · PSIRT
Products with digital elements
Your company’s domains watched and, on top, the CRA reporting clock.
You get: operations + the CRA add-on.
Why evidens
What makes us different (and what we don’t promise).
One console, processes that never stop
Other tools give you a score. evidens tells you what to handle today, which processes are running and when they last ran — and alerts you if one stops.
Not a standalone scanner; an operations center.
Authorized only, proven in code
No domain is scanned without the DNS TXT proof, checked before every scan. Authorization lives in the evidence, not in a clause.
Verify only: we never exploit.
Evidence that verifies itself
Every report is signed and chained before it leaves the node. Your auditor checks it against our public key.
Change one byte and verification fails.
Deterministic, so defensible
Versioned, reviewable rules: same inputs, same result. No AI model decides what a finding is.
Reproducible for your auditor.
Spanish-first, with public prices
Console, reports and alerts in Spanish and English from day one. Prices in euros, published.
Data hosted in the EU.
Plans
Priced per verified domain. Unlimited users.
The Free plan is open: create your account. Paid plans are not on sale yet; press “I’m interested” and we will write when they open.
| Plan | FreeTo get started | Essential1 domain, seriously | ProfessionalSMB with an ISMS | BusinessSeveral domains | EnterpriseDedicated EU instance |
|---|---|---|---|---|---|
| Price | €0 | ≈€99/mo | ≈€299/mo | ≈€699/mo | from ≈€12,000/yr |
| Verified domains | 1 | 1 | 3 | 10 | Custom |
| Discovered hosts per plan | ≤ 10 | ≤ 50 | ≤ 250 | ≤ 1,000 | Custom |
| Weekly verify-only external test | Passive | Included | Included | Included | Included |
| Daily exploited watch (KEV · EPSS) | Not included | Included | Included | Included | Included |
| Weekly ES/EN report | Unsigned | Signed | Signed | Signed | Signed |
| Report history | 4 weeks | 12 months | 12 months | 12 months | Custom |
| Code & dependencies | Not included | Not included | Up to 10 repos | Up to 50 repos | Custom |
| ISO 27001 Annex A evidence and signed export | Not included | Not included | Included | Included | Included |
| Users | Unlimited | Unlimited | Unlimited | Unlimited | Unlimited |
| Support | Priority | Assigned engineer | |||
| Get started | Create account | I’m interested | I’m interested | I’m interested | Let’s talk |
Add-on: CRA clock
+≈€149/moUp to 5 products (+≈€349/mo up to 25). SBOM, KEV/EUVD/OSV matching, Art. 14 deadlines, ES/EN SRP drafts and a signed export. The clock alone, without an operations plan: ≈€199/mo.
I’m interestedMSPs and partners
On requestWholesale per-domain pricing and a report under your brand for your clients. Multi-client management is not available yet; tell us what you need.
Let’s talkIndicative prices, VAT excluded; annual billing: two months free. We don’t bill yet: the Free plan asks for no payment details and paid plans are not on sale: everything the Free plan does not include is not available yet. Domain, host and repository figures are provisional. evidens provides evidence; it does not certify or guarantee compliance with ISO/IEC 27001:2022, Spain’s ENS or the CRA.
Paid plans
Paid plans open soon.
Only the Free plan is open today. Essential, Professional, Business, Enterprise, MSP and the CRA add-on are not on sale yet: tell us which one you want and we will write when it opens. No payment details.
Interested in a paid plan?
Pick the plan, tell us what you need if you like and confirm your email. We only write about that plan.
Registration closed or full?
If free registration is paused or we have reached the cap, join and we will tell you when there is room.
FAQ
What your team (or your auditor) will ask.
What does the free plan check?
One verified domain and up to 10 hostnames discovered under it, once a week, plus one manual rescan every 24 hours. Passive or low-impact external checks only: subdomains from public sources, mail posture (SPF, DKIM, DMARC), lookalike domains, one HTTP/TLS observation per host and safe Nuclei templates, prioritised with KEV and EPSS. No port scanning, ZAP or code analysis. It keeps 4 weeks of reports.
How do I verify my domain?
When you add it, the console gives you a TXT record named _evidens-verify.yourdomain.com with a unique value. You publish it in your DNS and press “Check”: it is verified once two independent resolvers see it. We check it again before every scan; remove it and scanning stops.
Do you scan anything that is not mine?
No. We only scan names under a verified domain, limit every address to two scans a week across all customers and keep an exclusion list. If you see our traffic and are not a customer, the scanner page explains who we are and how to opt out.
How do I delete my account?
From the console: Account → Delete the account. It is deleted at once, with your domains and reports. Before that you can download your data under Account → Download my data.
Is it legal for you to scan my domains?
We only scan domains you prove you own with a DNS TXT record, which we check before every scan. The tests are verify-only: we confirm something is reachable, we never exploit it or change anything.
Do I need to install anything or give you credentials?
Not for the external surface: the DNS TXT is enough. For the code module we receive snapshots of your repositories over a push-only channel; we hold no credentials to your systems.
What happens if a process fails?
You’ll see it in the console as “late” or “missed”, and we email you. A stage that doesn’t finish is marked incomplete in the report: never silently.
Does it replace a pentest?
No. evidens watches continuously and verifies exposure; the annual human penetration test stays the reference for depth and business logic.
Does it help with ISO 27001, ENS or NIS2?
The evidence feeds Annex A controls A.8.8, A.5.7, A.5.9 and A.8.29. ENS is not mapped yet. On NIS2: Spain’s transposition is still in progress; we help you get ready, we don’t tell you “you already comply”.
Do you use AI?
Not in detection or evidence. Findings come from versioned, reviewable rules: same inputs, same result. That is why they can be signed. We do watch what AI exposes: open model endpoints and leaked AI-provider keys.
Where is my data?
In the EU. We process data under the GDPR; the waitlist uses double opt-in and one-click unsubscribe.
Does the CRA apply to me?
If you manufacture, import or distribute a product with digital elements in the EU — installable software, firmware, connected devices — yes, and since 11 September 2026 also for products already sold (Art. 69(3)). Pure SaaS usually falls outside (NIS2 applies there). That is why the CRA clock is an add-on.
Do you file the notification with ENISA for me?
No. ENISA’s SRP only accepts web submissions with EU Login and your representative’s MFA. We leave the text ready in ES and EN and record in the signed chain when you submitted it.
Sources: Regulation (EU) 2024/2847 (Arts. 3, 14, 64, 69 and 71); ENISA, Single Reporting Platform; Royal Decree 311/2022 (ENS). Informational summary, not legal advice.