Herramienta para detectar fraude, phishing y estafas en e-commerce. Disponible como CLI y como API REST. Analiza URLs sospechosas y correos electrónicos antes de que hagas clic, respondas o envíes un producto.

El fraude por e-commerce funciona así: recibes un correo que parece venir de MercadoLibre, Amazon o PayPal. El diseño se ve igual. La dirección del remitente suena oficial. Te piden actuar rápido o perderás el pago.

My Guardian detecta esas señales antes de que sea tarde.

La herramienta está optimizada para las plataformas con mayor volumen de fraude reportado en México y LATAM, divididas en cuatro categorías:

La detección de patrones de phishing (dominio falso, DKIM, urgencia, cuenta bancaria, CVV) funciona para cualquier remitente — no solo las marcas listadas. La tabla anterior indica dónde la detección es más precisa porque se conocen los dominios oficiales de envío.

git clone https://github.com/brawdev/guardian
cd guardian
go build -o guardian .

Opcional — mover el binario para usarlo desde cualquier carpeta:

mv guardian /usr/local/bin/

Guardian también puede correr como servidor HTTP para integrarse con bots, apps o cualquier cliente.

guardian serve              # puerto 8080 por defecto
guardian serve --port 9090

Verifica que el servidor esté corriendo.

curl http://localhost:8080/health
# {"status":"ok"}

Analiza una URL en busca de phishing o fraude.

curl -X POST http://localhost:8080/api/v1/analyze/url \
  -H "Content-Type: application/json" \
  -d '{"url": "https://amaz0n-ofertas.com"}'

Body:

Qué detecta:

Países de alto riesgo detectados: Rusia, China, Nigeria, Ucrania, Corea del Norte, Rumania, Bulgaria.

Ponderación de riesgo (risk_score):

Verifica el perfil de un vendedor en un marketplace.

curl -X POST http://localhost:8080/api/v1/analyze/seller \
  -H "Content-Type: application/json" \
  -d '{"url": "https://www.mercadolibre.com.mx/perfil/VENDEDOR123", "platform": "mercadolibre"}'

Body:

Analiza un correo sospechoso. Acepta dos formatos según lo que tengas disponible.

Opción A — Texto plano (JSON)

curl -X POST http://localhost:8080/api/v1/analyze/email \
  -H "Content-Type: application/json" \
  -d '{"content": "From: Mercado Libre <[email protected]>\nSubject: ..."}'

Cómo obtener el contenido desde Gmail:

1. Abre el correo en Gmail
2. Menú de tres puntos → "Mostrar original"
3. Ctrl+A → Cmd+C para copiar todo
4. Pega el texto como valor del campo content

Opción B — Archivo .eml (multipart)

curl -X POST http://localhost:8080/api/v1/analyze/email \
  -F "[email protected]"

Cómo obtener el .eml desde Gmail:

1. Abre el correo en Gmail
2. Menú de tres puntos → "Descargar original"
3. Se descarga el archivo .eml con headers completos

Ambas opciones incluyen headers técnicos completos (DKIM, SPF, Authentication-Results), activando todos los checks de autenticidad del remitente.

Analiza un número de teléfono en busca de señales de fraude.

curl -X POST http://localhost:8080/api/v1/analyze/phone \
  -H "Content-Type: application/json" \
  -d '{"phone": "+1800 555 1234", "country_context": "MX"}'

Body:

Qué detecta:

Antes de abrir un enlace sospechoso, analízalo.

guardian analyze <url>

Ejemplos:

guardian analyze https://infomercadolibre.com
guardian analyze amaz0n-ofertas.com
guardian analyze https://mercadolibre-descuentos.mx --json

Qué detecta:

Ejemplo de salida:

  ANÁLISIS DE URL
  ──────────────────────────────────────────────────
  URL:      https://mercadolibre-verificacion.xyz
  Dominio:  mercadolibre-verificacion.xyz

  Riesgo:   CRITICO  (90/100)

  CHECKS
  ⚠  Typosquatting    contiene la marca 'mercadolibre' en el dominio
  ⚠  WHOIS            dominio creado 2025-03-01 (12 días)
  ✓  SSL/TLS          válido — emisor: Let's Encrypt
  ✓  Redirecciones    sin redirecciones
  ✓  Safe Browsing    limpio
  ✗  VirusTotal       3/89 engines — Kaspersky, ESET, Avast

Detecta patrones de fraude principalmente en español (validado contra correos reales de fraude en México). La cobertura es más precisa para las marcas listadas en la tabla anterior.

Tres formas de usarlo según lo que tengas a la mano:

guardian analyze-email --paste

La terminal queda esperando. Pegas el texto con Cmd+V y presionas Ctrl+D para analizar.

Flujo recomendado desde Gmail:

1. Abre el correo sospechoso
2. Menú de tres puntos → "Ver original"
3. Ctrl+A para seleccionar todo → Cmd+C para copiar
4. En la terminal: guardian analyze-email --paste → Cmd+V → Ctrl+D

Si solo copias el texto visible (sin "Ver original"), igual funciona — solo perderás el análisis de cabeceras técnicas (DKIM, dominio del remitente).

pbpaste | guardian analyze-email -

Si exportaste el correo como archivo:

guardian analyze-email correo.eml
guardian analyze-email ~/Downloads/sospechoso.eml --json

Qué detecta en el correo:

Ejemplo de salida:

  ANÁLISIS DE EMAIL
  ──────────────────────────────────────────────────
  De:      Mercado Libre <[email protected]>
  Asunto:  ¡Vendiste! Macbook Pro Core I7 Retina 16 Pulgadas

  Riesgo:  CRITICO  (100/100)

  CHECKS DE CABECERAS
  ✗  From domain      'infomercadolibre.com' suplanta a 'mercadolibre'
  ⚠  DKIM             firmado por 'oxsus-vadesecure.net' — no alineado con from-domain
  ✓  Reply-To         consistente

  CHECKS DE CONTENIDO
  ✗  Soporte          vía WhatsApp: https://wa.me/+5491176499251
  ✗  Cuenta bancaria  0087-6676-011032629274
  ✗  Urgencia/amenaza 7 frases detectadas
  ✓  Tarjeta crédito  sin solicitudes de datos de tarjeta
  ✗  Docs identidad   1 señales: curp
  ⚠  Email tracker    mailtrack.io, mailsuite
  ✓  Teléfonos        sin inconsistencias de país

  LINKS EN EL CUERPO
  ✗  https://mercadolibre-verificacion.xyz  CRITICO  (90/100) — impersonación de marca

  SEÑALES DE ALERTA
  ✗ dominio del remitente 'infomercadolibre.com' suplanta a 'mercadolibre'
  ✗ DKIM firmado por 'oxsus-vadesecure.net' ≠ 'infomercadolibre.com'
  ✗ soporte vía WhatsApp: https://wa.me/+5491176499251
  ✗ solicita transferencia a cuenta bancaria: 0087-6676-011032629274
  ✗ múltiples frases de urgencia/amenaza (7 detectadas)
  ✗ link CRITICO en el cuerpo: https://mercadolibre-verificacion.xyz

Cualquier comando acepta --json para integrar la salida con otras herramientas:

guardian analyze https://sitio-sospechoso.com --json
guardian analyze-email correo.eml --json
guardian analyze-email --paste --json

Crea un archivo .env en la raíz del proyecto:

GOOGLE_SAFE_BROWSING_KEY=tu_api_key_aqui
VIRUSTOTAL_KEY=tu_api_key_aqui

Los demás análisis (typosquatting, WHOIS, SSL, redirecciones, cabeceras de email) funcionan sin ninguna key.