urlscan.io
What it is — urlscan.io is a sandbox that visits a URL for you, inside a real, isolated browser, and gives you the full result: a screenshot of the page, every network request made, the final DOM, detected technologies, and a verdict on whether it resembles known phishing/malware — without you having to open the link on your own machine.
| Type | Web sandbox + API |
| Cost | Public scans free · private scans paid |
| URL | urlscan.io |
How to use it
Paste the URL on the site, or trigger a scan via the API:
curl -s -X POST https://urlscan.io/api/v1/scan/ \
-H 'API-Key: <YOUR_API_KEY>' -H 'Content-Type: application/json' \
-d '{"url": "http://suspicious-domain.com", "visibility": "private"}'Watch the visibility setting: scans are public by default and become searchable by anyone — if the URL contains session tokens, invite IDs, or other sensitive info, use
"visibility": "private".
What I use it for
- Phishing triage in bug bounty: when a program receives reports of phishing targeting its brand, I use urlscan to see what the page does without exposing myself directly or leaving a trace from my own IP.
- Checking a domain's public history: sometimes others already scanned the same URL/domain before — urlscan's history reveals whether that domain has been active in phishing campaigns for a while.
- Capturing evidence: the screenshot + network request list is exactly what I need to attach to a report without taking manual screenshots.
Link
Qué es — urlscan.io es un sandbox que visita una URL por ti, dentro de un navegador real y aislado, y te da el resultado completo: screenshot de la página, todas las peticiones de red realizadas, el DOM final, tecnologías detectadas, y un veredicto de si se parece a phishing/malware conocido — sin que tú tengas que abrir el enlace en tu propio equipo.
| Tipo | Sandbox web + API |
| Coste | Escaneos públicos gratis · privados de pago |
| URL | urlscan.io |
Cómo se usa
Pegas la URL en la web, o lanzas el escaneo por API:
curl -s -X POST https://urlscan.io/api/v1/scan/ \
-H 'API-Key: <TU_API_KEY>' -H 'Content-Type: application/json' \
-d '{"url": "http://dominio-sospechoso.com", "visibility": "private"}'Ojo con la visibilidad: por defecto los escaneos son públicos y quedan buscables por cualquiera — si la URL contiene tokens de sesión, IDs de invitación u otra información sensible, usa
"visibility": "private".
Para qué lo uso yo
- Triage de phishing en bug bounty: cuando un programa recibe reportes de phishing dirigido a su marca, uso urlscan para ver qué hace la página sin exponerme yo directamente ni dejar rastro desde mi propia IP.
- Ver el historial público de un dominio: a veces otros ya escanearon la misma URL/dominio antes — el histórico de urlscan revela si ese dominio lleva tiempo activo en campañas de phishing.
- Capturar evidencia: el screenshot + lista de peticiones de red es justo lo que necesito adjuntar a un informe sin tener que hacer capturas manuales.